Kısa bir süre önce şifremi 20 karakterin üzerine ayarladığım için bir öneri aldım. Şifreleme için kullanılan algoritma 256 bit birincil anahtarlı AES'dir. Diyelim ki, şifrelenmiş dosyaları deşifre etmek için kaba kuvvet saldırılarına karşı 8 karakterlik bir şifre ne kadar güvenli?
Bunun çoğu web sitesinde iyi bir şifre boyutu olarak kabul edildiğini biliyorum. Bunun bir nedeni, 3 denemeden sonra bir saldırıyı durdurabilmeleridir.
Yanıtlar:
Bu ilginç bir makale http://www.lockdown.co.uk/?pg=combi&s=articles teorik olarak farklı uzunluklar ve sembol setleri için bir parola kaba zorlamak ne kadar sürer ayrıntılar.
Bruce Schneier'in bu blog yazısında bu politikayı kimin yazdığını işaret etmek isteyebilirsiniz .
Parolaların gücünün neden web'deki herkesin sorunlarından en az biri olduğu konusunda iyi bir yazı.
Bu gönderide kabul edilen cevaba bakın . 8 karakterlik bir parolanın bile tüm karakter dizilerini kullanarak kırılmasının ~ 10.000 yıl alabileceğini gösterir!
Gökkuşağı tablolarının kullanımını kaba kuvvet (sayılar değişir) olarak sayarsanız, 8 karakter için, paroladaki tüm karakterleri içeren gökkuşağı tablolarını kullanarak, yaklaşık 10 saniye. 20 karakterlik şifre (aynı karakterler, aynı gökkuşağı tabloları), 30 saniyeden az. Yakalama tabloları oluşturmak için uzun zaman alıyor olmasıdır . Benimki sadece bir gecede 3GHz makine işlemesi yapmak yaklaşık bir ay sürdü. Öte yandan, bunu sadece bir kez yapmanız gerekir.
Uzun parolaları hatırlamaya çalışmak, karakter ikamesi ve bir cümle kullanımı ile kolayca çözülür. Basit bir şey bile "# Fr3ddy M3rcury #" çoğu kullanım için yeterince karmaşıktır, ancak hatırlanması oldukça kolaydır.
Sekiz karakterlik bir parolanın hatırlanabileceğini düşünün. Bir 20 karakterlik şifre olacak aşağı yazılabilir.
Ve sonra birisi okuyabilir.
" Parolalar ve Parolalar " makalesi ilginizi çekebilir . Sonuç olarak, 9 karakterli tamamen rastgele bir parola 6 kelimelik bir parola ile eşdeğerdir. Ama 6 kelimelik bir cümleyi hatırlamanın daha kolay olacağını düşünüyorlar.
Bu, sahip olduğunuz kombinasyon sayısını değiştirdiğinden, kullandığınız karakterlere bağlıdır. 8 karakter varsayıldığında:
Sözlük kelimesi:
egrep "^. {8} $" / usr / share / dict / words | wc -l
15601Küçük harfler: 26 8 veya 208827064576
Küçük ve büyük harfler: 52 8 veya 53459728531456
Alt, üst ve sayılar: 62 8 veya 218340105584896
Noktalama işaretleri ve diğer semboller eklenir ve kaba zorlama biraz zaman alacaktır.
Bu sayılar, denenmesi gereken toplam kombinasyonlardır. Açıkçası, bir bilgisayar korsanı parolayı aldıktan sonra her kombinasyonu denemeyecektir, bu nedenle gerekli ortalama kombinasyon sayısını elde etmek için ikiye bölün.
Daha zor karmalar, karmayı hesaplamak için daha uzun işlemci süresi sağlar, bu nedenle toplam süre daha uzundur. John'dan bir örnek:
Kıyaslama: Geleneksel DES [64/64 BS] ... YAPILDI Birçok tuz: 819187 c / s gerçek, 828901 c / s sanal Sadece bir tuz: 874717 c / s gerçek, 877462 c / s sanal Kıyaslama: BSDI DES (x725) [64/64 BS] ... YAPILDI Birçok tuz: 29986 c / s gerçek, 30581 c / s sanal Sadece bir tuz: 29952 c / s gerçek, 30055 c / s sanal Kıyaslama: FreeBSD MD5 [32/64 X2] ... YAPILDI Ham: 8761 c / s gerçek, 8796 c / s sanal Kıyaslama: OpenBSD Blowfish (x32) [32/64] ... YAPILDI Ham: 354 c / s gerçek, 356 c / s sanal Kıyaslama: Kerberos AFS DES [48/64 4K] ... YAPILDI Kısa: 294507 c / s gerçek, 295754 c / s sanal Uzun: 858582 c / s gerçek, 863887 c / s sanal Kıyaslama: NT LM DES [64/64 BS] ... YAPILDI Ham: 6379K c / s gerçek, 6428K c / s sanal Kıyaslama: NT MD4 [Genel 1x] ... YAPILDI Ham: 7270K c / s gerçek, 7979K c / s sanal Kıyaslama: M $ Önbellek Karması [Genel 1x] ... YAPILDI Birçok tuz: 12201K c / s gerçek, 12662K c / s sanal Sadece bir tuz: 4862K c / s gerçek, 4870K c / s sanal Kıyaslama: LM C / R DES [netlm] ... YAPILDI Birçok tuz: 358487 c / s gerçek, 358487 c / s sanal Sadece bir tuz: 348363 c / s gerçek, 348943 c / s sanal Kıyaslama: NTLMv1 C / R MD4 DES [netntlm] ... YAPILDI Birçok tuz: 510255 c / s gerçek, 512124 c / s sanal Sadece bir tuz: 488277 c / s gerçek, 489416 c / s sanal
Tabii ki bu tamamen akademik, çünkü bilgisayar korsanları sadece BT'den olduklarını ve bir şey için parolalarına ihtiyaç duyduklarını ve güçlü parolanızın değersiz olduğunu söyleyen sekreterinize telefon edecekler.
Korumak için önemsiz olmayan parolalar kullanıyorum
* önemli varlıklar * anti-çekiçlemeye tabi olmayan şeyler (tekrarlanan denemelerden sonra kilitleme) * Kaba zorla / sözlüğe dayalı / hibrit saldırılara maruz kalabilecek şeyler
Kaba hesabımla daha az endişeliyim, çünkü kaba kuvvet bu şifreyi kırmaya çalışır, sadece hesabı kilitler (ve sunucuya erişimi olan herkes karmayı yerine seçer, kırmaya çalışmaz).
En iyi parola uzun (> 12 karakter) ve kriptografik olarak rastgele. Ancak, bunları hatırlamak daha zordur. Bu nedenle, birden fazla kelimeyi rastgele görünen karakterlerle birleştiren bir parola iyi bir uzlaşma olabilir (belki de en sevdiğiniz şarkı sözünün ilk çift satırının ilk 1 veya 2 harfi).
İstemci / sunucu ile iletişim kurmaktan aldığınız güvenlik, örneğin söylediğiniz gibi, 3 denemeden sonra saldırganları durdurabildiğinizde (ağ uygulamalarına saldırdıklarında, web uygulamalarında olduğu gibi). Bu senaryoda, hemen hemen her parola uzunluğu yeterli olabilir.
Eğer bir içerici bu veritabanını karma kısa parolalarla yakalarsa ve 3 denemenin "net üzerinden" sınırlamasını atlayabilirse, oyun değişir.
Hesap başına deneme sayısını sınırlandıran uyarı, bunun yalnızca belirli bir hesaptaki hedefli girişimler için yeterli olacağıdır. Ayrıca, belirli (veya izin verilen) bir parolayla tüm hesaplardaki saldırılara karşı korunmanız gerekir - bu, hesap başına deneme sayısını sınırladığınızda herhangi bir alarmı tetiklemez. Bugünkü NAT ve botnet'ler göz önüne alındığında, IP başına deneme sayısını sınırlamanın güvenliğin iyi bir yolu olduğunu iddia edemezsiniz.
Diğer cevaplarda zaten okuma için iyi kaynaklar verilmiştir.