Come mai una password generata in maniera controllata è più sicura di una generata in modo puramente casuale [duplicato]

Molti siti hanno requisiti di complessità. Un vantaggio delle caselle di controllo è quello di garantire che la password venga effettivamente accettata dal sito Web per il quale si sta generando. Un'altra ragione è psicologica. Le persone crederanno che la password sia meno suscettibile a indovinare se ha questi requisiti di carattere. Realisticamente, una password con 80 bit di entropia che è completamente casuale e una password con 80 bit di entropia che ha questi requisiti sono entrambi abbastanza forti da indovinare o un attacco di forza bruta non dovrebbe mai essere un problema, anche se per nessun altro motivo che il l'attaccante riceverà abbastanza password che eseguono la sua macchina a forza bruta per qualche altro anno solo per ottenere l'ultimo 0,25% degli hash delle password che ha rubato non vale la pena.

Modifica: Vorrei sottolineare che determinare la quantità di entropia di una password non è tanto una scienza esatta quanto un'approssimazione. Come discusso in uno dei link nella risposta di Jedi, diversi generatori di password hanno algoritmi diversi per questo, quindi se KeePass dice che una password "batte" un'altra in termini di entropia calcolata, ma la differenza è solo 1 o 2 bit su 30+ totali bit allora potrebbe non esserci un vantaggio nello scegliere l'uno rispetto all'altro. Ovviamente con password molto piccole un singolo bit può essere significativo, ma spero che chiunque stia leggendo security.se stia lontano dalle password ovviamente orribili.

Un motivo importante per l'approccio "spuntare alcune caselle" è perché troppi siti hanno le proprie politiche password uniche ( your password must be a palindrome in iambic penatameter ecc.)

But in average, I don't understand why making sure that there's at least 1 char from every lists is more secure than a purely randomly generated password.

Non direi che è più sicuro, solo che i dizionari di forza bruta contenenti un tipo di carattere (tutti in minuscolo / maiuscolo / numeri) erano ampiamente usati nel giorno . Allo stesso modo, gli hash per molte di queste classi di password sono già calcolati e memorizzati in molte tabelle arcobaleno.

How come it's possible to "beat" (in terms of security) a purely randomly generated password?

Una password errata è semplicemente una che è ampiamente usata / conosciuta / corrisponde al comportamento umano. per esempio. gli esseri umani tendono a utilizzare le date , tendono ad avere una sequenza di cifre; se è richiesta una lettera maiuscola, è spesso la prima, se è richiesto un carattere speciale, è spesso l'ultima ecc. (cercherò di farlo presto).

Considerando un numero elevato di utenti, è non banalmente probabile che le password corrispondenti a modelli errati noti vengano generate "casualmente" una parte del tempo.

Supponiamo che tutte le password "casuali" di lunghezza 'n' siano ugualmente suscettibili di essere generate. Tuttavia, una percentuale di queste password è molto più probabile essere forzata bruta. Questo è ciò che lo rende peggiore.

Shouldn't these kind of passwords contain the most entropy in average, rather than a password made with human intervention?

Vorrei link a un post precedente per discutere come viene calcolata l'entropia di una password (include un link a una recente valutazione delle password)

Inoltre, consulta questo post correlato che spiega perché alcune password generate casualmente dovrebbero essere scartate .