質問: 「何世紀にもわたって破る」というパスワードの使用について混乱 私はこのパスワードについて話しています - `23 ## 24 $$ 25 %% 26` と、パターンで表示される特殊文字で構成されている類似のもの。 職場(金融会社)では、ユーザーが選択できないような不適切なパスワードのリストを作成していました。特定のサイクルやパターン、および特殊文字を挟む連続した数字が含まれているという特徴2回)。 好奇心から、私はこれを非常によく知られているウェブサイト(そのログインページ)でチェックしました、そしてこれは何世紀もの間破るのにかかるだろうと述べました。 リストには壊れるまでに数年かかるが、非常に脆弱な例がいくつかあります。 `[email protected]#4$5%6^` `[email protected]#4$5%6^7&` `[email protected]#d$e%f^` 今、私はリストと混同して立っています、私がこれらの特定の種類のパスワードを脆弱であるとマークし、たとえ彼らが破るのに非常に長い時間がかかったとしても 注1 - 覚えやすいように、多くのユーザー(したがって複数の類似したパスワード)がこの傾向に従っているため、これらの脆弱性を考慮しています。 注2 - セキュリティ担当者はエントロピーを増やすことに全力を注いでいるため、混乱しています。無視しているのは、データベース内の類似ハッシュの順序性の向上です。 どのパスワードを許可または禁止するかを定義して、どこに線を引くかについて、両者間で摩擦が生じました。 **Edits:** * This website I am talking about, but won't name, on which I tested the password is pretty much known to every ethical/unethical hacker, almost every user here on Stack Exchange and many big/small companies (as they use its services). * **We do not store passwords in plain text**. We use a nice, not home-brewed, hashing algorithm. An incident led us to review our password policies, and we created a separate database `db-2` on a different machine, wherein we stored simply_hashed_newly_created user's password (no salt, nothing, just hashed_password) without storing who_created, when_created details. We did this for short period only. Any password change too went into this database. While, in our original database `db-1` sat secure_salted_passwords. We kept creating a list `L` of hashed vulnerable passwords as well, following a pattern, and we were left amused when we matched `L` & `db-2` - we saw multiple groups of similar passwords, with certain patterns. `L` and `db-2` were later erased from the systems. * `db-2` was kept on a highly secure machine and was safe, won't disclose the exact details here. We are aware that even air-gaps or electric-sockets aren't secure. Both `db-2` and `L` were destroyed. * Worry not about passwords posted here, as we have already conducted our small experiment, and all those specific set of users have been made to reset their passwords (of course, a new password different from the old one). That's the reason, I came here posting few samples. And, I have commented here earlier too, that I posted a sample of passwords from the generator's logic which created a very huge list of hashed passwords, which may or may not be in `db-2`. Again, since all those users have a new password, so no worries, everything is safe and secure. * Since I know the generator's working, I tested few password-samples on a website, and we got confused over which ones to be allowed or disallowed, over what criteria. **Thanks a lot for your answers, accept my gratitude.** Based on the answers, for the time being, we have postponed any kind of restriction to be put over password's choice.
回答: 必要に応じて、 "12345678"のようなパスワードをランダムと見なすことができます。ランダムパスワードのジェネレータを使用している場合、 "12345678"が生成される可能性は、 "4h2Ud8yG"と同じです(英数字パスワードのみを考慮して)。また、 "12345678"は、 "00000000"から "ZZZZZZZZ"の範囲でランダムにブルートフォースすると、 "4h2Ud8yG"と同じくらい壊れにくくなります。しかし、真実は、パスワードはただランダムであるべきではなく、ランダムに見えるはずです 。どうして?攻撃者は辞書やパターンに基づいて総当たりを使用することが多いため、単語やパターンに基づいていないパスワードの方が安全です。また、パスワードを覚えやすくするために単語やパターンを使用すると、同じ人が使用している他のすべてのパスワードが同じように覚えやすくなる可能性があります。そのため、攻撃者があなたのパスワードの1つを盗み、それが "John75"のように見える場合、それらは "name + number"、 "word + number"、またはいくつかのバリエーションなどのパターンをブルートフォースすることによってあなたのパスワードの大部分を破ります。しかし、攻撃者があなたのパスワードの1つを盗み、それが "4h2Ud8yG"のようにランダムに見える場合、彼らはそれからどんな情報も抽出することができないでしょう。 ですから、あなたが持っているパスワードが本当に安全ではないと言うのは正しいことです。彼らはあなたが彼らが持っていると思うすべてのエントロピーさえ持っていません!これは、パスワードエントロピーが、パスワードの外観やパスワードの作成方法に基づいているためです。 「1!2 @ 3#4 $ 5%6 ^」のようなパスワードです。「数字の後に6回続く」のように考えると、(10×10)^ 6 = 10 ^ 12の可能性があります。これは、小文字と数字で構成された単純な8文字のパスワードの可能性よりも少ないです。36 ^ 8 = 2.8 x 10 ^ 12の可能性。 しかし、この例のパスワードを「数字の後に1から昇順で6回、同じキーに記号を続ける」のように考えると、その可能性は1つだけです。