Weil, wie LinkedIn und andere aktuelle Passwortlecks zeigen, die häufigsten Passwörter für Websites immer noch "Passwort", "Gott", "123456" usw. sind. Sie können also mit einer wirklich kurzen Liste der häufigsten Passwörter Brute-Force-Aktionen durchführen . Sie können diese Kennwörter jedoch einfach sperren oder ein langes Kennwort anfordern - da mögliche Kombinationen exponentiell mit der Länge zunehmen und das Erfordernis eines langen Kennworts besser ist als das Erfordernis eines "starken" Kennworts, um Brute-Force zu verhindern. Aber zu viele Menschen folgen dem, was sie für eine bewährte Methode halten, ohne es in Frage zu stellen. Eine großartige Frage!

Weil niemand entlassen wurde, weil er Anforderungen an die Kennwortstärke erstellt hat. Für den Administrator ist dies im Grunde ein risikoarmer Ansatz, obwohl diese Einschränkungen für den Benutzer sehr ärgerlich sind und so gut wie keine echte Sicherheit bieten.

Hier sind einige relevante Illustrationen von xkcd! Was als stark angesehen wird, ist tatsächlich schwach, weil die Menschen menschlich sind und sich nicht anstrengen, und das andere ist Faulheit, selbst wenn sie ein "starkes" Passwort verwenden, wird es überall wiederverwendet. Sie können nicht gewinnen!

Passwortstärke

und

Wiederverwendung von Passwörtern

Wenn Sie kurze Passwörter ohne Stärkeanforderung zulassen, lassen Sie sich für jemanden offen, der die Benutzernamen im Regenbogenstil angreift. Zum Beispiel:

  admin, passwordfred, passwordbob, password ... machen Sie so lange, bis das Abklingzeitfenster abläuft ... admin, godfred, godbob, god ... wiederholen Sie nach Bedarf ...  

Viele Systeme werden dieses Muster nicht einmal als Problem kennzeichnen, und ich habe noch nie eines gesehen, das es wirklich auffängt, wenn Sie es über ein Botnetz ausführen und es entsprechend drosseln .

Es gibt verschiedene Arten von Angriffen, denen Kennwörter ausgesetzt sind, ebenso wie eine Reihe von Schutzmaßnahmen implementiert werden können.

Verschlüsselung und / oder Kennwortsperrung sind nur zwei von vielen Mögliche Abwehrmechanismen.
Kennwortstärke ist ein recht anständiger Artikel.

Um Ihre Frage, warum die Kombinationen erforderlich sind, spezifisch zu beantworten, ist dies das einzige verfügbare Mittel, um die Auswahl zu erzwingen eines starken Passworts. Ein starkes Passwort bedeutet wirklich eine hohe Entropie (Änderung) zwischen den Zeichen des Passworts. Je größer die Entropie ist, desto größer ist der Bereich der für die Verschlüsselung verfügbaren Bits (z. B. mit bcrypt). Ein (schwaches) Passwort mit niedriger Entropie nutzt nicht den gesamten für die Verschlüsselung verfügbaren Speicherplatz. Was Sie für eine 128-Bit- oder 256-Bit-Verschlüsselung hielten, ist viel weniger, da nicht der gesamte Bereich für Schlüssel verwendet wurde.

Einige Zahlen könnten helfen, die Dinge klarer zu erklären. Wir werden für das Beispiel ein 8-stelliges Passwort verwenden. Alle Kleinbuchstaben haben nur 26 verschiedene Kombinationen. Das sind also 26 ^ 8 oder 2.1x10 ^ 11 verschiedene Kombinationen.
Das Hinzufügen von Großbuchstaben verdoppelt unseren Platz (jetzt 52 nicht 26), kauft uns aber viel mehr Kombinationen. 52 ^ 8 oder 5,3x10 ^ 13, was einem Gewinn von ungefähr 250x entspricht.
Fügen Sie Zahlen oder Sonderzeichen hinzu, und Sie können leicht die Auswirkungen des Erzwingens von mehr Entropie im Tastenraum erkennen.

In Wirklichkeit haben wir immer noch nicht den vollen Schlüsselraum, da etwas, an das man sich im Allgemeinen erinnern kann, nicht viel Entropie hat. Die Anforderungen tragen jedoch dazu bei, mehr Entropie in das Kennwort zu bringen.

• Speichern von Passwörtern mit bcrypt (oder verwenden Sie zumindest salt + hash) - es ist schwer bis unmöglich, das ursprüngliche Passwort zu finden, wenn ein Angreifer die Datenbank erhält

Wenn sie Ihren Server kompromittiert haben, müssen Sie sich weitaus schlimmere Sorgen machen.

Eine Analogie:

Dieb bricht in Ihr Haus ein. Aber alle Ihre Schlüssel werden sicher aufbewahrt. Na und? Er ist in Ihrem Haus!

• Sperren Sie nachfolgende Kennwortversuche mit zunehmender Abklingzeit - keine Brute-Force über die Website

/ blockquote>

Dies verlangsamt das Problem nur, wenn das Passwort schwach ist, zB "Passwort". Und das ist der erste Versuch, dann kehren Sie zum ersten Punkt zurück.

Ein sicheres Passwort zu haben, ist eine gute Idee (tm)

Ein Grund, der an anderer Stelle nicht erwähnt wird, ist möglicherweise, dass Sie ein größeres Interesse an der Sicherheit Ihres Benutzerkontos haben als die Benutzer selbst.

Wenn Sie beispielsweise ein völlig unkritisches System wie ein Online-Diskussionsforum verwenden, ist es den Benutzern möglicherweise überhaupt nicht wichtig, ob ihre Konten kompromittiert werden - wenn jedoch 5% Ihrer Benutzer Wenn Sie die Passwörter '123456' und 'Passwort' haben, haben Sie immer wieder Probleme mit Spammern, die kompromittierte Konten verwenden. Wenn Sie ein Schulnetzwerk betreiben, ist es einem erheblichen Teil der Benutzer möglicherweise nicht besonders wichtig, ob ihre Konten missbraucht werden. Die Missbraucher verursachen jedoch Probleme für Sie, wenn Sie versuchen, jedes Mal zuverlässig auf ein Dutzend Konten zuzugreifen

Für dieses Angriffsszenario (versuchen Sie es mit einem einfachen Kennwort für alle Kontonamen, die Sie finden können) benötigen Sie keinen Zugriff auf die Datenbank, und Sperren helfen nicht, solange genügend "frische" IP vorhanden ist Adressen sind verfügbar.

Das Problem mit Ihren Lösungen ist:

• Die Verwendung von Hash + Seed schützt nicht vor dem Erraten von Brute-Force-Passwörtern.

• Lockout schützt bis zu einem gewissen Grad, hat jedoch das Problem, dass es als Denial-of-Service-Angriff gegen echte Benutzer verwendet werden kann, insbesondere wenn Sie eine zunehmende Lockout-Zeit verwenden. Ein intelligenter Angreifer kann auf mehrere Konten umsteigen, mehrere IP-Adressen verwenden und / oder eine Zeit zwischen den einzelnen Vermutungen warten.

Im Gegensatz dazu besteht er auf starken (schwerer zu erratenen) ) Passwörter bedeuten, dass der Angreifer (im Durchschnitt) mehr Vermutungen anstellen muss, um ein Konto zu knacken.