E 'davvero "Tempo di aggiungere una parola" se non ci sono strumenti per crackare passphrase di 3 parole e fino?

Non puoi sapere quali strumenti esistono. In realtà, se il modello di attacco può essere enunciato ("usa solo tre parole casuali da un elenco di parole comuni"), allora può essere tradotto in codice in pochi minuti. Che lo strumento già compilato e pronto all'uso non sia accessibile da una singola ricerca di Google e un paio di clic non significa che non esiste, solo che gli attaccanti di livello zero, pre-scolare potrebbero avere qualche problema a provare per rompere la tua password. Ma considereresti il tuo obiettivo di sicurezza raggiunto quando hai sconfitto i bambini annoiati?

Qualsiasi asserzione che paragona le capacità di calcolo a quella di "NSA" dovrebbe essere respinta in quanto priva di significato. Non è possibile utilizzare come base di una scala di misura una quantità che è già sconosciuta; sarebbe come descrivere il tuo nuovo camion come "più lungo di Nessie ". Una frase come:

Today criminal gangs probably have access to more computing power then the NSA

si legge veramente come:

I don't know what "criminal gangs" and "the NSA" can do or not, but I want you to get afraid and be crushed by the weight of your own fantasies at that point.

Ciò che conta è entropy : una nozione matematica e precisa di ciò che l'attaccante non sa. Dovresti usare un processo di generazione di password che ti permetta non solo di ottenere un'alta entropia, ma anche di calcolare che entropia con le ipotesi meno possibili; in particolare, non si vuole supporre che alcuni strumenti "non siano disponibili per l'aggressore", perché non possono essere facilmente quantificati. Per quanto riguarda le passphrase a più parole, vedi questa risposta per i calcoli di entropia.

Non c'è nulla di complicato nel costruire uno strumento per decifrare le passphrase di Diceware assumendo che tu abbia un oracolo, come un hash della passphrase, che ti dirà quando hai la risposta corretta. Lo strumento di cracking passerebbe semplicemente attraverso tutte le possibili combinazioni di fino a n parole dall'elenco Diceware. È anche semplice stimare quanto tempo impiegherebbe un tale attacco: 7776 all'ennesima potenza moltiplicherà il tempo necessario per testare una passphrase candidata. Quel periodo di tempo ti garantisce che troverai la frase d'accesso, hai una probabilità 50-50 di riuscire a metà di quel tempo. Se si utilizzano più motori di calcolo, dividere per il numero di motori. La forza di Diceware deriva dal fatto che 7776 all'ennesima potenza diventa un numero molto grande per n = 5 o più.

Non sto cercando di spaventare nessuno. Ci sono abbastanza storie sulla stampa in merito a violazioni della sicurezza che servono a questo scopo per chiunque ne abbia voglia. Quando ho proposto per la prima volta Diceware nel 1995, n = 5 sembrava fornire una protezione sufficiente per la maggior parte delle esigenze di sicurezza degli utenti, almeno per i prossimi due decenni. La potenza di calcolo disponibile per un dato ammontare di spesa è aumentata costantemente da allora, come previsto, e raggiungere lo stesso livello di sicurezza oggi che le 5 parole Diceware fornite nel 1995, a mio giudizio, richiedono una sesta parola. Se tutti i sistemi usassero tecniche come lo stretching delle chiavi per proteggere le password memorizzate, cinque parole sarebbero comunque sufficienti, ma sfortunatamente lo stretching chiave è più l'eccezione che la regola.

Se le parole Diceware vengono eseguite insieme, c'è la possibilità che due parole più piccole si uniscano per formare un'altra parola Diceware, ad esempio "atto" e "ione" si uniscono per formare "azione". Quando ciò accade, la forza del passphrase è ridotta di una parola. Ora consiglio agli utenti di Diceware di inserire un carattere di spazio tra ogni parola, che elimina completamente questo problema. Quando i rapporti sono emersi sulla cattura della password tramite analisi acustica, ho proposto di eliminare gli spazi. Da allora è diventato chiaro che fare ciò non impedirà l'analisi acustica e che ci sono altri metodi disponibili per qualcuno che può accedere alla tastiera o avvicinarsi al punto in cui si sta digitando la passphrase, ad es. software di acquisizione delle chiavi, cavo con bug o videosorveglianza. Quindi sono tornato a consigliare gli spazi, che è più naturale quando si digita una stringa di parole. Riduce anche la suscettibilità di brevi frasi passate di Diceware all'attacco della forza bruta lettera per lettera, che è la minaccia più comune in natura.

Arnold Reinhold diceware.com