搜索

[7736] 2014-01-13_关于口令强度等级的设计

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-01-13_关于口令强度等级的设计 关 于 口 令 强 度 等 级 的 设 计 F r e e B u f   2 0 1 4 - 0 1 - 1 3                 近 来 在 笔 者 所 参 与 的 一 款 产 品 中 涉 及 到 口 令 安 全 的 功 能 设 计 ， 其 中 一 项 功 能 是 有 关 于 口 令 强 度 的 。 在 设 计 该 功 近 来 在 笔 者 所 参 与 的 一 款 产 品 中 涉 及 到 口 令 安 全 的 功 能 设 计 ， 其 中 一 项 功 能 是 有 关 于 口 令 强 度 的 。 在 设 计 该 功 能 过 程 中 势 必 涉 及 到 口 令 强 度 的 划 分 设 计 ， 怎 样 的 口 令 才 算 是 低 强 度 的 ， 怎 样 的 口 令 才 算 是 高 强 度 的 ？ 能 过 程 中 势 必 涉 及 到 口 令 强 度 的 划 分 设 计 ， 怎 样 的 口 令 才 算 是 低 强 度 的 ， 怎 样 的 口 令 才 算 是 高 强 度 的 ？ 目 前 诸 多 的 W e b 系 统 注 册 功 能 中 的 口 令 强 度 设 计 及 划 分 也 无 统 一 标 准 ， 更 有 甚 者 是 直 接 根 据 口 令 长 度 来 设 计 的 口 令 强 度 划 分 。                 如 果 要 评 判 一 则 口 令 是 强 是 弱 ， 就 必 须 先 考 虑 影 响 口 令 强 度 的 因 素 ： 复 杂 性 和 长 度 ， 因 为 我 们 在 输 入 口 令 时 只 有 这 两 种 维 度 的 选 择 ： 要 么 多 输 入 一 些 特 殊 字 符 增 强 复 杂 性 ， 要 么 多 输 入 一 些 混 合 字 符 / 字 母 增 加 口 令 长 度 。 在 不 考 虑 拖 库 、 社 工 等 口 令 获 取 方 式 的 前 提 条 件 下 ， 通 常 情 况 下 ， 破 解 口 令 仅 有 暴 力 破 解 的 方 式 可 以 选 择 ， 其 中 亦 包 括 字 典 攻 击 和 彩 虹 表 破 解 。                 在 纯 粹 的 暴 力 破 解 中 ， 攻 击 者 需 要 逐 一 长 度 地 尝 试 口 令 可 能 组 合 的 方 式 ， 是 A T M 机 般 的 纯 数 字 组 合 ， 还 是 1 2 3 0 6 般 的 纯 数 字 字 母 组 合 ， 亦 或 是 正 常 电 商 那 般 可 以 混 合 输 入 数 字 、 字 母 和 特 殊 字 符 。 假 设 一 则 口 令 P 的 长 度 是 L ， 可 选 择 的 组 合 形 式 范 围 的 长 度 是 S ， 那 么 即 便 是 在 “ 暴 力 破 解 ” 这 种 残 暴 字 眼 的 手 段 中 ， 运 气 不 好 的 情 况 下 仍 然 需 要 最 多 尝 试 S L 次 。 口 令 是 否 安 全 的 原 则 取 决 于 攻 击 者 能 否 在 可 容 忍 的 时 间 内 破 解 出 真 实 口 令 ， 而 是 否 有 耐 心 进 行 暴 力 破 解 往 往 决 定 于 攻 击 者 的 目 的 及 成 效 ： 一 名 仅 为 破 解 电 子 书 小 说 压 缩 包 的 宅 男 不 大 可 能 会 浪 费 一 天 以 上 时 间 等 待 口 令 的 “ 出 现 ” 。                 既 然 暴 力 破 解 需 要 尝 试 最 多 达 S L 次 方 能 破 解 出 口 令 ， 那 么 破 解 口 令 的 速 度 即 是 破 解 成 效 的 约 束 条 件 。 在 许 多 情 况 下 ， 破 解 速 度 取 决 于 C P U 运 算 的 能 力 ， 但 更 多 时 候 攻 击 者 面 临 的 是 联 网 破 解 甚 至 口 令 系 统 设 计 者 的 种 种 防 护 手 段 ， 这 时 网 络 、 I / O 、 运 算 能 力 甚 至 系 统 防 护 措 施 都 必 须 考 虑 在 破 解 速 度 之 内 。 如 今 许 多 电 子 邮 箱 的 防 口 令 破 解 的 措 施 是 限 制 在 一 段 时 间 内 仅 能 尝 试 为 数 不 多 的 几 次 登 陆 ， 若 考 虑 到 类 似 的 措 施 ， 相 信 口 令 破 解 的 速 度 绝 对 会 让 你 更 加 失 望 ！                 在 比 特 币 挖 矿 都 需 要 专 业 矿 机 ， 高 配 G P U 的 时 代 ， 口 令 的 破 解 自 然 不 会 延 续 使 用 以 往 原 始 的 C P U 运 算 。 一 年 前 的 现 一 年 前 的 现 在 ， 来 自 在 ， 来 自 S t r i c t u r e 商 业 咨 询 公 司 的 商 业 咨 询 公 司 的 J e r e m i   G o s n e y 公 布 了 他 们 用 一 组 公 布 了 他 们 用 一 组 G P U 集 群 暴 力 破 解 密 码 的 成 果 ： 集 群 暴 力 破 解 密 码 的 成 果 ： 普 通 的 M D 5 加 速 破 解 速 度 达 到 每 秒 1 8 0 0 亿 次 ， S H A 1 的 破 解 速 度 达 到 6 3 0 亿 次 / 秒 ， N T L M 的 破 解 速 度 达 到 3 4 8 0 亿 次 / 秒 ， L M 加 密 的 破 解 速 度 也 有 2 0 0 亿 次 / 秒 。
                由 此 可 见 ， 口 令 的 强 度 正 随 着 运 算 能 力 的 逐 渐 提 升 而 降 低 ， 1 0 年 前 的 高 强 度 口 令 或 许 对 于 今 天 的 G P U 集 群 破 解 已 然 可 以 被 视 为 “ 不 堪 一 击 ” 。 在 不 考 虑 U N I C O D E 编 码 中 电 脑 键 盘 未 标 明 的 特 殊 字 符 ， 在 构 建 口 令 时 ， 我 们 通 常 可 选 择 的 组 合 范 在 构 建 口 令 时 ， 我 们 通 常 可 选 择 的 组 合 范 围 是 ： 围 是 ： 数 字 ： 0 ~ 9   共 1 0 位 字 母 ： a ~ z   A ~ Z   共 5 2 位 特 殊 字 符 ： “   ! " # $ % & & # 0 3 9 ; ( ) * + , - . / : ; < = > ? @ [ ] ^ _ ` { | } ~ ”   不 包 含 两 边 引 号 共 3 3 位 （ 其 中 包 含 空 格 ）                 如 果 我 们 将 S L 当 作 口 令 强 度 的 评 测 标 准 ， 显 而 易 见 ， 在 口 令 长 度 相 同 的 情 况 下 ， 我 们 可 选 择 的 组 合 方 式 和 范 围 内 越 大 则 口 令 强 度 越 强 ， 即 S 越 大 ， S L 的 值 越 大 。                 另 一 方 面 ， 在 可 选 择 的 组 合 方 式 和 范 围 有 限 的 情 况 下 ， 口 令 长 度 越 长 则 口 令 强 度 越 强 ， 即 L 越 大 ， S L 的 值 越 大 。                                 由 于 S L 是 指 数 级 的 增 长 ， 所 以 口 令 的 高 复 杂 度 并 不 意 味 着 口 令 的 高 强 度 ， 比 如 ： 1 6 位 纯 数 字 的 口 令 的 组 合 方 式 有 1 . 0 e + 1 6 种 ， 而 8 位 数 字 / 字 母 / 特 殊 字 符 混 合 口 令 的 组 合 方 式 仅 约 为 6 . 6 3 4 e + 1 5 种 ， 从 暴 力 破 解 的 难 度 上 看 ， 前 者 比 后 者 要 高 出 一 个 数 量 级 。                 鉴 于 当 前 G P U 的 运 算 能 力 越 来 越 强 大 ， 笔 者 在 设 计 口 令 强 度 的 划 分 时 不 得 不 参 考 上 文 中 的 G P U 集 群 破 解 速 度 ， 上 文 中 所 提 到 的 G P U 集 群 暴 力 破 解 速 度 最 低 也 达 到 百 亿 次 每 秒 ， 故 以 1 0 0 亿 次 / 秒 的 破 解 速 度 为 参 考 ， 并 假 设 破 解 时 间 不 足 一 天 的 口 令 即 为 低 强 度 ， 超 出 一 天 但 不 满 一 年 为 中 等 强 度 ， 超 出 一 年 为 高 强 度 ， 尽 管 在 这 种 假 设 的 前 提 下 某 些 低 强 度 口 令 在 常 规 运 算 能 力 下 仍 然 可 被 当 作 高 强 度 口 令 。 在 不 同 的 口 令 组 合 情 况 下 ， 不 同 口 令 强 度 的 口 令 长 度 范 围 如 下 所 示 ： 组 合 方 式 及 范 围 组 合 方 式 及 范 围 低 等 强 度 低 等 强 度 中 等 强 度 中 等 强 度 高 等 强 度 高 等 强 度 纯 数 字 （ 1 0 位 ） > 0   & &   < 1 5 （ 位 ） > = 1 5 （ 位 ）   & &   < 1 8 （ 位 ） > = 1 8 （ 位 ） 纯 字 母 （ 5 2 位 ） > 0   & &   < 9 （ 位 ） > = 9 （ 位 ）   & &   < 1 1 （ 位 ） > = 1 1 （ 位 ） 纯 特 殊 字 符 （ 3 3 位 ） > 0   & &   < 1 0 （ 位 ） > = 1 0 （ 位 ）   & &   < 1 2 （ 位 ） > = 1 2 （ 位 ） 数 字 + 字 母 组 合 （ 6 2 位 ） > 0   & &   < 9 （ 位 ） = = 9 （ 位 ） > = 1 0 （ 位 ） 数 字 + 特 殊 字 符 组 合 （ 4 3 位 ） > 0   & &   < 1 0 （ 位 ） = = 1 0 （ 位 ） > = 1 1 （ 位 ） 字 母 + 特 殊 字 符 组 合 （ 8 5 位 ） > 0   & &   < 8 （ 位 ） > = 8 （ 位 ）   & &   < 1 0 （ 位 ） > = 1 0 （ 位 ） 数 字 + 字 母 + 特 殊 字 符 组 合 （ 9 5 位 ） > 0   & &   < 8 （ 位 ） = = 8 （ 位 ） > = 9 （ 位 ）                 上 表 亦 可 作 为 设 置 强 口 令 时 的 参 考 。 如 相 关 报 道 中 所 称 ， 若 使 用 J e r e m i   G o s n e y 的 G P U 集 群 ， 6 - 8 位 的 口 令 “ 在 暴 力 破 解 面 前 几 乎 无 法 幸 免 ” 。                 下 面 再 来 看 看 微 软 的 “ 密 码 检 查 器 ” ， 从 该 页 面 检 测 口 令 强 度 的 J S 脚 本 中 可 以 轻 松 看 到 其 口 令 强 度 的 划 分 标 准 ：                 口 令 长 度 小 于 8 位 ： W e a k                 口 令 长 度 大 于 等 于 8 位 ： M e d i u m                 口 令 长 度 大 于 等 于 1 4 位 ： S t r o n g                 口 令 长 度 大 于 等 于 1 4 位 且 包 含 数 字 、 大 小 写 字 母 及 特 殊 字 符 ： B e s t                 以 及 I B M 旗 下 L o t u s   D o m i n o 的 口 令 强 度 划 分 ： 口 令 安 全 性 等 级 ， 或 者 可 以 在 这 里 ( 微 信 推 送 无 法 打 开 链 接 ， 通 过 下 方 “ 阅 读 原 文 ” 可 查 看 链 接 ) 检 测 自 己 的 口 令 强 度 及 破 解 时 间 。
漏 网 之 余 漏 网 之 余                 彩 虹 表 是 一 种 特 殊 的 字 典 ， 由 已 做 加 密 的 密 码 构 成 ， 通 过 与 系 统 中 加 密 的 口 令 对 比 来 探 测 明 文 口 令 。 而 彩 虹 表 的 构 成 多 数 情 况 下 亦 是 由 程 序 自 动 生 成 ， 尽 管 数 据 量 庞 大 ， 但 依 然 是 根 据 弱 口 令 或 穷 举 口 令 组 合 加 密 而 形 成 ， 此 外 也 包 括 人 工 添 加 的 已 知 明 文 / 密 文 的 彩 虹 表 数 据 。                 因 此 ， 彩 虹 表 破 解 及 弱 口 令 猜 测 终 究 是 为 了 减 小 破 解 口 令 的 范 围 ， 从 而 节 省 破 解 时 间 ， 可 以 将 彩 虹 表 及 弱 口 令 想 象 成 为 一 个 庞 大 的 散 状 分 布 的 点 图 ， 越 是 远 离 聚 焦 点 的 口 令 就 会 有 越 小 的 几 率 被 包 含 在 彩 虹 表 / 弱 口 令 中 。                 由 此 可 见 ， 口 令 强 度 不 仅 仅 需 要 考 虑 复 杂 度 和 长 度 ， 设 定 口 令 时 的 奇 葩 程 度 也 影 响 着 口 令 安 全 ， 就 像 女 人 不 希 望 撞 衫 ， 安 全 的 口 令 也 不 希 望 雷 同 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理