Passordstyrke – hvor sikkert er passordet ditt?

Slik regnes passordstyrke ut

Styrken til et passord måles i bit entropi. Tallet sier hvor mange forsøk en angriper i verste fall må gjøre: hvert ekstra bit dobler antall kombinasjoner. Formelen er

Entropi = lengde × log₂(antall mulige tegn)

Et passord med små og store bokstaver og tall har 26 + 26 + 10 = 62 tegn å velge mellom for hver posisjon. log₂(62) er 5,95, så 12 slike tegn gir 12 × 5,95 = 71,5 bit. Det er 2^71,5 ≈ 3,2 × 10²¹ kombinasjoner.

Hvor lang tid tar det å knekke?

Det kommer an på hvor raskt angriperen kan gjette. Prøver noen å logge inn på en nettside, blir de som regel bremset etter noen få forsøk. Det farlige er når en database med passord lekker. Da kan angriperen prøve offline, og med kraftige grafikkort kan det bli milliarder av forsøk i sekundet hvis passordene er dårlig beskyttet. Kalkulatoren regner med 10 milliarder i sekundet som standard. Da tar det rundt 10 000 år å prøve alle kombinasjoner av 12 tilfeldige tegn, men bare 21 sekunder for 8 små bokstaver.

Hastighetene i valglisten er grove eksempler. Den faktiske farten avhenger av maskinvare og av hvordan tjenesten har lagret passordene.

Passordfraser er lettere å huske

En passordfrase er flere tilfeldige ord etter hverandre, for eksempel «fjell kaffe sykkel lampe ørret». Styrken regnes på samme måte, men nå er det antall ord i ordlisten som teller. Med en liste på 7 776 ord gir hvert ord 12,9 bit:

• 4 ord: 51,7 bit, rundt 4 dager å prøve alle med 10 milliarder forsøk i sekundet
• 5 ord: 64,6 bit, rundt 90 år
• 6 ord: 77,5 bit, rundt 700 000 år

Fem eller seks tilfeldige ord er altså omtrent like sterkt som 11–13 tilfeldige tegn, men mye lettere å huske og skrive. Både amerikanske NIST og britiske NCSC anbefaler lange passord og passordfraser framfor korte passord med krav om spesialtegn. NIST krever minst 15 tegn når passordet brukes alene, uten tofaktorautentisering.

Regnestykket forutsetter tilfeldighet

Formelen gjelder bare når tegnene eller ordene er valgt helt tilfeldig. Mennesker velger ikke tilfeldig. «Sommer2026!» har 11 tegn med store og små bokstaver, tall og spesialtegn, men følger et mønster (ord, årstall, utropstegn) som angripere prøver tidlig, og knekkes derfor raskt. Det samme gjelder kjente sitater, navn på barn og husdyr, og ord der o er byttet ut med 0.

Ikke skriv inn ditt ekte passord

Kalkulatoren spør bare om lengde og tegntyper, ikke om selve passordet, og alt regnes ut i nettleseren din. Skriv aldri et ekte passord inn på en nettside som tilbyr å teste det. Vil du teste, lag et lignende passord med samme lengde og samme typer tegn.

Gode vaner

• Bruk et unikt passord på hver tjeneste. Lekker ett, er ikke de andre i fare.
• Bruk en passordbehandler som lager og husker lange, tilfeldige passord for deg.
• Slå på tofaktorautentisering der det er mulig, særlig på e-post, bank og sosiale medier.
• Æ, ø og å gir litt flere tegn å velge mellom, men noen tjenester og utenlandske tastaturer støtter dem ikke. Det er lengden som teller mest.

Liker du tall, viser binær kalkulator hvordan bit fungerer, og kombinasjonskalkulatoren regner ut antall mulige utvalg.