Der Heilige Krieg

Ich denke, Sie werden feststellen, dass die richtige Art, Passwörter zu generieren, einen heiligen Krieg auslösen kann, in dem jede Gruppe glaubt, dass die andere einen sehr einfachen mathematischen Fehler macht oder den Punkt verfehlt. Wenn Sie 10 Computer-Sicherheitsexperten in einem Raum haben und sie fragen, wie sie mit guten Passwörtern umgehen sollen, erhalten Sie 11 verschiedene Antworten.

Das Missverständnis

Einer der vielen Gründe, die es gibt Es gibt keine einheitlichen Ratschläge zu Passwörtern, sondern nur ein Problem der Bedrohungsmodellierung . Was genau versuchen Sie zu verteidigen?

Zum Beispiel: Versuchen Sie, sich vor einem Angreifer zu schützen, der speziell auf Sie abzielt und Ihr System zur Generierung von Passwörtern kennt? Oder sind Sie nur einer von Millionen Benutzern in einer durchgesickerten Datenbank? Verteidigen Sie sich gegen GPU-basiertes Knacken von Passwörtern oder nur gegen einen schwachen Webserver? Befinden Sie sich auf einem mit Malware infizierten Host [1]?

Ich denke, Sie sollten davon ausgehen, dass der Angreifer Ihre genaue Methode zum Generieren von Kennwörtern kennt und nur auf Sie abzielt. [2] Der xkcd-Comic geht in beiden Beispielen davon aus, dass alle Details der Generation bekannt sind.

Die Mathematik

Die Mathematik im xkcd-Comic ist korrekt und wird sich nicht ändern.

Für Passwörter, die ich eingeben und beachten muss, verwende ich ein Python-Skript, das wirklich zufällige Passwörter im xkcd-Stil generiert. Ich habe ein Wörterbuch mit 2 ^ 11 (2048) gebräuchlichen, leicht zu buchstabierenden englischen Wörtern. Ich könnte einem Angreifer den vollständigen Quellcode und eine Kopie meiner Wortliste geben, es werden immer noch 2 ^ 44 mögliche Passwörter vorhanden sein.

Wie der Comic sagt:

1000 Vermutungen / SecPlausible Angriff auf einen schwachen Remote-Webdienst. Ja, das Knacken eines gestohlenen Hashs ist schneller, aber der durchschnittliche Benutzer sollte sich darüber keine Sorgen machen.

Dies schafft eine gute Balance zwischen leicht zu merken und schwer zu knacken.

Was wäre, wenn wir mehr Leistung versuchen würden?

Sicher 2 ^ 44 ist in Ordnung, aber das Knacken von GPUs ist schnell und es wird nur schneller. Hashcat könnte in einigen Tagen und nicht in Jahren einen schwachen Hash [3] dieser Größe knacken. Außerdem muss ich mir Hunderte von Passwörtern merken. Selbst im xkcd-Stil wird es nach ein paar Stunden schwierig.

Hier kommen Passwort-Manager ins Spiel. Ich mag KeePass, aber es gibt viele andere, die im Grunde gleich sind. Dann können Sie nur eine längere xkcd-Passphrase generieren, die Sie sich merken können (z. B. 10 Wörter). Anschließend erstellen Sie für jedes Konto ein eindeutiges 128-Bit-Kennwort (Hex oder Base 64 sind gut). 128-Bit wird für lange Zeit stark genug sein. Wenn Sie paranoid werden möchten, ist es keine zusätzliche Arbeit, 256-Bit-Hex-Passwörter zu generieren.

[1] Hier kommt die Speichersache ins Spiel, wenn Sie eingeschaltet sind Ein kompromittierter Host, den Sie verloren haben. Es spielt keine Rolle, ob Sie es eingeben oder ein Programm wie KeePass zum Kopieren und Einfügen verwenden, wenn ein Angreifer Speicher protokollieren / lesen kann.

[2] Anstelle des schwächeren (aber wahrscheinlicher) Annahme, dass der Angreifer gerade ein Wörterbuch namens "Top Passw0rdz 4realz 111!" torrentiert hat.

[3] Sicher, wir sollten alle PBKDF2 usw. verwenden, aber viele Websites befinden sich noch auf SHA1. (und sie sind die Guten)

Schneier schreibt Folgendes:

Aus diesem Grund ist das oft zitierte XKCD-Schema zum Generieren von Passwörtern - einzelne Wörter wie "korrektes Pferdebatterystaple" aneinanderreihen - kein guter Rat mehr. Die Passwort-Cracker sind mit diesem Trick beschäftigt.

aber der Schlüssel zum Verständnis dessen, wonach er wirklich sucht, ist etwas weiter in seinem Aufsatz:

Es gibt noch etwas ein Schema, das funktioniert. Im Jahr 2008 habe ich das "Schneier-Schema"

beschrieben. Ole 'Bruce möchte behaupten, dass sein Schema das Einzige ist, das Beste, der Gewinner, das ultimative Schema. Daher muss er abfällige Dinge über die "Konkurrenten" sagen, unabhängig davon, ob solche Behauptungen wissenschaftlich fundiert sind oder nicht.

In diesem Fall wurde immer angenommen , dass die Die Methode zur Kennworterzeugung ist dem Angreifer bekannt. Das ist der springende Punkt bei Entropieberechnungen. siehe die Analyse. Dass Angreifer "auf diesen Trick" sind, ändert überhaupt nichts (wenn ein Angreifer die Methode zur Kennworterzeugung kennt, beschreibt die Entropieberechnung genau die Kennwortstärke; wenn der Angreifer es ist inkompetent und kennt die Methode zur Passwortgenerierung nicht, die Passwortstärke ist nur um einen Betrag höher, der nahezu unmöglich zu quantifizieren ist.

Der Witz über "Passwörter im Speicher" ist nur inkohärenter. Passwörter werden zwangsläufig irgendwann in den Arbeitsspeicher verschoben, unabhängig davon, ob Sie sie eingeben oder aus einem Passwort-Safe oder ähnlichem kopieren und einfügen.

Ich vermute, Bruce war betrunken.

Update: Schneier wurde ausdrücklich gebeten, sich zu seiner Verurteilung von Passphrasen in einer Reddit AMA zu äußern, die am 2. August 2016 stattfand. Er setzte sich weiterhin für sein System zur Passworterstellung als überlegene Alternative zu zufälligen Wörtern ein Passphrasen. Schneier sagte, sein Schema "gibt Ihnen mehr Entropie pro einprägsamem Zeichen als andere Methoden", was im Vergleich zu Zeichen, aus denen Wörter bestehen, zutrifft. Dies ist jedoch auch dann irrelevant, wenn ein System Wörter anstelle von Zeichen auswendig lernt und Sie genügend Wörter kombinieren dürfen, um eine angemessene "Entropie" für Ihre Passphrase als Ganzes zu erzeugen.

[Offenlegung: Ich arbeite für AgileBits, die Hersteller von 1Password]

Einer der Gründe, warum ich mich in Toward Better Master für ein XKCD-ähnliches Schema ausgesprochen habe (bevor es so genannt wurde) Passwörter im Jahr 2011 sind genau deshalb so wichtig, weil der Angreifer nicht weiß, welches Schema Sie verwendet haben. Wenn ich mich selbst zitieren darf

Das Tolle an Diceware ist, dass wir genau wissen, wie sicher es ist, selbst wenn der Angreifer das verwendete System kennt. Die Sicherheit ergibt sich aus der echten Zufälligkeit des Würfelns. Die Verwendung von vier oder fünf Wörtern sollte gegen die plausiblen Angriffe in den nächsten Jahren ausreichen angesichts der beobachteten Geschwindigkeit von Passwort-Crackern [gegen 1Password-Master-Passwort]

Was die XKCD Comic kommuniziert nicht effektiv ist, dass die Auswahl der Wörter (einheitlich) zufällig sein muss . Wenn Sie Menschen bitten, Wörter nach dem Zufallsprinzip auszuwählen, erhalten Sie eine starke Neigung zu konkreten Substantiven. Solche Vorurteile können und werden ausgenutzt werden.

Wie viel Kraft Sie wollen

In einer perfekten Welt möchten wir, dass die Stärke unseres Passworts so stark ist wie die Schlüssel, mit denen wir schützen es. Sagen wir 128 Bit. Aber trotz dieser Techniken werden die Menschen das nicht erreichen. Schauen wir uns also realistisch die Angriffe an und was unsere kleinen Köpfe tun können.

Mit der ursprünglichen Diceware-Wortliste mit 7776 Einträgen erhalten Sie ungefähr 12,9 Bit pro verwendetem Wort. Wenn Sie also mindestens 64 Bit für Ihr Passwort benötigen, reichen fünf Wörter aus.

Das Erraten von Passwörtern ist langsamer als das Erraten von Schlüsseln

In diesem Abschnitt komme ich zu einem sehr groben Hintergrund der Umschlagschätzung, dass es für einen konstanten Betrag von Dollar 2 ^ 13-mal langsamer ist, ein Passwort zu testen, als einen AES-Schlüssel zu testen.

Beachten Sie, dass das Testen eines Kennworts viel langsamer ist als das Testen eines Schlüssels. Wenn die richtigen Arten von Passwort-Hashing-Schemata verwendet werden, ist es möglich, die meisten Angreifer auf unter 100000 Vermutungen pro Sekunde zu beschränken. Während wir vielleicht niemals 50-Bit-Schlüssel verwenden möchten, ist die Verwendung von 50-Bit-Passwörtern möglicherweise dennoch sinnvoll.

Wenn wir uns nicht darauf beschränken, wie in Arnold Reinholds Original-Diceware-Schema zu würfeln ab 1995 können wir dann eine längere Liste von Wörtern verwenden. Der Generator für starke Passwörter in 1Password für Windows verwendet eine Liste von 17679 englischen Wörtern mit 4 bis einschließlich 8 Buchstaben (ohne Tabuwörter und Wörter mit Apostroph oder Bindestrichen). Dies ergibt ungefähr 14 Bits pro Wort. Vier davon ergeben 56 Bits, fünf 70.

Auch hier müssen Sie auf die Crack-Geschwindigkeit achten. Deep Crack konnte 1997 92 Milliarden DES-Tests pro Sekunde durchführen. Unter der Annahme, dass ein spezialisierter High-End-PC eine Million Vermutungen pro Sekunde gegen ein einigermaßen gut gehashtes Passwort durchführen kann, könnte dies eine Million Vermutungen pro Sekunde ermöglichen, dann sind Passwörter heute etwa 16 Bit schwerer zu knacken als DES-Schlüssel im Jahr 1997.

Schauen wir uns also diese Stack Exchange-Schätzung für einen Dual-Core-3,8-GHz-Prozessor an: 670 Millionen Schlüssel pro Sekunde. Wenn wir von Hardware im Wert von 5000 US-Dollar ausgehen, können wir leicht 10 Milliarden Schlüssel pro Sekunde überschreiten. Bei ähnlichen Hardwarekosten ist das Knacken von Schlüsseln immer noch mehr als 2 ^ 13-mal schneller als das Knacken von Passwörtern.

Überarbeitete Ziele für die Passwortstärke

Wenn ich davon ausgehe, dass das Testen eines gut gehashten Passworts 2 ^ 13-mal teurer ist als das Testen eines AES-Schlüssels, sollten wir ein einigermaßen gut gehashtes Passwort als 13 Bit stärker betrachten als seine tatsächliche Entropie mit in Bezug auf Rissbildung. Wenn wir 90 Bit "effektive Stärke" erreichen wollen, sollten 77 Bit Passwortstärke dies tun. Dies wird mit einem Diceware-Passwort mit sechs Wörtern (77,5 Bit) aus der ursprünglichen Liste und 84,6 Bit mit sechs Wörtern aus einer Liste von 17679 Wörtern erreicht.

Ich erwarte nicht, dass die meisten Leute solche Passwörter verwenden lange. Ich gehe davon aus, dass die Leute Dinge verwenden, die 4 oder 5 Wörter lang sind. Wenn Sie sich jedoch ernsthafte Sorgen darüber machen, dass die NSA Ihren Passwörtern nachgeht, sollten sechs Wörter ausreichen, vorausgesetzt, Sie verwenden ein anständiges Passwort-Hashing-Schema.

Nur sehr grobe Schätzungen

Ich habe es nicht getan Ich verbringe nicht viel Zeit damit, Kosten und Benchmarks zu recherchieren. In meinen Schätzungen gibt es viele Dinge, mit denen ich mich streiten muss. Ich habe versucht, konservativ zu sein (pessimistisch in Bezug auf das von mir befürwortete Schema). Ich war auch vage über "gut gehashte Passwörter". Auch hier bin ich sehr konservativ in Bezug auf das Passwort-Hashing in 1Password. (Für unser neues Datenformat wurden Angreifer auf unter 20.000 Vermutungen pro Sekunde beschränkt, und für unser älteres Datenformat haben sie 300.000 Vermutungen pro Sekunde für Multi-GPU-Maschinen erreicht. Nach meinen Schätzungen habe ich hier 1 Million Vermutungen pro Sekunde ausgewählt zweite für ein "einigermaßen gut gehashtes Passwort".)

Noch ein paar historische Hinweise

Die Gesamtidee für "XKCD-ähnliche" Passwörter reicht mindestens so weit zurück wie das S / Key Einmalpasswörter aus den frühen 1980er Jahren. Diese verwendeten eine Liste von 2048 Wörtern mit einem bis vier Buchstaben. Mit einem S / Key-Passwort mit sechs Wörtern erhalten Sie 66 Bit. Ich weiß nicht, ob diese Idee, zufällig ausgewählte Wörter aus einer Liste für eine Passphrase zu verwenden, älter ist als S / Key.

1995 schlug Arnold Reinhold Diceware vor. Ich weiß nicht, ob er damals von S / Key wusste. Diceware wurde im Zusammenhang mit der Entwicklung von Passphrasen für PGP vorgeschlagen. Es war auch, bevor die meisten Computer kryptografisch geeignete Zufallszahlengeneratoren hatten. Es geht also tatsächlich darum, Würfel zu würfeln. (Obwohl ich den CSPRNGs auf den von mir verwendeten Computern vertraue, genieße ich es immer noch, "ein neues Passwort aufzurollen".)

Im Juni 2011 habe ich das Interesse an Diceware in Toward Better Master Passwords mit einigen zusätzlichen Änderungen. Dies führte zu meinen 15 Minuten Ruhm. Nachdem der XKCD-Comic herauskam, produzierte ich eine Geek-Edition, die einen Teil der Mathematik durchlief.

Im Juli 2011 hatte Randall Monroe Diceware-ähnliche Schemata aufgegriffen und veröffentlicht sein jetzt berühmter Comic. Da ich nicht der Erfinder der Idee bin, macht es mir nichts aus, vom Comic inszeniert zu werden. In der Tat, wie ich in meinem Folgeartikel

sagte, was mich fast 2000 Wörter gekostet hat, um nicht technisch zu sagen, konnte Randall Monroe zusammenfassen ein Comic. Dies zeigt nur die Kraft der Mathematik ...

Aber es gibt eine Sache an der Interpretation des Comics, die mich beunruhigt. Mir und Leuten, die das Schema bereits verstanden haben, ist klar, dass die Wörter durch einen zuverlässig einheitlichen Zufallsprozess ausgewählt werden müssen. Das Auswählen von Wörtern "zufällig" aus Ihrem Kopf ist kein verlässlich einheitlicher Prozess .

Das XKCD-Passwortschema ist so gut wie nie zuvor. Die Sicherheit beruht nicht darauf, dass sie unbekannt ist, sondern darauf, dass aus einem großen Suchraum einprägsame Passwörter generiert werden können. Wenn Sie die zu verwendenden Wörter auswählen, anstatt sie zufällig zu generieren, geht dieser Vorteil verloren - Menschen sind nicht gut darin, zufällig zu sein.

Das Bit über das Gedächtnis ist schlecht angegeben, aber es ist ein Problem: Wenn Malware, die Kennwörter stiehlt, jemals auf Ihren Computer gelangt, wird alles Textartige aus dem RAM und der Festplatte entfernt, um bei einem gezielten Angriff auf Ihre Konten verwendet zu werden.

Wie andere bereits gesagt haben, ist der von Bruce Schneier beschriebene Angriff effektiv, wenn der Benutzer mehrere Wörter selbst auswählt und kein Werkzeug verwendet. Schneier schreibt normalerweise an ein allgemeines Publikum, das den Unterschied zwischen selbst gewählten "zufälligen" Wörtern und vom Programm gewählten zufälligen Wörtern wahrscheinlich nicht erfassen wird.

Ich werde das hinzufügen, selbst wenn Sie ein Skript verwenden oder Bei einem anderen Tool zum zufälligen Auswählen von Wörtern aus einem Wörterbuch müssen Sie die erste Sequenz verwenden, die Sie erhalten . Wenn Sie sich für "Ich mag das nicht" entscheiden und es erneut ausführen, bis es Ihnen gefällt, ist es keine zufällige Passphrase mehr , sondern vom Menschen ausgewählt.

Auch wenn Sie ein Skript verwenden und die Zufälligkeit nicht durch Auswahl Ihres Favoriten aus mehreren Sequenzen beschädigen, besteht weiterhin die Möglichkeit, dass ein Angreifer Ihr PRNG (Pseudozufallszahlengenerator) ausnutzt. Wenn der Angreifer erfahren kann, wann Sie das Kennwort erstellt haben und welches PRNG Sie verwendet haben, und möglicherweise andere Informationen zu Ihrem PRNG, z. B. Netzwerkverkehr, der ungefähr zur gleichen Zeit mit Ihrem PRNG erstellt wurde, kann dies die effektive Entropie Ihrer zufälligen Passphrase verringern.

Vielleicht ein bisschen esoterisch, aber wenn Ihr PRNG ausnutzbar ist, wird die 2 ^ 44-Zahl nicht vollständig realisiert. (Und wenn Sie davon ausgehen, dass "niemand versuchen wird, mein PRNG auszunutzen", warum interessiert es Sie dann, eine wirklich sichere Passphrase zu verwenden?)

Es kommt darauf an. Eine Sache, die Sie verstehen müssen, ist, dass dies keine Sicherheit durch Dunkelheit ist: Die im Comic verwendeten Entropiewerte setzen voraus, dass der Angreifer bereits weiß, dass Sie sie verwenden diese Methode . Wenn der Angreifer nicht weiß, wie Sie die Passphrase generieren, steigt die Entropie massiv an.

Der Trick bei der XKCD-Methode besteht darin, dass Sie tatsächlich einen Zufallszahlengenerator und ein gutes Wort verwenden müssen Liste: Wählen Sie die Wörter niemals selbst aus, nicht einmal "zufällig" (in Anführungszeichen, weil Menschen wirklich schlecht darin sind, Dinge zufällig auszuwählen, weshalb Sie es nicht tun sollten). Diceware verfügt über Tools, die Ihnen dabei helfen und sogar das zufällige Element mit normalen Würfeln aus der Reichweite des Computers entfernen.

Gegen einen breit angelegten Angriff - so etwas Wenn ein Angreifer eine Liste mit Passwörtern von einer Website erhalten hat und nichts darüber weiß, wessen Passwörter in der Liste enthalten sind, ist dies so stark wie nie zuvor. Wie Sie sagen, liegt seine Stärke in der Kraft der Exponenten (und einer guten Wortliste).

Schneiers Angriff kann funktionieren, aber nur in einem ganz anderen Kontext. Bei seinem Angriff wird davon ausgegangen, dass Sie von einem Angreifer, der bereits viel über Sie weiß, gezielt angegriffen werden. Dies mag zunächst nicht besonders besorgniserregend erscheinen, da der stereotyp entschlossene Angreifer ein Geheimdienstagent hinter einem Bildschirm ist und die meisten von uns sich nicht so viele Sorgen machen müssen: Es gibt nur so viele von ihnen, und jeder kann nur leisten, sich um so viele Menschen zu kümmern. Dank des Aufkommens hochentwickelter Malware ist dies jedoch eher ein Problem, als es zunächst scheinen mag. Eine Malware-Installation kann es sich leisten, sich um Sie zu kümmern, obwohl der Angreifer dies nicht tut, und Sie sehen sich dennoch einem äußerst entschlossenen Angreifer gegenüber. Noch entschlossener als ein Mensch könnte tatsächlich sein, wenn auch weit weniger kreativ.

Malware, die Informationen über Sie zusammenstellt, gibt Wörtern, die Ihnen wichtig erscheinen, in der Wortliste eine sehr hohe Priorität. Dies geschieht, weil die meisten Leute die "zufälligen" Wörter selbst auswählen, aber dabei tendieren sie tatsächlich ziemlich stark zu den Wörtern, die für sie am wichtigsten sind: Es kann sich immer noch zufällig "anfühlen", aber einige Wörter sind viel wahrscheinlicher komm als andere. Aus diesem Grund führt die hohe Priorität dieser Wörter häufig zu relativ schnellen Treffern, und dies ist der "Trick", von dem Schneier spricht.

Sie können Schneiers Angriff jedoch immer noch mit real vereiteln Zufälligkeit . Der Haken ist, dass dies Disziplin erfordert: Alle Entscheidungen darüber, welche Wörter in Ihrer Passphrase verwendet werden sollen (abgesehen von der Auswahl einer guten Wortliste), müssen vollständig aus Ihren Händen genommen werden. Hier können Ihnen Dinge wie Diceware helfen.

Die Stärke der Mathematik ist recht einfach, wenn die Wortauswahl zufällig erfolgt: (Anzahl der Wörter im Wörterbuch) ^ (Anzahl der Wörter im Satz), vorausgesetzt, der Angreifer kennt die Anzahl der Wörter im Wörterbuch. Eine 5-Wort-Phrase mit einem bekannten ( vom Angreifer !) 7776-Wort-Diceware-Wörterbuch: hat 7776 ^ 5 = 2,8E19 oder 64 Bit Entropie.

Es gibt einen Eintrag Dies wird im Schema nicht erwähnt: Durch Hinzufügen von nur 1 (zufälligen) Zeichen an einer zufälligen Stelle in der gesamten Phrase wird die Stärke um etwa 10 Bit erhöht, siehe Diceware, optionales Material.

Die obige Mathematik berücksichtigt auch kein Trennsymbol zwischen den Wörtern. Das kann weitere 5 Bits hinzufügen.

Ich möchte auch eine Ja Antwort hinzufügen, aber aus anderen Gründen. Aufgrund von Längenbeschränkungen ist dies [im Allgemeinen] kein guter Rat:

• Websites wie Skype, ING, eBay und in meinem Land Binckbank und KPN beschränken Kennwörter auf 20 Zeichen. (Dieses Banklimit beträgt 15, es wurde jedoch eine 2-Faktor-Autorisierung verwendet.)
• Mit einer durchschnittlichen Länge von 4,5 Zeichen / Wort für ein kurzes Wörterbuch mit 3000-8000 Wörtern können nur 3-4 Wortphrasen verwendet werden.
• Bei Verwendung großer Wörterbücher kann der Durchschnitt nur 6-7: 3 Wörter betragen.
• Wenn die Site darauf besteht, ein Symbol und eine Zahl im Kennwort zu verwenden, stehen nur 18 Zeichen zur Verfügung die Phrase.

Diese Längen schützen nur vor Online-Angriffen. Bei Offline-Angriffen hängt es von der Schlüsselableitung und der Hash-Funktion, der Anzahl der Iterationen und der von der App-Site verwendeten Cracking-Hardware ab, ob eine 3-4-Wort-Phrase einen ausreichenden Schutz bietet.

Nein, das glaube ich nicht.

Der eigentliche Rat in diesem xkcd-Comic lautet, Mnemonics zu verwenden, an die Sie sich leicht erinnern können und ein Passwort generieren solange du dich an sie erinnern kannst . Dies sind überall grundlegende Kennwortempfehlungen, die immer zutreffen (selbst die zitierte Schneier-Methode verwendet diese beiden grundlegenden Fakten). In der Tat verwendet der Comic gebräuchliche englische Wörter, aber Ihre Implementierung muss es nicht sein, und der Comic impliziert auch nicht, dass Sie dies tun sollten.

Natürlich sind die sichersten Kennwörter völlig zufällige Zeichenfolgen, wie eine MD5-Zeichenfolge aussieht, und Sie können wahrscheinlich einen Kennwortmanager verwenden, um alle diese Kennwörter zu speichern, aber welches Kennwort werden Sie dann verwenden? für diesen Manager verwenden? ¯ \ (ツ) / ¯

Es ist wichtig, den richtigen Kontext zu haben. Der xkcd-Comic vergleicht Tr0ub4dor&3 bei einer angenommenen 28-Bit-Entropie (obwohl ich sie als 34,6 berechne) mit korrektem Pferdebatterystaple und Es wird eine Entropie von 44 Bit angenommen (ein Diceware -Code mit vier Wörtern ist 51,7 Bit… aber eines dieser Wörter ist keine Diceware. Mit einem einfachen 100k-Wort-Rechtschreibwörterbuch berechne ich 66,4 Bit).

Lassen Sie uns dies zunächst verständlicher machen. Es gibt 94 druckbare Zeichen. Ein Kennwort mit einem Zeichen hat log₂ (94) = 6,55 Entropiebits. Zwei Zeichen haben log₂ (94²) = 13,10 Entropiebits. Sie können die endgültige Entropie eines Kennwortschemas durch 6,55 teilen, um die äquivalente Komplexität eines rein zufälligen Kennworts in Zeichen zu bestimmen.

Daher:

• 28 Bit Entropie ≈ 4,3 Zeichen Passwort (sehr schlecht!)
• 44 Bit Entropie ≈ 6,7 Zeichen Passwort (auch schlecht)
• 66,4 Bit Entropie ≈ 10,1 Zeichen Passwort (okay für 2016)

Wenn Sie den Zahlen von xkcd vertrauen, können Sie sehen, warum Schneier besorgt war. Dies scheint etwas übertrieben zu sein, da die meisten Angreifer nach etwa zehn Zeichen immer noch aufgeben. ^{[Zitieren erforderlich] sup> - Es sollte einige Jahre dauern, bis ein großer Cluster ein 10-Zeichen-MD5-Hash-Passwort gebrochen hat. Wenn ein guter Angreifer Ihr Schema kennt, spielt die absolute Zeichenlänge natürlich keine Rolle.}

Die Gesamtkomplexität des Schemas ist am wichtigsten. Sie müssen den schlimmsten Fall annehmen ( dass der Angreifer Ihr genaues Schema kennt). Es ist eine gute Idee, zusätzlich sicherzustellen, dass Ihr Passwort mehr als 11 Zeichen enthält ( wenn erlaubt), aber das ist eine sekundäre Priorität (und es ist kostenlos mit Passphrasen).

Passphrasen mit vier Wörtern und einem Passcode erstellen

Hier ist mein Ratschlag zur passpharischen Erstellung (mit Entropieschätzungen):

• Machen Sie einen unsinnigen "Satz" aus 4+ Wörter mit jeweils 4+ Zeichen (100.000⁴)
• Keines dieser Wörter kann in irgendeiner Weise mit Ihnen oder untereinander verbunden werden.

• Anwendungsfall, Leerzeichen und mindestens zwei Symbole oder Satzzeichen (32²)
• Mindestens ein Wort sollte die Rechtschreibprüfung nicht bestehen (z. B. Leetspeak, Fremdwörter, jeweils 64).
• Mindestens einen weiteren "Fehler" einschließen (Rechtschreibung / Grammatik / Syntax, Entropie unbekannt)
• Fügen Sie zwischen zwei Wörtern einen herkömmlichen "zufälligen" 7+ Zeichen-Passcode (92⁷) hinzu.

Dies sollte mindestens log₂ (100000⁴ × 32 × 3) sein × 64 × 92⁵) = 112 Entropiebits (was sehr stark ist, ~ 17 Zeichen). Ich habe die Großschreibung übersprungen (ich nehme an, nur das erste Zeichen ist in Großbuchstaben) und ein Symbol (ich nehme an, es endet mit . , ! oder ? , Das zweite Symbol hat also eine Komplexität von 3) und ich nahm auch an, dass "zufällig" nicht ganz zufällig ist, und berechnete den Code als fünfstelliges Äquivalent (die strikte Einhaltung der obigen Formel würde 128+ Entropiebits bei ≈20 ergeben Zeichen).

Dieser letzte Punkt ist es wert, wiederholt zu werden:

Menschen sind sehr schlecht darin, Zufälligkeit zu erzeugen

Sehr, sehr wenige Menschen- generierte "zufällige" Zeichenpasscodes sogar nähern wahre Zufälligkeit. Der Code enthält Muster, die sich auf die Tastatur der Person, die bevorzugten Zahlen und / oder die Annahme beziehen, dass ein bestimmtes obskures Wort nicht zu erraten ist.

Ich habe dieses Schema so konzipiert, dass es gegen den inhärenten Mangel an Zufälligkeit der Personen robust ist. Angenommen, ein begrenzter Wortschatz (sagen wir die 2600 Wörter in Basic English), die Verwendung verwandter Wörter (bestraft durch Zählen von nur drei Wörtern) und ein Passcode, der nur auf die Entropie von sechs alphanumerischen Zeichen log₂ beschränkt ist (2600³ × 62⁶) selbst ist mit 70 Bit (~ 10,6 Zeichen) immer noch stark.

Lassen Sie dies Ihre Passphrase nicht verwässern! Dieser Abschnitt ist vorhanden um zu demonstrieren, dass dieses Schema einen gewissen Widerstand gegen die begrenzte Entropie menschlicher Entscheidungen hat, und nicht um schlechte Entscheidungen zu fördern.

Das einzige wirkliche Problem kommt von Leuten, die Zitate oder Texte als ihre vier Wörter nehmen. Diese Passphrasen werden trivial besiegt, wenn das Zitat oder der Text erraten werden kann (z. B. anhand Ihrer Facebook-Likes) oder auf andere Weise eine Entropie von etwa 6 zufälligen Zeichen bei einer Crack-Zeit von 30 Sekunden (MD5) bis 17 Tagen (PBKDF2) aufweist.

Sie können meine Entropietabelle verwenden, um die Entropie Ihres Passphrasenschemas zu berechnen.

_{(Don ' Sorgen Sie sich nicht um die Tatsache, dass Passwörter kurz im Speicher bleiben, es sei denn, Sie sind Entwickler) sub>}