密碼限制如何給你一個錯誤的安全感

下次你被迫輸入密碼時，特別是當網站要求你使用大寫字母和小寫字母、數字或符號的瘋狂組合時，不要假設這些試圖混淆的嘗試會自動地意味著密碼是不可思議的和安全的。...

Illustration for article titled How Password C***traints Give You a False Sense of Security

下次你被迫輸入密碼時，特別是當網站要求你使用大寫字母和小寫字母、數字或符號的瘋狂組合時，不要假設這些試圖混淆的嘗試會自動地意味著密碼是不可思議的和安全的。

Webroot的高階安全分析師randyabrams進行了一些簡單的測試。他計算了你可以在一個8個字元的密碼中建立的所有可能的密碼，包括數字、大小寫字母和符號(這是95^8個可能的組合，結果是6634204312890625，或者說是6.6萬億。）

讓我們假設有人試圖透過典型的暴力攻擊找出你的密碼。假設他們每秒可以測試大約310億個密碼。破解你相當複雜的8個字元的密碼最多需要212903秒。那是3548分鐘，大概兩天半。

現在，讓我們討論一下約束。假設您使用的服務要求您擁有一個8個字元的密碼。艾布拉姆斯指出，這使得70.6萬億密碼的混合，因為每個密碼從一個字元長到七個字元長現在是無效的。這為破解工具節省了2277秒，也就是近38分鐘。還不錯。

如果以安全的名義，你使用一個8個字元的密碼（用於記憶），而一個服務強迫你使用大小寫字母以及符號呢。這樣更安全，對吧？這是一個更複雜的密碼，這使得攻擊者更難破譯？不完全是。正如艾布拉姆斯所指出的，你剛剛將潛在的密碼池削減了18.5%，例如刪除了所有小寫密碼之類的專案。最多兩天，系統在我們的場景中嗅出你的密碼。

如果服務還要求您在密碼中有一個數字，並且您接受它的建議，只需這樣做，將您的“複雜”密碼保持在僅8個字元，您就可以將潛在密碼剪下為一個暴力工具需要猜測的大約41%。在我們的場景中，這將最大時間縮短到34小時，或者僅僅是一天半。

Abrams建議，與其擔心如何讓較短的密碼更難猜測或使用暴力，不如選擇較長的密碼，因為即使服務有密碼限制，它們的影響也會小得多：

“您可能已經註意到，對較長的密碼幾乎沒有影響。通常，對長密碼施加限制也沒有什麼價值。這是因為密碼中的每個附加字元都會使密碼池呈指數級增長。僅使用小寫字母的16個字元密碼的組合是使用所有4個字符集的8個字元密碼的650萬倍。這意味著“toodle**ypoodles”比“toodle**ypoodles”更難破解I81B@gle’”

你可能不應該使用三個單詞的密碼短語，而應該堅持使用大量單詞的密碼短語，如果你要這樣做的話，任何長度都可以。

更好的方法是，為您的密碼管理應用程式使用一個長的密碼短語（這不僅僅是一個著名的引語或相當常見的短語），使用雙因素身份驗證新增第二層安全性（從應用程式或其他硬體裝置生成的令牌，而不是透過文字訊息接收的登入程式碼），然後使用密碼管理器為所有其他服務生成16個以上字元的密碼，其中包含大小寫字母、數字和符號。瘋狂吧。

如果你想註冊一個只允許你有限制的短密碼的東西，特別是如果你只需要使用一個數字，那就緊張起來。如果你幸運的話，也許你也可以在那裡設定2FA，以提高安全性。