Словарная атака на пароль

Question

Еще один вопрос с паролем, боюсь ...

Я читал о надежности пароля и так далее, и у меня есть вопрос о словарных атаках на пароль, если вы, дамы и господа, любезно ответите.

Насколько я могу судить по документации, которую я читал, просто применил атаку по словарю, сравнив хэш пароля с хэшами, сгенерированными из списка слов, с дополнительными изменениями, такими как o-0, 1-1 e- 3 замены и замена корпуса.

Теперь, поправьте меня, если я ошибаюсь, если я ставлю слово перед солью, тогда это достаточно усложняет пароль, так что атака по словарю с меньшей вероятностью будет успешной.

Если продолжить, если я создам пароль, который состоит из двух случайно выбранных слов из длинного списка, перемежающегося со случайными числами и пунктуацией, у меня должен быть надежный пароль, который человеку относительно легко запомнить, или я говорю бессмысленно здесь

Например, мой генератор паролей создает пароль «14Simplified% ^ Cheese96», с которым вам нужно согласиться, намного проще запомнить, чем «sl & TcReq! / U9K6% -SN $ 8Ca».

Теперь для всех проверок надежности паролей, которые я обнаружил и к которым имел доступ, оба пароля имеют рейтинг «Сильный», «Очень сильный» или, в случае проверки Microsoft, «Лучший», но насколько хорош первый пароль, учитывая, что он основан на двух словах?

Answer 1

Безопасность всегда является компромиссом - хотя использование совершенно случайных паролей даст вам больше битов энтропии, оно также увеличивает риск того, что пользователи напишут его в заметках после записи (в результате возникает иллюзия безопасности, поскольку выиграл самый слабый момент). больше не будет в силе пароля); парольную фразу (из нескольких слов) с несколькими символами легче запомнить, но при этом она обеспечивает достаточную энтропию. Вы должны убедиться, что в списке, который вы используете, есть длинные слова (которые не входят в число наиболее распространенных 1000 слов).

Конечно, «достаточно ли это безопасно» зависит от того, что вы защищаете - определенно недостаточно защищено для Fort Knox, но этого будет достаточно, например. для учетной записи IM.

Answer 2

Если бы кто-то знал, как работает ваш генератор паролей, было бы довольно легко закодировать словарную атаку, которая могла бы его использовать.

Если бы кто-то не знал, как он работал, или что генерировался используемый парольтаким образом, я не думаю, что он будет уязвим для атаки по словарю.