Igen. A megadott jelszó nem kerül el az NBSZ NKI szervereire vagy máshová, az ellenőrzés teljes egészében a felhasználó böngészőjében és gépén fut. Továbbá a jelszó nem kerül mentésre, sem naplózásra és az NBSZ NKI nem tárolja a böngészőben (sütiben vagy helyi tárolóban) sem. Amennyiben az oldal bezárásra vagy újratöltésre kerül, a beírt jelszó elveszik. Ez alól kivételt képez, ha a felhasználó külön bekapcsolja az „Ellenőrzés ismert adatszivárgásokban” opciót, viszont még ilyen esetekben sem a jelszó kerül elküldésre, csupán a jelszóból képzett lenyomat első 5 karaktere (lásd: Mi kerül elküldésre az „Ellenőrzés ismert adatszivárgásokban” funkcióval?)

• Hálózati forgalomfigyelés: Az F12 billentyű (Mac rendszeren: Cmd + Option + I) megnyomását követően, a „Hálózat” (Network) fül kiválasztásával, töröljük a listát (áthúzott kör ikon), majd kezdjünk el gépelni az oldalon található jelszómezőbe! Láthatjuk, hogy a jelszóval kapcsolatban egyetlen kérés sem indul (a weboldal egyéb, a jelszótól független kérései ettől még megjelenhetnek). Az adatszivárgás-ellenőrzés opció bekapcsolásakor egyetlen kérés jelenik meg az api.pwnedpasswords.com/range/ címre, amelynek végén csak a jelszó lenyomatának első 5 karaktere (számok és A–F közötti betűk) szerepel.
• Nincs szükség internetre a működéshez: Az oldal betöltése után, a hálózati kapcsolat bontását követően (vagy a fejlesztői eszközök „Hálózat” fülön az „Offline” módot választva) láthatjuk, hogy az eszköz továbbra is működőképes.
• Nincs küldés gomb: A jelszómező nem része űrlapnak, így nincs mit „elküldeni”. Amennyiben a böngésző vagy a jelszókezelő mégis felajánlaná a jelszó mentését, nyugodtan utasítsuk el.
• Nincs mentés a böngészőn belül: A fejlesztői eszközök „Alkalmazás” (Application) vagy „Tárhely” (Storage) fülön tekinthetők meg a sütik, a helyi és a munkamenet-tároló (Local Storage, Session Storage). Láthatjuk, hogy az eszköz semmit nem ír ezekbe a jelszóval kapcsolatban.
• Nyilvános forráskód: A forráskód nyilvános: Az eszköz által használt szkriptek a böngészőben megtekinthetők (fejlesztői eszközök, „Források” / Sources): a checker.js végzi az ellenőrzést, a dictionary.js tartalmazza a toplistát, a translations-hu.js a magyar szövegeket, a vendor/zxcvbn-ts mappa pedig a nyílt forráskódú zxcvbn-ts könyvtárat.

A funkció alapértelmezés szerint ki van kapcsolva, a felhasználónak sajátkezűleg kell bepipálnia a működéshez. A funkció azt ellenőrzi, hogy a felhasználó által beírt jelszó a Have I Been Pwned (HIBP) nyilvános adatbázisa alapján szerepel-e valamelyik ismert adatszivárgásban.

Működés: (ún. k-anonimitás módszerével):

• A böngésző a jelszóból egy SHA-1 lenyomatot (40 karakteres azonosítót) számol.
• Ebből a lenyomatból csak az első 5 karaktert kerül elküldésre az api.pwnedpasswords.com szolgáltatásnak.
• A szolgáltatás visszaküldi az összes olyan kiszivárgott jelszó lenyomatát, amely ugyanezzel az 5 karakterrel kezdődik (jellemzően több száz darabot), és a böngésző maga keresi meg köztük a begépelt jelszót.
  

Ennek értelmében sem az NBSZ NKI, sem a HIBP számára nem lesz ismert a vizsgált jelszó. A kérés során a HIBP szerverei – mint minden webszolgáltatás – láthatják a felhasználó gépének IP-címét. A szolgáltatás adatkezeléséről a Have I Been Pwned adatkezelési tájékoztatójában (angol nyelvű) lehet többet megtudni. Amennyiben egy adott jelszó adatszivárgásban szerepelt, az eszköz 0 pontot ad rá, függetlenül attól, milyen hosszú vagy bonyolult. Az ilyen jelszavak a támadók listáin szerepelnek, ezért javasolt az érintett jelszavak felhasználói fiókoknál történő mielőbbi lecserélése!

A funkció a nyílt forráskódú zxcvbn-ts könyvtárat használja a számításhoz. A könyvtár nem egyszerűen a karaktereket számolja, hanem úgy gondolkodik, mint egy támadó: felismeri a jelszóban a gyakori jelszavakat, szavakat, neveket, dátumokat, évszámokat, billentyűzetmintákat (pl. „qwertz”), ismétléseket (pl. „aaa”) és sorozatokat (pl. „abc”, „123”), valamint a kiszámítható betűcseréket (pl. „@” az „a” helyett). Ezek alapján megbecsüli, hány próbálkozással lehetne kitalálni az adott jelszót.

A 0–10 pontos erősség ebből a becslésből adódik:

• 0–3 pont: gyenge – a leggyorsabb feltételezett támadással legfeljebb néhány másodperc alatt kitalálható.
• 4–6 pont: közepes – a leggyorsabb feltételezett támadással néhány másodperctől nagyjából egy-két napig tart.
• 7–10 pont: erős – ehhez a leggyorsabb feltételezett támadással is legalább egy-két nap kell, a 10 pont pedig azt jelenti, hogy több száz évig tartana.

Amennyiben egy adott jelszó gyenge vagy közepes értékelést kap, az eszköz azt is összefoglalja, hogy miért. A „Tippek erős jelszóhoz” listában szereplő paraméterek (hossz, több szó, kis- és nagybetű, szám, írásjel) csak tájékoztató jellegűek, a pontszámba nem számítanak be. A legfontosabb paraméter ezek közül a hossz, amelynél legalább 15 karakter az ajánlás.

Ezek önmagukban nem tesznek erősebbé egy jelszót. A „Jelszó2024!” mindegyik szabálynak megfelel, mégis másodpercek alatt kitalálható, mert a támadók pontosan ezekkel a mintákkal próbálkoznak (értelmes szó nagy kezdőbetűvel, utána évszám és felkiáltójel). Egy hosszú, több véletlenszerű szóból álló jelmondat viszont akkor is erős, ha csak kisbetűket tartalmaz. Ezt a megközelítést követi az amerikai NIST SP 800-63B irányelv is, amely kifejezetten a hosszt és a gyakori jelszavak kiszűrését ajánlja a kötelező karaktertípusok helyett.

Az eszköz a NordPass „Top 200 Most Common Passwords” 2025-ös felmérésének (2024 szeptembere és 2025 szeptembere közötti adatszivárgások alapján) két listáját használja: a globális top 200-at és a magyar top 20-at. Ezen felül a zxcvbn-ts beépített listái is felismerésre kerülnek: a világszerte leggyakoribb jelszavak, valamint gyakori angol szavak és nevek.

Egy jelszót többféle módon lehet feltörni, amit nagyban befolyásol az ehhez szükséges idő.

Offline támadás esetén, a támadók egy jelszó-adatbázis megszerzésével, amelyben a jelszavak nem nyíltan, hanem lenyomatként (hash) szerepelnek, a saját gépükön próbálgatják a jelszavakat. Ilyenkor az egyedüli lassítási tényező a támadók eszközének sebessége.

• Gyors hash (10 milliárd próbálkozás másodpercenként): ha a szolgáltatás gyors, jelszótárolásra nem való eljárással (pl. MD5, SHA-1, SHA-256) tárolta a jelszavakat. A legrosszabb eset és a pontszám is ehhez igazodik.

Fontos: egy mai csúcskategóriás videokártya a gyors eljárásoknál ennél is többet, akár több tízmilliárd próbálkozást is elvégezhet másodpercenként, a több videokártyát használó támadók pedig még többet. A valós feltörési idő tehát ennél rövidebb is lehet – a kiírt érték inkább felső becslés.

• Lassú hash (10 000 próbálkozás másodpercenként): ha a szolgáltatás kifejezetten jelszótárolásra tervezett, szándékosan lassú eljárást használt (pl. Argon2, bcrypt, scrypt, PBKDF2). Ilyenkor ugyanaz a jelszó nagyságrendekkel nehezebben törhető fel.

Online támadás során a támadók nem férnek hozzá az adatbázishoz, hanem a bejelentkezési oldalon próbálgatják a jelszavakat. A támadás sikere azon múlik, véd-e a szolgáltatás a próbálgatáson-alapú technikák ellen.

• Korlátozás nélkül (10 próbálkozás másodpercenként): ha a szolgáltatás nem korlátozza a próbálkozások számát.
• Korlátozással (100 próbálkozás óránként): ha a szolgáltatás néhány sikertelen kísérlet után lassít, CAPTCHA-t kér vagy átmenetileg letiltja a fiókot.

Mivel nem lehet tudni, hogyan tárolják a szolgáltatások a jelszavakat és az adatszivárgások is meglehetősen gyakoriak, érdemes a legrosszabb esetre (gyors hash) felkészülni.

Ha a jelszó több, szóközzel vagy írásjellel (pl. kötőjellel, ponttal) elválasztott szóból áll, valószínűleg jelmondatról van szó. A jelmondatot könnyebb megjegyezni, így hosszabb – és ezzel együtt sokkal erősebb – jelszavakat is fejben lehet tartani. Fontos, hogy a szavak ne alkossanak közismert kifejezéseket, idézeteket vagy dalszöveget, mert ezeket a támadók is ismerik: a „lila esernyő hegy ablak” sokkal erősebb, mint az „egyszer volt hol nem volt”. A jelmondatok akotásával kapcsolatban bővebben foglalkozik az egyik SANS OUCH! hírlevél-kiadványunk: A Jelmondatok Ereje – SANS OUCH! – 2023. december.