Re: [閒聊] 不為人知的工程師內幕
原文恕刪
先講結論,基本上你能想到的增加自己麻煩的反人類的機制,
幾乎都無助於強化密碼安全。
至於細節,若要講怎麼設密碼來防止暴力踹密碼,
就必須了解是怎麼暴力踹密碼的。
暴力踹密碼的基本方向不外乎兩種:字典攻擊與窮舉。
字典攻擊這個比較複雜先不提,
窮舉法破解密碼的所需期望時間基本上可簡單寫為:
期望時間 = 可能的密碼組數 x 平均踹一組密碼費時
所以任何能增加可能密碼組數或是增加踹一組密碼花費時間的方法,
理論上都能強化密碼的安全性。
所以
錯誤一,「要求使用」特殊字元與英數大小寫的密碼比較難踹
很簡單的道理,能要求使用特殊字元當密碼的網站,代表輸入欄位能接受特殊字元。
在能使用特殊字元的前提下,是限制必須怎麼使用特殊字元的密碼組數比較多,
還是不限制使用特殊字元的密碼組數比較多?
廢話當然是不限制的比較多,報廢的越多剩下的越少天經地義
這個方法基本上就是針對字典攻擊,
但字典攻擊有效的密碼本來就因為有效字元少(可能組數少)而非常脆弱,
還不如十位的隨機密碼。
而即使是能強化密碼的方法,也有效果的差距,
多輸入一次就是上火度特別高外效果還特別爛的那種方法。
多輸入一次 = 踹一組密碼時間加倍 = 期望時間加倍
BUT,一般來說我們踹一組密碼要花多久?算0.01秒好了,
踹5次禁五分鐘的效果是:
踹5次禁五分鐘 = 平均踹一組密碼花1分鐘 = 期望時間6000倍
效果是多輸入一次的3000倍不說還不會上火。
然後即使是這個方法仍然贏不了多開放三位密碼:
多一位密碼(數字英文大小寫) = 增加至62倍的密碼組數
多兩位密碼(數字英文大小寫) = 增加至3844倍的密碼組數
多三位密碼(數字英文大小寫) = 增加至24萬倍的密碼組數
詳細就不寫了,透過簡單的複雜度(建議自己去查)計算,
防暴力破解的方法按有效性排列:
可用位數增加 > 可用字元增加 > 冷卻時間 >> 多輸入一次 > 0 > 強制特殊字元
其實一般10~12位的隨機密碼就已經非常硬了,其他都多打的,
再加冷卻時間完全足以能讓人放棄暴力破解。
駭客不是傻瓜,比起跟密碼死嗑,
還不如做個假網頁或是側錄讓使用者自己吐密碼出來簡單的多。
--
人是懶惰的,有限制特殊字元比不限制特殊字元的隨機性高
雖然算得很有道理,但是多數人會考慮自己的忘性,選擇對
自己有意義的字符,不使用特殊符號。
那種一堆奇怪要求的應該也不是防暴力破解 故意讓使用者
不能用慣用密碼 這樣其中其他地方流出密碼就不會被一次
全破
推最後 社交工程比較省事
用複雜到自己都會忘記的密碼本末倒置
我帳號密碼都隨機生成 就算實際帳密洩漏也不會影響
到其他帳號 密碼本紀錄用密碼A上鎖 但輸入時我會刪
掉後兩碼再往前跳兩碼 加上關鍵密碼B 密碼本.密碼邏
輯.密碼A.密碼B 如果駭客有辦法能夠同時取得 那也沒
什麼手段能阻止他了
+1 我也覺得長度比起複雜度安全 印象中 原本提出密碼
複雜度的學者也承認複雜度對安全性幫助不大了
97
首Po不為人知的工程師內幕 0_o 乾我真的看不懂 有沒有工程師能解釋一下XD8
不太懂這種設計的必要性 如果是要防機器人暴力破解 設定個密碼錯誤的CD時間就好 比方說密碼錯誤3次鎖1個小時之類的 搭配基本的密碼複雜度要求47
其實現在密碼要求的越來越複雜了。 以前-- 隨意輸入,最多可能就限你4個字以上。 現在-- 12個字+必須有英文跟數字+必須有大小寫+必須有特殊符號。15
好奇想借串問一下二階段認證是有什麼嚴重的缺點嗎? 因為工作的關係,會需要一些大公司平台的帳號 但這些平台有用二階段認證的非常少 基本上還是定期換密碼+新密碼不得用前幾次相同+失敗數次後一段時間內不能登入 但問題是每個平台要求更換密碼的週期的不一樣10
確實越來越多網站密碼要求越來越複雜,沒多久又要換一次 甚至有人做了一個遊戲來調侃 回到正題 密碼管理的話我會推薦使用bitwarden之類的密碼管理器去存4
15 年前發明煩死人的密碼規則,Bill Burr:抱歉浪費大家時間 最近 Bill Burr 接受 華爾街日報 訪問,提到了他很後悔也很抱歉為大家帶來這麼多困 擾。儘管這份白皮書是早在一般人還用不到網際網路的 1980 年代就完成,而且 Burr 當 時對此研究不深,他還是後悔讓大家設下太難懂又難記的密碼,況且其中很多規則可能放
79
[問卦] 系統要三個月換一次密碼且要複雜擾民?喔喔 公司的系統規定要三個月換一次密碼 且密碼要12字元 要複雜化 有英文大小寫 數字特殊符號混和 且不能跟前三次密碼一樣 靠北65
[大哭] 番號密碼公司電腦的密碼 需要最少8個字母 大小寫數字符號 而且 使用公司電腦時 在其他網站的登入EMAIL 或 網頁其他任何位置 輸入了公司那組密碼18
Fw: [心得] 一組密碼+md5=不會共用的萬用密碼作者: hn880265 ( ) 看板: Bank_Service 標題: [心得] 一組密碼+md5=不會共用的萬用密碼 時間: Mon May 31 21:27:40 2021 最近支付寶被盜才開始考慮密碼安全 之前有分敏感/涉及個資/免洗密碼約5組 但還是會共用到7
Re: [新聞] AI 新技術「秒破解」750萬組常用密碼組合最新測試:11 字元純數字密碼 AI 瞬間破解,擁抱無密碼功能才是王道 作者 Evan | 發布日期 2023 年 04 月 14 日 8:10 | 分類 AI 人工智慧 , 網路 , 資訊 安全 每隔一陣子總會爆出密碼被駭災情,每次災情後就伴隨許多要求密碼頻繁更新並使用強固6
Re: [問題] iphone 被人拿走 有任何辦法嗎?最近在youtube上還看到一個議題 若有人知道你其中一裝置的螢幕鎖定密碼 他偷到該裝置可以改你一整套icloud密碼 設定->icloud->密碼與安全性->更改密碼->輸入螢幕鎖定密碼->BOOM 到時你要用 find my 找你的裝置...就會發現icloud密碼被人改了4
[心得] 一組密碼+md5=不會共用的萬用密碼最近支付寶被盜才開始考慮密碼安全 之前有分敏感/涉及個資/免洗密碼約5組 但還是會共用到 被木馬側錄到其中一組其他共用的要改掉就很麻煩 就想到配合md5雜湊值來產生密碼 例如要產生12碼英數大小寫(以下舉例 不用照搬)3
[問卦] 真的有人註冊網站使用網站建議的密碼嗎?如題 申請網路網站帳號會員 通常需要一組帳號和密碼 帳號和密碼可能會給一些設定限制 比方說第一個字要是英文 大小寫都要用到之類的 但只要符合限制 多半是給使用者自行決定 然而有些網站1
[問卦] 某電商密碼只能用英文數字是啥小如題 今天在傳說還沒下單送貨員已在門口等 的知名電商買東西 下單後說密碼已經三個月沒更新 建議換掉現有的密碼3
[問卦] 系統的建議密碼真的有人在用?有時候一些網站想說密碼用久了 想要改一下 就會發現 重新設定密碼的條件越來越嚴格 必須要有大寫英文 不可連續數字 必須至少幾個字元 剛剛甚至看到 還必須要有特殊符號...... 現在想換個密碼真的越來越難想
爆
[情報] 帕魯專利侵權訴訟報告80
[閒聊] 玩偶遊戲 官方Line貼圖71
Re: [塵白] 2.3劇情出包 超絕炎上中66
[閒聊] 巔峰Faker有多強?66
[閒聊] 佐藤希 超重大告知&歌回 (有開視訊)56
[閒聊] 回合制戰鬥要怎麼才能變好玩59
[Vtub] 魔王Nari 3D披露決定67
Re: [閒聊] 鳴潮劇情炎上VS塵白劇情炎上50
Re: [塵白] 2.3劇情出包 超絕炎上中44
[妮姬] 會不會紅鞋的路線其實是對的?48
Re: [情報] 帕魯專利侵權訴訟報告48
[妮姬]反擊部隊與二週年的漫畫46
[閒聊] 鳴潮劇情炎上VS塵白劇情炎上37
[閒聊] 真假不明之魔物獵人舅舅爆料43
[閒聊] 怎麼看八哥這種鳥☺47
[閒聊] 有人是因為PTCG Pocket 第一次碰 PTCG的43
Re: [閒聊] 家長問:你怎麼都買前凸後翹的女生模型90
[閒聊] 家長問:你怎麼都買前凸後翹的女生模型99
[問題] 關於大河內一樓這位動畫腳本家42
[閒聊] 如果要被關一個mmorpg 會找哪一個?34
[閒聊] 這個曬痕太神了33
[蔚藍] 好書作者:142cm 151cm52
[閒聊] C105各IP攤位統計32
[Vtub] 彩虹社 7th Fes Live整理31
Re: [情報] 帕魯專利侵權訴訟報告23
[討論] 鐵道 是不是很多人抽完流螢就退坑了31
[閒聊] 台版漫畫出那麼慢 是有什麼問題嗎?31
Re: [閒聊] 家長問:你怎麼都買前凸後翹的女生模型30
[討論] 西索真的是因為性癖不打螞蟻嗎49
Re: [塵白] 2.3劇情出包 超絕炎上中