Da articolo di Wikipedia sulla forza della password :
NIST recommends 80-bits for the most secure passwords
Esiste qualche stima dell'entropia per il generatore automatico di password FIPS-181?
Lunghezza raccomandata?
Genera password pronunciabili come
erinthec
therglaz
adentory
denybier
taillass
alkhoray
malteake
Si noti che FIPS 181 è del 1993, che è antico, in termini di sicurezza del computer. Il documento non dice quanta entropia hanno le password. Dice:
Approximately 18 million 6-character, 5.7 billion 8-character, and 1.6 trillion 10-character passwords can be created by the program.
La domanda è se quelle password siano tutte ugualmente probabili. E senza dubbio la risposta è no secondo Un nuovo attacco su Rono pronunciante Generatori di password .
Ma ciò che ci dà è un limite superiore sull'entropia. log2 (1.6e12) è 40.5, quindi il massimo che si possa sperare è di circa 40 bit di entropia con una password FIPS 181 di 10 caratteri. Il calcolo di Stephen di 64 bit per 16 caratteri sembra giusto, dal momento che questa stima equivale a circa 4 bit di entropia possibile per carattere, anche se di nuovo sarebbe il limite superiore. 20 caratteri potrebbero arrivare a 80 bit di entropia.
Sarebbe meglio usare qualcosa come il programma apg , che include lettere maiuscole, cifre e caratteri speciali per impostazione predefinita e puoi chiedere password pronunciabili o no.
Ho letto NIST SP 800-63-2 Linee guida per l'autenticazione elettronica (agosto 2013) e non ha visto nulla del tipo " NIST raccomanda 80-bit per le password più sicure ". Stabilisce molti scenari e condizioni. Suggerisco di leggerlo e applicarlo al tuo modello di minaccia .
RFC 4086 - Requisiti di casualità per la sicurezza presenta alcuni esempi di modelli di minacce e come calcolare l'entropia desiderata per ognuno. Le risposte variano tra 29 bit e 128 bit di entropia necessari.
Vedi anche Quanto è sicura una password pronunciabile? In mezzo di entropia - Cryptography Stack Exchange
Leggi altre domande sui tag passwords