Puoi misurare l'entropia di una password "facile da ricordare"? [duplicare]

Question

Puoi misurare l'entropia di una password "facile da ricordare"? [duplicare]

#1 da (1 voti)
#2 da (1 voti)

0

Sto cercando di trovare un modo per misurare l'entropia di una password facile da ricordare, basata su un elenco di parole inglesi comuni, liberamente ispirato a questo fumetto XKCD . Mi piacerebbe sapere se la mia matematica è corretta o se le mie supposizioni su "facile da ricordare" sono imperfette.

Considererò il numero di parole inglesi comuni nel dizionario come variabile d .

Considererò il numero di parole da utilizzare nella password come variabile n .

Se si considera che la tastiera US-English contenga tutti i possibili caratteri che potrebbero costituire una password che è facile da ricordare, conto 96 simboli totali che possono essere digitati direttamente, comprese lettere maiuscole e minuscole.

Questi sono:

TAB SPACE ABCDEFGHIJKLMNOPQRSTUVWXYZ abcdefghijklmnopqrstuvwxyz 0123456789 ~'!@#$%^&*()_-+= {[}]|\ :;"'<,>.?/

Considererò questi caratteri come una complessità extra che può essere aggiunta alle parole del dizionario o alla variabile e come 96.

In modo che siano più facili da ricordare, considererò solo l'aggiunta di simboli all'inizio o alla fine di una parola, o come una parola da soli, ma non collocati arbitrariamente all'interno di una parola di un dizionario. Questo dovrebbe significare che ci sono 2 * n + n + 1 posizioni disponibili per ogni simbolo che viene aggiunto. Utilizzerò la variabile s per il numero di simboli di complessità aggiuntivi aggiunti.

L'equazione per le combinazioni possibili totali in uso dovrebbe essere:

combinations = d^n + e^(s*(2*n+n+1))

Pertanto, il numero di bit di entropia forniti da questo tipo di password dovrebbe essere:

bits = log2(commbinations)

La mia matematica è corretta?

Le mie ipotesi sulle regole per una password facile da ricordare sono imperfette?

passwords entropy

posta Smack Jack 28.08.2016 - 00:17

fonte

2 risposte

Leggi altre domande sui tag passwords entropy

Perché ricevo messaggi di avviso di virus contraffatti su Facebook? In che modo l'autenticazione della chiave pubblica SSH collega una chiave pubblica ad un accesso?

score 1 · Answer 1

Non ho controllato la formula delle combinazioni (come spiegato di seguito), ma se gli utenti scelgono tra tutte le possibili combinazioni con uguale probabilità , allora sì, prendi semplicemente il logaritmo in base 2 del numero di combinazioni possibili.

Ma la parte più importante di uno schema come questo è ciò che mi è venuto in mente: come si fa a ottenere che gli utenti scelgano tra tutte le combinazioni con uguale probabilità? Il fumetto XKCD non riesce proprio ad affrontarlo, e vedi che le persone troppo spesso non riescono ad afferrare quel punto. Esiste tuttavia il metodo Diceware , una versione precedente dello stesso concetto, che affronta questo problema istruendo gli utenti a lancia i dadi come parte del processo per la generazione di una passphrase.

L'altra cosa che dovresti considerare è se il tuo schema di mettere simboli aggiuntivi su ogni parola valga davvero la pena. I simboli aggiuntivi non sono magici: aumentano semplicemente il numero di combinazioni, qualcosa che puoi fare molto semplicemente semplicemente usando più parole; qualsiasi guadagno che potresti ottenere per aumentare s , puoi ottenere aumentando n . Questo è il motivo per cui non ho controllato la formula delle combinazioni: sono scettico sul valore dei simboli aggiuntivi.

score 1 · Answer 2

L'entropia riflette essenzialmente la quantità di informazioni sconosciute. L'idea è che maggiore è l'entropia, più difficile è indovinare la password. Per calcolare la quantità di informazioni sconosciute il tuo modello di calcolo deve sapere quali informazioni sono già note all'attaccante. Ciò significa che non è possibile basare il modello su come gli utenti creano password, ma deve basarsi su come indovinare le password, ovvero quanto impegno sarebbe necessario per costruire una password specifica con i comuni cracker o come i colleghi potrebbero indovinare la password ecc. su quale vettore di attacco consideri.

Se si ritiene che le password con hash potrebbero essere compromesse da alcuni attacchi esterni e sono possibili attacchi offline, è necessario studiare i metodi utilizzati nei moderni password cracker. Questi metodi sono solitamente basati su enormi elenchi di password acquisite durante gli attacchi. Quindi questi cracker password impiegano varie modifiche tipicamente utilizzate su questi dati prima di provare la forza bruta.

Se invece consideri i colleghi come vettori di attacco, dovresti anche considerare che questi colleghi hanno conoscenze specifiche sull'utente attaccato che potrebbero aiutare a trovare la password corretta. Quindi è necessario aggiungere queste informazioni (come il nome di genitori, coniuge, figli, cani ...) anche al calcolo.

E ci sono probabilmente diversi scenari che è possibile studiare, a seconda del proprio ambiente.