Überblick

Time2Crackbeantwortet eine einfache Frage: "Wie lange würde es dauern, dieses Passwort zu knacken?"

Die Antwort beinhaltet drei Schritte:

kritischer Punkt :Time2CrackPrüfverfahren Nicht wirklich Das Passwort. rechnerisch wie viele Versuche mit unterschiedlichen Angriffen benötigt werden.

Hauptrechnungsfluss

Zweischichtige Architektur

SchlüsselinnovationTime2Crackist strenge Trennung zwischen:

Vorteil : Das Ändern des Algorithmus eines Angriffs wirkt sich nie auf die Logik der Zeit aus.

Schritt 1: Passwort-Analyse

Was analysieren wir?

Vor der Berechnung der Rißzeit,Time2Crackdas Passwort zum Detektieren:

analyzePatterns(password) retourne {
  // CHARSET & ENTROPIE
  charset: { hasLower, hasUpper, hasDigit, hasSymbol },
  entropy: 52.3,  // bits

  // DÉTECTIONS
  patterns: {
    dictionaryWord: true,      // mot dans dictionnaire
    commonPassword: false,     // dans HIBP
    keyboardPattern: false,    // qwerty, asdfgh
    sequencePattern: false,    // abc, 123
    datePattern: false,        // 2024, 12/25
    repeatingPattern: false,   // aaaa, 1111
    maskLike: true,            // structure prévisible
    looksPassphrase: true,     // plusieurs mots
  }
}

Die 8 Arten von Erkennungen

1 Wörterbuch Word

Testen Sie das Passwort gegen 50k-200k gemeinsame Wörter und ihre Varianten (einfache Mutationen).

2. Gemeinsames Passwort (HIBP)

Testen Sie gegen die 1000 am meisten entkommenen Passwörter mit den k-Anonymität (nur 5 erste SHA-1 Zeichen gesendet).

Überprüfen Sie, ob Ihr Passwort gehackt wurde →

3 Tastatur-Muster

Erkennen: qwerty, asdfgh, qazwsx, usw.

ANHANG Folgen

Erkennen: abc, 123, xyz, usw.

5. Datum

Erkennen: 2024, 12/25, 25-12-2024, usw.

6 Aufhebung

Erkennen: aaaa, 1111, !!!, usw.

7 Strukturiert

Erkennt vorhersehbare Strukturen: Name2024!, Passw0rd!

8) Phrasen

Erkennt mehrere verkettete Wörter: correcthorsebatterystaple → [correct] + [horse] + [battery] + [staple]

Schritt 2: Rang Schätzwert (Anzahl der Versuche)

Grundkonzept

Die Zeile ist: "Wie viele Passwörter muss ein Angriff testen, bevor Sie es finden?"

Wie wählt man den gewinnenden Angriff?

Time2Crackstartet die 7 parallele Angriffe und nimmt das beste Ergebnis:

const results = {
  brute:      { rank: 1e30 },
  dictionary: { rank: 1e6 },      // GAGNANT
  hybrid:     { rank: 1e7 },
  mask:       { rank: 1e8 },
  markov:     { rank: 1e9 },
  pcfg:       { rank: 1e11 },
  combinator: { rank: 1e12 },
};

const best = Math.min(...Object.values(results).map(r => r.rank));
// → 1e6 (Dictionary attack est la plus rapide)
      

Schritt 3: Umstellung auf Zeit

Das Konzept

Jetzt, da wir wissen, dass wir rang Versuche, wir konvertieren in Sekunden :

Formule : temps (secondes) = log₁₀(rang) / log₁₀(taux_hachage)

Hashing Speeds (GPU)

Time2CrackVerwendung echte Geschwindigkeiten Hashcat für 12× RTX 4090:

Beispiel der Umsetzung

Die 7 durchgeführten Angriffe

1 Brute Force

Konzept : Alle möglichen Kombinationen testen

Formule : rang = charset_size ^ length

Beispiel : abc → 263 = 17,576 Versuche

Sehr effektiv für : kurze und zufällige Passwörter

Erfahren Sie mehr überBrute Force→

2. DictionaryAngriff

Konzept : Testen Sie jedes Wort im Wörterbuch

Formule : rang = taille_dictionnaire

Sehr effektiv für Menschliche Worte

Erfahren Sie mehr überDictionaryAngriff →

3 HybridAngriff

Konzept : Wörterbuch Wort + einfache Mutationen

Formule : rang = taille_dictionnaire × nombre_mutations (~1000)

Sehr effektiv für : Wörterbuchwörter + kleine Modifikationen

Erfahren Sie mehr überHybridAngriff →

ANHANG MaskAngriff

Konzept : Test vorhersehbare Strukturen

Sehr effektiv für : menschliche Strukturen (Name2024, Password!)

Erfahren Sie mehr überMaskAngriff →

5. MarkovModell

Konzept : Statistischer Ansatz basierend auf n-Gramm-Frequenzen

Sehr effektiv für Menschenwörter — reduzierter Raum um ~99%

Erfahren Sie mehr überMarkovModell →

6 PCFG

Konzept : Grammatikalisches Modell, das Strukturen lernt

Erfahren Sie mehr überPCFG→

7 CombinatorAngriff

Konzept : Concatenation of 2+ Wörterbuchwörter

Sehr effektiv für : Passphrasen (4+ Wörter)

Erfahren Sie mehr überCombinatorAngriff →

Die 6 Hash Algorithmen

Warum sechs?

Verschiedene Algorithmen bieten verschiedene Sicherheitsstufen.Time2Crackzeigt die Rißzeiten für die 6 die Auswirkungen der Algorithmuswahl zu zeigen.

MD5 (DEPRECTED)

• Geschwindigkeit : 2 TH/s (sehr schnell)
• Salzung Nein
• Status - Nicht verwenden

SHA-1 (DEPRECTED)

• Geschwindigkeit : 610 GH
• Salzung Nein
• Status - Kollisionen gefunden (2017)

SHA-256 (ACCEPTABLE)

• Geschwindigkeit : 272 GH/s
• Salzung : Im Allgemeinen ja
• Status - Akzeptabel, wenn mit SALT + iteration

NTLM (LEGACY)

• Geschwindigkeit : 3,46 TH/s
• Status - Wird in Windows-Verwaltung verwendet

bcrypt (RECOMMENDED)

• Geschwindigkeit 2.2 MH/s (absichtlich langsam)
• Salzung : JA
• Status * Hervorragend für die Produktion

Argon2id (Better)

• Geschwindigkeit 800 H/s (sehr langsam = sehr sicher)
• Typ :Hybrid(Zeit + Speicher)
• Status Beste moderne Wahl (NIST 2021)

Angreiferprofile

Konzept

Verschiedene Angreifer haben verschiedene Ressourcen.Time2CrackModelis 4 Profile:

Konkrete Auswirkungen

Bildung : Selbst ein "starkes" Passwort kann in Millisekunden durch einen Nationalstaat geknackt werden!

Konkretes Beispiel: Tr0ub4dor&3

Es ist das Film-Passwort. "Correct Horse Battery Staple" (xkcd) Mal sehen, wasTime2CrackTatsache:

Schritt 1: Analyse

• length : 11 caractères
• charset : 94 caractères
• entropy : ~64 bits
• dictionaryWord : FALSE
• commonPassword : FALSE
• maskLike : TRUE
• looksPassphrase : FALSE

Schritt 2: Rank Schätzung

Brute Force  : 94^11 ≈ 475 trillion
Dictionary   : ∞ (pas dans dictionnaire)
Mask         : ≈ 1.4 trillion
Markov       : ≈ 10 trillion
PCFG         : ≈ 50 billion (GAGNANT)
Combinator   : ∞

Schritt 3: Umstellung auf Zeit

Schlussfolgerung

• • Sicher gegen bcrypt/Argon2id (Stunden → Jahre)

Häufig gestellte Fragen

F:Time2Cracktestet er tatsächlich das Passwort?

Nein.Time2Cracksenden Nie Ihr Passwort an einen Server.

• Alle Berechnungen werden durchgeführt Ort im Browser
• Nur Netzanruf: HIBP-Check mit k-anonymity
• Keine vollständige Passwortübertragung

Erfahren Sie mehr über unsere Datenschutzbestimmungen →

F: Woher kommen GPU-Geschwindigkeitszahlen?

Offizielle Hashcat Benchmarks (v6.2.6) auf RTX 4090:

• Labormessungen
• Öffentliche Domain
• Ausrichtung mit Hive Systems 2025

F: Warum ist Argon2id so langsam?

Das ist absichtlich.. Argon2id ist so konzipiert, dass es langsam, speicherhart und schwer zu parallelisieren ist.

F: Können wir ein 100% "sicheres" Passwort verbessern?

NeinSelbst das beste Passwort kann gestohlen oder erraten werden. Defensive Strategie :

• Gutes Passwort (15+ zufällige Zeichen)
• Multifaktor-Authentifizierung
• Passwort vergessen?
• Überprüfung von Verletzungen (Have I Been Pwned)

F: Wie kann ich mein Passwort verbessern?

Einfache Regeln :

• Länge : 15+ Zeichen (größer als Komplexität)
• Zufällig : Kennwortmanager verwenden
• Einzigartig : Verschiedenes Passwort pro Seite
• MFA : 2FA-Authentifizierung nach Möglichkeit aktivieren

Schlussfolgerung

Time2CrackArbeiten in 3 unwandelbaren Schritten :

1. ANALYSE       → Détecte patterns (dictionnaire, keyboard, etc.)
2. RANG          → Estime tentatives nécessaires (7 attaques)
3. TEMPS         → Convertit tentatives en secondes (GPU speeds)

Schlüsselinnovation : Rigorous Trennung zwischen Zeile (Angriff) und Zeit (GPU), so dass:

• Einfache Aktualisierung der GPU-Geschwindigkeiten
• Einfache Ergänzung neuer Angriffe
• Modulare und testbare Architektur

Ergebnis : Schätzung genau, Offline, mehrsprachig Zeit, um ein Passwort zu knacken.