Das Folgende wird dem nicht wirklich gerecht, aber zusammenfassend ...

In einer idealen Welt sollten keine komplizierten Passwörter für Online-Ressourcen erforderlich sein.

Aber In dieser idealen Welt sind wir darauf angewiesen, dass die Administratoren des Systems die Systeme härten, um den unbefugten Zugriff auf die Kennwortdatei zu verhindern. Folgendes minimiert das Risiko:

• Konfigurieren Sie die Infrastruktur sicher.
• Patches sofort anwenden;
• In irgendeiner Form überwachen, um einen Kompromiss im Falle eines Zero-Day-Exploit-Szenarios zu identifizieren (damit Benutzer aufgefordert werden können, ihre Kennwörter zu ändern );
• Haben und befolgen Sie 'sichere' Programmier- / Entwicklungsmethoden;
• Beschäftigen Sie nur vertrauenswürdige Personen.

Eine vollständige Kombination davon ist unwahrscheinlich Für viele Websites.

Schwächen in der obigen Liste können zu Exploits führen, mit denen Kennwörter vollständig umgangen werden können. Unabhängig von der Art eines erfolgreichen Exploits ist dies jedoch sicher nach dem Gewinnen Der unbefugte Zugriff auf ein System greift Angreifer an, die Kennwortdatei zu filtern und sie anschließend brutal zu erzwingen, um die weitere Kompromittierung anderer Systeme zu unterstützen (indem das Kennwortrecycling ausgenutzt wird).

Es gibt also keine Garantie dafür, dass ein starker (er ) Passwort verhindert alle schlechten Dinge. Es kann helfen, Schwachstellen in den Lösungen der Anbieter (ob bekannt oder nicht) zu beheben.

Um Zweifel zu vermeiden, sind wir auch darauf angewiesen, dass der Dienstanbieter die folgenden Schritte ausführt :

• Hashing und Salting auf Passwörter anwenden;
• Stellen Sie sicher, dass das Passwort niemals im Klartext ausgetauscht wird.

Ich denke für Bei den meisten Endbenutzern hängt die Entscheidung über die Komplexität und Länge des Kennworts von den Informationen ab, auf die die Site (und damit das Kennwort) Zugriff gewährt.

Meine Empfehlung lautet: Wenn es wichtig ist, verwenden Sie ein komplexes Kennwort, damit im Falle eines Systemkompromisses wahrscheinlich zuerst die Kennwörter anderer Personen entdeckt werden. Wenn jedoch etwas Triviales und Bequemeres wichtiger ist, nutzen Sie ein schwächeres Passwort, akzeptieren Sie jedoch, dass ein Hack zum Verlust des Zugriffs auf das Konto und / oder zur Freigabe von Informationen aus dem Konto führen kann.

Für Viele Websitebesitzer Ich vermute, dass die Entscheidung, komplexe Passwörter zu benötigen, eine Kombination aus FUD und dem Wunsch ist, die Auswirkungen eines kritischen Versagens von Kontrollen zu minimieren, indem die Zeit für Brute-Force-Passwörter verlängert wird, wodurch die Korrektur und Minimierung des tatsächlichen Benutzers länger dauert Kontokompromittierung (obwohl ein Angreifer, der Zugriff auf Kennwort-Hashes hat, wahrscheinlich über einen ausreichenden Systemzugriff verfügt, um das System auf andere Weise zu gefährden).

Die Empfehlung für ein langes Passwort besteht darin, Passwörter vor dem Knacken zu schützen, wenn jemand Zugriff auf den Hash dieses Passworts hat.

Tools wie Hashcat können problemlos (mit GPU) 93800M c / s MD5-Hashes testen

Als Benutzer wissen Sie normalerweise nicht, wie die Site Ihr Passwort speichert. Daher ist es besser, ein langes Passwort zu verwenden, um diese Angriffe abzuwehren.

Gute Passwörter auszuwählen ist schwierig. Menschen und unsere Vorliebe für Muster sind einfach nicht sehr gut darin. Multiplizieren Sie das mit den Dutzenden von Konten, die wir im Laufe der Zeit ansammeln, und dies ist die Wurzel des Problems.

Ja, die Beseitigung fehlerhafter Kennwörter und die Wiederverwendung von Kennwörtern können das Problem der Erstellung weicher Ziele lösen, aber nicht das Grundproblem der Verwaltung all dieser Konten und Kennwörter, was zu fehlerhaften führt Passwörter und Passwortwiederverwendung in erster Linie. Es ist also gut und schön zu sagen, dass Sie nur gute Richtlinien zur Kennwortsicherheit befolgen, und Sie sind sicher, aber ohne das Problem der Kontoverwaltung anzugehen, haben Sie nichts gelöst.

Wie lautet die Antwort? Verwenden Sie einen Passwort-Manager. Dies löst das Problem. Wenn Sie das Problem der Kennworterstellung und -verwaltung auf ein speziell für diesen Zweck entwickeltes Tool verlagern, erhalten Sie standardmäßig sichere Kennwörter und müssen ein Kennwort nie wieder verwenden. Es ist keine perfekte Lösung (nichts ist es), aber es ist die beste, die wir derzeit haben, und wirft Fragen zur Komplexität und Länge des Passworts auf, denn wenn Sie nicht derjenige sind, der das Passwort erstellen und sich merken muss, ist es Ihnen egal wie komplex und lang es ist, nur dass es mit genügend Entropie erzeugt wird, um es stark zu machen, und ein Passwort-Manager gibt Ihnen das.

Die einzigen vernünftigen Annahmen für Webentwickler, die die lokale Kennwortauthentifizierung verwenden, sind:

1. , dass ihre Benutzer für alles dasselbe Kennwort verwenden ;

2. dass die Site bereits kompromittiert wurde, auch wenn sie noch nicht fertig geschrieben wurde; und

3. mit den Folgen dieses Kompromisses wird eine wirklich teure rechtliche Haftung verbunden sein.

ol>

(Bitte beachten Sie dies Ich impliziere nicht und schlage auch nicht vor, dass alle - oder sogar alle - Webentwickler vernünftig sind oder genug darüber wissen, was sie tun, um zu erkennen, dass das, was sie tun, verrückt wäre wenn sie wüssten, was sie taten. Einfache Hashes, ob einfach oder gesalzen, sind rechnerisch nah genug an einfachem Text, um heutzutage nichts dagegen zu haben, und dennoch findet man immer noch einfachen Text, ungesalzenes MD5 usw. verstreut über das Internet in sogenannten "Tutorials", die überall auf Servern kopiert und in die Produktion eingefügt werden.)

Diese Annahmen bedeuten, dass ich Ihr Passwort so behandeln muss, als ob ich eine Website mit einer extrem lokalen Anwendung betreibe, die es den Nutzern ermöglicht, Empfehlungen für glutenfreie Hamster-Leckereien aus biologischem Anbau aus Freilandhaltung und lokalem Anbau aufzulisten Es waren Ihre PayPal-, eBay- und E-Mail-Konten zusammen (weil es eine ziemlich gute Chance gibt, dass dies effektiv ist). Und das bedeutet, dass ich, um mein eigenes wertvolles Hinterteil zu schützen, zumindest einige minimale Schritte unternehmen muss, um Ihr kostbares Hinterteil zu schützen, ob es Ihnen gefällt oder nicht. Im Idealfall bedeutet dies, dass Sie Ihr Passwort zu etwas machen, das nicht trivial brutal erzwungen werden kann (unter Verwendung eines Crypto-Random-Salt und einer teuren Funktion zur Schlüsselableitung) und eine absolute Untergrenze für die Anzahl der Zeichen festlegen (idealerweise ohne Obergrenze, innerhalb eines angemessenen Rahmens) ), während Sie trotzdem etwas verwenden können, an das Sie sich leicht erinnern können (nichts davon "muss mindestens ein Zeichen mit Akzent, ein Emoji und ein Hiragana verwenden" -Nonsens). Mit anderen Worten, wenn Sie ein wirklich kurzes Passwort verwenden, ist mein persönliches Gesäß ungerechtfertigten Gefahren ausgesetzt. Erwarten Sie also nicht, dass ich es zulasse. Und das ist, wenn meine Website keine Geheimnisse außer Ihrem Passwort schützt. Wenn mit Ihnen tatsächlich personenbezogene Daten verbunden sind, für die ich verantwortlich bin, erwarten Sie meine Paranoia bei Ihnen Namen dramatisch zu erhöhen.

Es gibt Probleme mit einigen Ihrer Annahmen.

309 Millionen sind eine lächerlich kleine Zahl, wenn es zu einem Offline-Angriff kommt. Und bei einem Offline-Angriff, selbst mit einem guten Salz, wird der Angreifer zuerst die niedrig hängenden Früchte suchen. Dh. Suchen Sie die Passwörter im Wörterbuch, dann die kurzen Passwörter und andere einfache Passwörter. Wie problematisch dies ist, ist jedoch umstritten - die Chance ist gut, dass ein Angreifer mit Zugriff auf die Kennwortdatenbank auch Zugriff auf alles hat, wonach er sucht. - Dies setzt voraus, dass keine Wiederverwendung von Passwörtern stattfindet.

309 Millionen sind, wie Sie bemerken, ein zu großer Suchraum, um bei einem Online-Angriff brutale Gewalt anzuwenden. Ihre Annahmen, die zu dieser Zahl führen, sind jedoch zweifelhaft. Wir als Spezies sind in zwei relevanten Aufgaben notorisch arm; mit wirklich zufälligen Sequenzen aufwarten und sich an zufällige Sequenzen erinnern. Dies bedeutet, dass Ihre Entropie erheblich niedriger ist, wenn Sie ein 6-stelliges Passwort ausgewählt haben. Dies kann vermieden werden, wenn Sie einen Kennwortmanager oder ein ähnliches Dienstprogramm verwenden. In diesem Fall können Sie jedoch auch ein längeres Kennwort verwenden, um sich vor Offline-Angriffen zu schützen.

Abschließend; Eine gute Entropie in Ihrem Passwort zu erhalten, hängt vom Entropie-PR-Zeichen und der Länge Ihres Passworts ab. - Wenn Sie eine gute Entropie pro Zeichen haben, können Sie ein kürzeres Passwort akzeptieren. Dies ist jedoch ein Ansatz, der für die meisten Menschen schlecht geeignet ist, da wir uns besser an längere Zeichenfolgen mit niedrigerer Entropie pro Zeichen erinnern als an kürzere Zeichenfolgen mit hoher Entropie pro Zeichen. Wir generieren auch zufällige Zeichenfolgen, und der von Ihnen zitierte Rat richtet sich an Personen, die keine Kennwortmanager zum Generieren von Kennwörtern verwenden.

Die Verwendung eines komplexen Passworts für eine einzelne sichere Site entspricht der Verwendung eines speziellen Schlosses an Ihrer Wohnungstür, wodurch das Öffnen der Tür länger dauert und Sie besser vor 1% aller Einbrecher geschützt sind.

Die meisten Antworten beziehen sich auf alle Arten von Angriffsszenarien, die Ihr Passwort gefährden könnten. Um jedoch zu entscheiden, ob ein kleineres Passwort (6 Zeichen) ausreicht, wenn Sie es nur auf einer einzigen Site mit angemessener Sicherheit verwenden, müssen wir nur Vergleichen Sie eine einzelne Zahl:

Wie viele Angriffe funktionieren bei einem schwachen Passwort signifikant besser als bei einem starken Passwort?

Wenn der Online-Brute-Force-Schutz ausreichend stark ist (eine Voraussetzung in der Frage) ) Das einzige relevante Angriffsszenario ist das Offline-Brute-Forcing. In allen anderen Angriffsszenarien (Lesen von Klartextkennwörtern, Sitzungsdiebstahl, Social Engineering, Phishing, Fälschung von Benutzern) spielt die Komplexität des Kennworts keine Rolle (wenn es sich nicht um ein Standardkennwort handelt).

Also wie Viele% der Angriffe auf Ihr Konto oder auf Google Mail werden wahrscheinlich ein praktikables Offline-Brute-Forcing Ihres Passworts verwenden. Wahrscheinlich so gut wie keine. Brute Forcing funktioniert nur gegen einen Hash oder eine verschlüsselte Version Ihres Passworts. Überall sonst ist Ihr Passwort im Klartext (Komplexität ist also irrelevant) oder überhaupt nicht relevant (z. B. Sitzungs-ID, direkter Zugriff eines Insiders auf den Mail-Speicherserver).

Die einzigen Fälle, in denen Ihr Passwort lautet verschlüsselt oder gehasht sind 1. gesalzener Hash in der Datenbank und 2. Übertragung Ihres Passworts über HTTPS

1. gesalzener Hash in der DatenbankWenn der Hacker Zugriff auf die Datenbank erhalten hat, in der alle Benutzer- Passwörter werden gespeichert (wahrscheinlich einer der am besten gesicherten Punkte in der Infrastruktur), konnten jedoch keinen Zugriff auf andere Dienste erhalten (z. B. eine aktive Sitzungs-ID oder einen direkten Kontozugriff). Anschließend ein Offline-Angriff auf Ihren gesalzenen Hash mit einem Brute-Force-Angriff würde schnell Ihr Passwort verwenden.

2. HTTP-Übertragung Sehr unwahrscheinlich, da der Angreifer Ihren HTTPS-Stream brutal erzwingen müsste, um Ihr Kennwort zu isolieren. Daher spielt die Kennwortlänge höchstwahrscheinlich keine große Rolle.

ol>

Das einzige Szenario in Ein langes Passwort schützt Sie tatsächlich, wenn jemand Zugriff auf den (wahrscheinlich) sichersten Datenspeicher der Infrastruktur erhält, ohne dass dies jemand bemerkt - und ohne ausreichenden Zugriff, um einen einfacheren Zugriff auf Ihr Konto zu erhalten. Ich würde sagen, dass dieses Szenario wirklich unwahrscheinlich ist, da es sich bei der Vielzahl von Sicherheitslücken und Angriffen auf Ihr Konto nur um einen unwahrscheinlichen Angriffstyp handelt.

Meine Antwort lautet einfach Ja. Sie können nicht davon ausgehen, dass Websites gesalzene Hashing-Methoden verwenden. Zum Beispiel wird MD5 immer noch in freier Wildbahn verwendet und die Leute halten es für vollkommen akzeptabel.

Aber mit einem stark gesalzenen Hashing-Mechanismus kann niemand auf das eigentliche Passwort zugreifen, selbst wenn dies der Fall ist ein niedriger char pass. Dies gilt insbesondere dann, wenn Ihr Server ordnungsgemäß gesichert ist und Ihre API die richtigen Vorsichtsmaßnahmen für Brute-Force-Angriffe trifft.

Es ist zwar sicherer, komplizierte Passwörter zu erstellen, ich empfehle jedoch immer, sie gleichzeitig zu vereinfachen und eine eindeutige Funktion pro Website zu haben. Dies ist nur dann eine Sicherheitsanfälligkeit, wenn Sie auf einen Phishing-Betrug hereinfallen. Aus diesem Grund ist es wichtig, mehrere Möglichkeiten zur Wiederherstellung Ihrer E-Mail-Adresse zu haben, da Sie mit Ihrer E-Mail andere Konten wiederherstellen können.

Hier sind die Regeln, die ich persönlich verwende:

• Mindestens 8 oder 10 Zeichen, vorzugsweise 12 oder mehr
• Verwenden Sie etwas, das Ihnen etwas bedeutet
• Abkürzungen oder die Verwendung einer Zahl anstelle eines Buchstabens können einfach, aber effektiv sein.
• Wenn Sie möchten, können Sie ein Präfix oder Suffix verwenden, um Kennwörter eindeutig zu halten.

Also für Beispiel: ThisIsMyPassword14si

Verwendet: Großbuchstaben, Zahlen und das Suffix von si für den Stapelaustausch und hat ein Jahr mit etwas, das persönlich etwas bedeutet. Diese Art von Kennwort wird normalerweise immer als sicheres Kennwort angezeigt.

Es gibt auch weitere Dienste, mit denen Sie sich mit einem anderen tokenbasierten Dienst anmelden können. Ich denke, dies ist eine großartige Idee, da Sie sich jederzeit abmelden können, wenn Sie einen Zugriff entfernen möchten, und nicht für jeden einzelnen Dienst ein Kennwort benötigen (vorausgesetzt, die Entwickler haben den Prozess korrekt entworfen). Sie müssen jedoch mehr sein Gehen Sie vorsichtig mit dem Kennwort für diesen Dienst um und haben Sie mehrere Wiederherstellungsoptionen, falls Sie es aus irgendeinem Grund verlieren.

Ich denke, dass Google hier in die richtige Richtung geht, indem es mehrere Wiederherstellungsoptionen und 2- Faktorauthentifizierung. Das Problem ist, dass fast alles gefälscht werden kann, wenn Sie nicht auf die tatsächliche Seite achten, auf der Ihre Informationen angefordert werden.

Hoffentlich gibt es in Zukunft ein Gerät wie ein Mobiltelefon, das als Sicherheitsüberprüfung für Webdienste fungieren kann. Apps werden vom Distributor gesteuert. Wenn Sie also eine App pro Plattform haben, um die Zugriffsanfrage zu erhalten und um Ihre Erlaubnis zu bitten, ist dies der richtige Weg, um in Zukunft damit umzugehen. Wir müssen uns also nicht um dieses individuelle Passwort kümmern alles Unsinn.

... eines Tages ...

Vergessen wir nicht, dass jemand ein Ziel nicht brutal erzwingen muss. Sie können dasselbe Kennwort mit vielen Zielen versuchen, wodurch die Benutzer mit den häufigsten Kennwörtern anfällig werden.

Sie haben den lokalen physischen Angriff vergessen! Ein langes komplexes Passwort verringert die Wahrscheinlichkeit, dass Schulterkennungen erfolgreich sind. Selbst wenn jemand auf meine Tastatur starrt, bekommt er meine Passwörter nur, wenn er Rainman ist. (Kann keinen Kommentar abgeben)

Bei Verwendung eines zuverlässigen Zwei-Faktor-Authentifizierungssystems ist die Verwendung eines weniger sicheren Kennworts sinnvoll. Es ist immer noch am besten, ein schwieriges Passwort zu verwenden, das von einem Passwortgenerator mit Groß- und Kleinbuchstaben, Zahlen und Symbolen generiert wird.

Aber Leute, die kein so sicheres Passwort bereitstellen; Im Fall eines Dienstes, der eine Zwei-Faktor-Authentifizierung bietet, können sich diese Personen einigermaßen sicher fühlen.

Sie können Ihr Passwort nicht mit einer großen Anzahl von Kombinationen sichern. Damit Sie Ihr Passwort verschlüsseln müssen. Einige gängige Krypto-Algen sind md5, SHA-1, SHA-256 stc.Aber es ist immer noch nicht 100% sicher. Angreifer können Ihr Passwort mit Tools wie Hash Cat mit hoher GPU entschlüsseln, wie oben erwähnt.

In einer Nussschale ist also kein Algo 100% sicher. Sie können jedoch einen starken Passwortmechanismus generieren, indem Sie Salze mit vorhandener Krypta verwenden Hier sind einige berühmte Krypta-Algen.

http://en.wikipedia.org/wiki/Comparison_of_cryptographic_hash_functions