Albert
2019-08-20 19:55:26 UTC
Einige Arten von Angriffen auf Passwörter verwenden Wörterbücher. Es ist sicherer, unsinnige Passwörter wie YunSUanLin , Artibichoke usw. zu verwenden, die sich anscheinend nicht auf ein Wörterbuch beziehen?
Wenn Sie eine Passphrase verwenden, die aus 10 zufällig ausgewählten Wörterbuchwörtern besteht, ist dies ** viel sicherer ** als ein Passwort mit 10 zufälligen Zeichen ... das hängt also davon ab.
`YunSuanLin` sieht aus wie ein gültiger chinesischer Name und bezieht sich wahrscheinlich auf chinesische 3-Pinyin-Wörterbücher, weshalb zufällige Generatoren der Erfindung von unsinnigen Wörtern vorgezogen werden.
Großes Thema.Salt ist wahrscheinlich der einfachste Weg, um Wörterbuchangriffe zu verhindern, aber es gibt auch andere Vektoren wie [bekannte Passwortlisten] (https://github.com/noloader/SecLists).Angreifer werden sicherlich alle schwachen / verwundeten / kompromittierten Passwörter auf der Liste ausprobieren.
@jww Ein Salz schützt absolut nichts vor Wörterbuchangriffen.
@MechMK1 - Salt macht die vorberechneten Tabellen ungültig.Siehe auch [OWASP-Bedrohungsmodell für die sichere Speicherung von Kennwörtern] (https://www.owasp.org/images/1/12/Secure_Password_Storage.pdf).
@jww Ja, aber Wörterbuchangriffe haben nichts mit vorberechneten Tabellen zu tun.Ein Wörterbuchangriff ist ein Angriff, bei dem Ihre Passwortkandidaten aus einer Liste von * wahrscheinlichen * Kandidaten ausgewählt werden, die innerhalb eines Schlüsselbereichs nicht möglich sind (d. H. Brute Force).
@MechMK1 - Woher werden Ihrer Meinung nach die vorberechneten Tabellen kompiliert?
@jww Ja, Sie generieren vorberechnete Tabellen aus Wörterbüchern. Wenn Sie jedoch anhand einer Tabelle suchen, ob bereits ein Hash berechnet wurde, führen Sie keinen Wörterbuchangriff durch, sondern einen Suchangriff.Dies ist nicht dasselbe, sie sind nicht austauschbar.
Obligatorische XKCD: https://xkcd.com/936/
@MechMK1 - [Wörterbuchangriff] (https://en.wikipedia.org/wiki/Dictionary_attack).Ich bin mir nicht sicher, ob ein "Lookup-Angriff" Mainstream ist.Seit ich mich erinnern kann, wurde es immer als Wörterbuchangriff bezeichnet.Ich zitiere Wikipedia nicht als maßgebliche Referenz.Ich benutze nur Wikipedia und Owasp als Beispiele, die die meisten Leute als Wörterbuchangriff bezeichnen.(Oder die meisten Leute, die ich kenne).
@jww Können wir dies bitte im [Chat] (https://chat.stackexchange.com/rooms/151/the-dmz) diskutieren?Ich möchte die Kommentare nicht mehr durcheinander bringen als ich es bereits getan habe
@MechMK1 - Es ist wahrscheinlich am besten, das Gespräch hier zu lassen.Wenn Sie sich über die Terminologie nicht sicher sind, können es auch andere sein.
@jww Ich glaube immer noch, dass wir eine grundsätzliche Meinungsverschiedenheit darüber haben, woraus ein "Wörterbuchangriff" besteht, und ich möchte die DMZ verwenden, um meinen Standpunkt klarer zu klären und Ihren Standpunkt zu erfassen.Denn im Prinzip liegen Sie nicht falsch, aber allgemeine Aussagen wie "Salze schützen vor Wörterbuchangriffen" sind falsch.
@jww Wenn Sie sich das von Ihnen zitierte OWASP-Beispiel ansehen, sehen Sie auf S. 10 "Dictionary Attack", "Brute Force Attack" und "(Pre-Computed) Rainbow Table Attack", was zeigt, dass es einen Unterschied zwischen den beiden gibt.
@MechMK1 - Ja, ich habe versucht, Rainbow Table Attack zu vermeiden.Dies gilt für MD5 und die Hash-Ketten aufgrund des Designs der Komprimierungsfunktion von MD5.Das Pre-Computing aus einem Wörterbuch gibt es schon lange.Es ist eher eine Eigenschaft des Angriffs.Sie können die Hashes vorberechnen oder das ungekochte Wort verwenden und die Transformation im laufenden Betrieb durchführen.
Lassen Sie uns [diese Diskussion im Chat fortsetzen] (https://chat.stackexchange.com/rooms/97768/discussion-between-mechmk1-and-jww).