GRC.com Haystack 填充概念的可靠性

信息安全 密码分析 密码 熵
2021-09-07 22:04:22

我想知道Gibson Research Corporation提出的关于添加填充的简单密码（= 非常容易记住）的概念（如果您不想点击链接，请参见下文）如何合理。

我了解吉布森在增加搜索空间等方面的目的，但我想知道这是否适用于现实世界的场景，即您的帐户的日常使用以及密码是“安全的”，即使它们的熵超低。

对于那些不想访问网站的人：

Gibson 有一个搜索空间计算器，它指示给定密码的搜索空间。搜索空间取决于密码的长度和构成密码本身的字符（字母 - 大写和小写 - 和/或数字和/或符号）

然后，他继续谈到密码长度以及字母、数字和符号混合的重要性。

一切都非常有意义，但是，用他自己的话说，“熵”并不重要：

熵：如果您有数学倾向，或者如果您有一些安全知识和培训，您可能熟悉“熵”或数据的随机性和不可预测性的概念。如果是这样，您会注意到第一个更强的密码比第二个（较弱的）密码的熵少得多。几乎每个人都一直相信或被告知密码的强度来自“高熵”。但正如我们现在所看到的，当唯一可用的攻击是猜测时，这种长期存在的常识。. . 是 。. . 不是 。. . 正确的！

他提到了2个密码：

1) D0g .....................

2) PrXyc.N(n4k77#L!eVdAfp9

并争辩说，虽然第一个比第二个更令人难忘（甚至包含一个字典单词），但“破解”它的时间比另一个所需的时间要大几个数量级，因此，它更安全。

这个概念合理吗？通俗地说...我应该将所有密码都更改为第一个密码（超级简单且超级长），还是只是在当今超连接的世界中自找麻烦？:)

熵在“在线帐户密码”世界中完全没用吗？

也许这个问题应该在 StackOverflow 上提出，因为更多地关注计算机系统授权机制中低熵密码的实际使用，以及密码破解。不知道...

现在可以吗，还是我应该更具体？这是题外话吗？

戴夫

1个回答

当然熵理论上使密码更强大，但从密码破解者的角度来看，第一个密码可能需要更长的时间才能破解。这是因为密码的长度——这个参数对于短密码可能无效。这是我自己之前写过的东西

考虑密码破解软件如何攻击密码：

  1. 尝试海量词典中的所有单词，包括常用密码。
  2. 尝试每个字典单词的常见排列（password1、password123、p@assw0rd、drowssap 等）。
  3. 暴力破解每个密码，尝试所有可能的字母组合。

只要密码不属于前两个类别并且软件必须执行完整的暴力破解，第一个密码是最强的，因为它长一个字符并且使用相同的键空间（大写、小写、数字和符号） ) 作为第二个密码。第一个密码长 24 个字符，因此可能有 95^24（291,989,024,338,773,000,000,000,000,000,000,000,000,000,000,000）种可能的排列。第二个密码有 95^23 (3,073,568,677,250,240,000,000,000,000,000,000,000,000,000,000) 个排列。如您所见，第 24 个字符有很大的不同。

在实践中，如果密码是 ....g........ 可能会比其他两个密码花费更长的时间来破解，因为即使它只使用了两个小写字母和一个符号，密码破解软件仍然会尝试使用大写字母和数字，而且它的长度是两个字符。但是请记住，如果一群人开始遵循填充的概念，那么构建密码破解规则来尝试填充所有密码并不难。您最好在整个密码中混合填充，交替使用多个字符，或者只是在密码中添加几个半字。

在密码方面，熵和字符集的缺乏总是可以通过增加密码的长度来弥补。

尽管如此，说了这么多，你仍然需要聪明，不要在多个系统上重复使用相同的密码甚至是相同的模式，你真的应该只在你必须记住密码的情况下依赖这样的东西。使用带有随机密码生成器的密码管理器仍然是最好的做法。

其它你可能感兴趣的问题
上一篇ntpd 是否纯粹作为易受最近 ntp 漏洞影响的客户端运行？ 下一篇数据库泄露后，password_verify() 可以用来识别密码吗？