Digitando la mia password due volte renderlo più sicuro? O digitando due volte ogni carattere?

In generale, no, il raddoppio della password non aumenta sostanzialmente (o diminuisce) la sicurezza. Quello che raddoppia è lo sforzo di battitura. Raddoppiando la tua password puoi diminuire la tua sicurezza se ti incita a scegliere una password di base più breve / più facile in modo che lo sforzo di digitazione non sia troppo macchinoso.

In termini generali, la sicurezza delle password deriva dalla sua casualità, cioè quanto l'attaccante non sa. Nel caso del "raddoppio", si tratta di un'informazione a un bit (cioè se la si è applicata o meno), quindi, matematicamente parlando, si tratta di un ulteriore bit di entropia. Non è molto Digitare otto caratteri in più per ottenere un singolo bit di entropia è scarso; questo non è un buon affare.

Tutti i trucchi spiritosi condividono lo stesso problema fondamentale: sono spiritosi. Fanno affidamento sul fatto che l'attaccante sia stupido, incompetente o arcaico. Questo non vale in pratica, tranne che contro gli attaccanti che sono veramente stupidi, incompetenti e arcaici - gli dei sanno che sono molti di loro, ma non sono un grosso problema, perché non saprebbero cosa fare con la tua password. Gli aggressori di cui dovresti preoccuparti sono quelli intelligenti, che possono causare danni sostanziali alle tue risorse digitali in breve tempo; questi astuti aggressori non saranno molto scoraggiati dal tuo trucco di raddoppiamento della password.

Considera di leggere questa famosa domanda per ottenere alcune informazioni su ciò che rende una password "strong", in particolare l'entropia matematica in tale risposta .

My password cracker già prova il raddoppio della lettera, il raddoppiamento delle parole, l'inversione e il raddoppiamento delle parole, il ribaltamento e il raddoppiamento delle parole ...

... e molti altri.

Sì. Il raddoppio aggiunge alcuni alla difficoltà: circa quattro bit, top. Mi ci vorrebbe più di sedici volte più tempo di un attacco di dizionario crudo con le sostituzioni di lettere.

Ma alla fine avrei ricevuto BAdpA55 !! 22AqbA8.

Gli umani sono creature sorprendentemente prevedibili. Il nostro modo di pensare non è così unico come vorremmo credere. È probabile, qualsiasi cosa intelligente tu possa pensare per rendere la tua password più sicura, è già stata pensata da molte altre persone, e gli hacker sono ben consapevoli di tutti questi trucchi intelligenti.

L'unico modo per rendere una password correttamente sicura è renderla lunga e casuale. Rimuovi la fallibilità umana dall'equazione. Se una password è così complessa, non è possibile memorizzarla, quindi potrebbe essere abbastanza sicura.

I gestori di password sono estremamente utili. Ti consentono di rendere tutte le password che utilizzi univoche e ogni password completamente casuale.

Ovviamente devi assicurarti che il tuo database di gestione delle password sia sicuro e non sia possibile accedervi da remoto.

Ci sono molti fattori ma alla fine si rompe su quale tipo di password cracking stai cercando di proteggere. Contro una forza bruta aumentare la lunghezza della password renderà più difficile craccare. Supponendo che il loro hashing non sia orribile, una password decente di 8 o 9 caratteri dovrebbe già essere molto difficile da forzare con la forza bruta. Ciò significa che raddoppiarlo digitando due volte ciascun carattere o digitando la stessa password due volte non fa molto.

Una volta che la tua password è lunga abbastanza per essere al sicuro da un attacco di forza bruta, devi iniziare a preoccuparti degli attacchi del dizionario, degli attacchi combinati e di altre cose del genere. Entrambe le cose che suggerisci sarebbero facili da includere in un attacco basato su regole e qualsiasi valore in sicurezza aggiuntiva dipende da ciò che non viene comunemente fatto e non viene incluso nel loro set di regole.

Link alla demo di entropia della password zxcvbn.

Secondo zxcvbn, le statistiche della tua password iniziale:

Normale: PwdThing

 Guesses:
    100 / hour:     5 months    (throttled online attack)
    10  / second:   58 minutes  (unthrottled online attack)
    10k / second:   35 seconds  (offline attack, slow hash, many cores)
    10B / second:   less than a second  (offline attack, fast hash, many cores)

Raddoppia: PwdThingPwdThing

guess times:
100 / hour:     9 months    (throttled online attack)
10  / second:   2 hours (unthrottled online attack)
10k / second:   1 minute    (offline attack, slow hash, many cores)
10B / second:   less than a second  (offline attack, fast hash, many cores

Lettera raddoppiata: PPwwddTThhiinngg

guess times:
100 / hour:     centuries   (throttled online attack)
10  / second:   centuries   (unthrottled online attack)
10k / second:   centuries   (offline attack, slow hash, many cores)
10B / second:   12 days (offline attack, fast hash, many cores)

zxcvbn potrebbe non essere perfetto, ma mi sembra che ti dia una stima abbastanza buona della tua password. Gioca con esso per ottenere una bella password memorabile con un punteggio elevato.

Preferisco le frasi da usare come password. Sono lunghi e intrinsecamente difficili da indovinare e facili da ricordare.

EX: "Il mio secondo frutto preferito, il lunedì, è mango!" (spazi inclusi dove consentito)

Se sei preoccupato per la bruta NSA che impone la tua password ... io andrei con le password generate di cui parlano tutti gli altri.

Due cose rendono più sicura una password: lunghezza e casualità. Quindi, la risposta alla tua domanda è in definitiva Sì , aumenti la sicurezza della tua password.

Ma in generale, la tua password iniziale non è super sicura perché utilizza parole che possono essere trovate in un dizionario. E il raddoppiamento è solo un modello ripetitivo che un algoritmo di cracking può facilmente fare anche a te. Quindi, non solo raddoppia la tua password, assicurati che ciò che raddoppi non siano parole reali.

aggiungere una lunghezza ad una password aumenta sostanzialmente la sicurezza di una password, quindi penso che digitare la password due volte o raddoppiare ogni carattere sia meglio di non farlo e usare una password più breve di 8 o 9 caratteri. Fai riferimento a questo link per ulteriori informazioni su come aumentare la durata della password migliora significativamente la sua sicurezza: link

La lunghezza della password è sempre un fattore chiave per la sicurezza delle password, ma cerca anche di migliorare il contenuto, raddoppiando la password potresti essere d'aiuto nei confronti della pratica con attacchi HYDRA / Dictionary

@SethWhite - ritieni di aver dato la risposta più precisa.

Molti utenti non comprendono le strade e i metodi usati per infrangere una password. Inoltre ci sono misure di sicurezza aggiuntive come il blocco delle porte per i chiamanti http / ftp sconosciuti. Qualcuno esperto dovrebbe spiegare.

Seth mostra che ci sono in leasing quattro diverse strade per rompere una password nel modo più difficile. Il modo più semplice è quello di Phish, guardare sotto la tastiera, le note adesive sul monitor per il foglio di carta ecc.

Le password sono solo una parte di ciò che protegge i tuoi dati dagli attacchi. La tua password (frase chiave) viene utilizzata per generare una sequenza casuale di codici binari (codice macchina) che può essere decodificata solo con la tua password e l'algoritmo del software che lo ha codificato. Quindi chiunque cerchi di indovinare questa sequenza binaria (HASH) sui dati di base (senza usare il software di decodifica utilizzato da una pagina di accesso) dovrà provare a caso a partire dal primo byte fino a quando non indovinerà tutti i byte casualmente. Questo è ciò che Seth mostra come forza Brute e richiede molto tempo e molti core per lunghezze HASH a 64.128.256.512 byte. Il tempo di hackerre aumenta esponenzialmente con la lunghezza. La lunghezza di HASH si basa sulla dimensione della password, quindi una password più lunga dura più a lungo il tempo di forza bruta HASH.

Credo che Wikileaks abbia impiegato molti mesi per infrangere il codice, ma la maggior parte degli HASH possono essere violati. Penserei che gli hack del centro servizi dati fossero attacchi di dizionario in cui l'hacker ha utilizzato il software di decodifica dell'accesso per indovinare le password. Di conseguenza, gli attacchi di dizionario hanno solitamente un qualche tipo di accesso al sistema su cui si trovano i dati non solo sui dati.

Prima istanza, poiché comprendo che l'attacco online limitato viene eliminato da una connessione http, probabilmente supportata da un cookie compromesso (piccolo programma solitamente utile installato dai server Web) in "Dizionario attacca il tuo sistema".

Conclusione: lunghe password casuali (contee "PPwwddTThihli") aiutano moltissimo a fermare entrambi i tipi di attacchi. La lunghezza e la complessità della password dovrebbero riflettere il pericolo per gli attacchi del dizionario e la sensibilità alle informazioni memorizzate.

P.S. La mia famiglia mi odia perché la nostra rete domestica wireless è protetta da una frase chiave casuale di 128 byte.