密码强度/熵测试网站是否安全？

Question

是做密码强度/熵测试的网站，例如

• http://rumkin.com/tools/password/passchk.php
• http://www.passwordmeter.com/
• https://howsecureismypassword.net/
• http://www.passwordstrengthcalculator.com/

安全？我能相信他们不会把我上一个测试过的密码添加到密码数据库中吗？

Answer 1

既然你已经得出结论，这是可能的，这是安全的假设，其他人可能有同样的想法。这也是安全的假设，人们可能有一个与你不同的想法。

所以:最有可能有一个或更多的网站，实际上做了你认为他们会做的事情。甚至比你想象的还要糟糕:快速检查其中一些网站就会发现--除了他们自己的JS --还包括第三方javascript，例如广告投放等等。因此，即使他们没有记录您的密码，第三方也可能决定这样做。

您可以(如果它是纯用JS实现的)阅读代码，并决定它是否“干净”。然而，这可能会改变你对网站的每一个电话，所以我建议不要使用他们。顺便说一句:至少http://www.passwordmeter.com/给出了所有的纯文本计算。您只需手工完成，也可以编写一个简短的脚本，为您测试一切。

顺便说一句:我刚刚意识到，那个网站甚至不使用传输层加密。这是我今天的脸。