对于可能令人困惑的标题，我深表歉意，我会尽量详细说明。
我看到的许多围绕密码熵的讨论都集中在该指定数据可用选择范围的特定上下文上。单独来看，这很公平，但它似乎忽略了首先选择该数据范围的可能性。也许一个例子会更好地说明。
在另一个最近的问题中，圣经经文被认为对密码有缺点，因为（显然）有大约 33,000 节圣经经文。据我了解，这导致熵为 16 位。在查看不区分大小写的拉丁字母密码时，每个符号具有 4.7 位熵，因此如果您比较熵，则 4 位大写/小写密码（4.7 * 4 = 18.8 位）密码应该比“更难”猜测随机选择的圣经经文。
虽然密码更有可能受到蛮力攻击而不是被检查为有效的圣经经文，但这不是公平的说法吗？4位密码不是比圣经经文弱得多吗？我们能否在忽略数据范围选择的可能性的情况下判断密码的熵？我只是好奇说密码 XYZ 不好是多么有效，因为数据集中没有太多变化，因为攻击者极不可能特别缩小用于密码选择的数据集.
抱歉，安全新手，但让我感到奇怪的是，有人可能会使用熵来证明为什么诸如长圣经经文之类的东西可能是错误的密码。
密码的“熵”（大致）是对您可以获得多少不同密码的描述。在“圣经经文”密码的情况下，密码生成过程是在大约 33000 个可能的经文中进行选择，这意味着大约 15 位熵（因为 2 15 = 32768）。熵限定了过程，而不是结果。
通常的安全立场是假设攻击者很聪明。特别是，他或多或少知道我们使用了什么密码生成过程。这在公司和大型组织中很有意义，安全管理员会向用户发布有关如何选择密码的指导：假设大多数用户将遵循这些规则似乎是公平的，特别是如果安全管理员实施了自动工具来验证（在某种程度上）密码遵循这些规则。对于“个人”密码，攻击者可能会假设用户正在遵循在 Internet 上发布的少数“密码生成方法”之一。事实上，在这个网站上，我们正在讨论密码生成方法，而且我们是在明面上进行的。
任何类似于“攻击者肯定会首先尝试随机密码”或“攻击者永远不会想到使用 X 书中的句子”的推理在以下方面存在固有缺陷：它假设攻击者只是一个随机的匿名黑客谁为了好玩而破解密码，却不知道他在攻击谁。这是一个驯服的攻击者，允许尝试密码但不能非常努力地尝试。它否认了追随你的聪明攻击者的存在，特别是. 无能是最普遍的人类特征，许多攻击者，作为人，都深受其害；但经验表明，聪明的攻击者仍然存在。
这背后的心理机制相当清楚：我们想认为自己是“聪明的”。意识到攻击者可能不仅邪恶和顽皮，而且比我们更聪明，而且我们不一定能够在“斗智”中击败他们，这是一种屈辱的经历。这可能是密码学学徒在学习中必须获得的最重要的见解：我们不会通过比攻击者更聪明来击败攻击者；我们通过向他们扔数学来击败他们。在密码的情况下，“数学”是“可量化的随机性”。
可量化意味着您可以衡量密码的随机性。“八个随机字母”是高度可量化的：即 26 8 = 208827064576，即大约 37.6 位的熵。“攻击者永远不会想到”：这个“从不”代表了多少？
在很大程度上，这与通过默默无闻的安全性相同的问题。出于几乎相同的原因，不建议这样做。