human
Un mot de passe constitué d'une longue chaîne d'un seul caractère (par exemple 28 a) serait-il considéré comme « sécurisé » ? Qu'en est-il d'un mot de passe avec 27 a et 1 o placés quelque part dans la chaîne ? S'il vous plaît, expliquez-moi comme si j'avais cinq ans.
gpt
Si vous comptez sur des attaques purement aléatoires, alors oui, aaaaaaaaaaaaaaaaaaaaaaaaaaa, aaaaaaaaaaoaaaaaaaaaaaaaaaaa et jfmwlduxlqenxaowdjalwndowzhd sont tout aussi sécurisés les uns que les autres. Cependant , les attaques purement aléatoires ne sont pas nécessairement ce que les attaquants ont tendance à utiliser . Supposons que nous ayons affaire à quelqu'un qui a réussi à obtenir une liste de données d'utilisateurs sur un site Web plutôt qu'à un individu déterminé essayant de s'introduire dans un compte spécifique - la raison pour laquelle nous supposons que c'est que le jeu change quelque peu si vous regardez une liste plutôt qu'un individu . Si vous essayez de casser le mot de passe d'une personne, la meilleure chose à faire est d'essayer de comprendre ce que c'est, ou même de lui demander de vous le dire. "Bonjour, c'est M. Jones ? C'est Paul de l'informatique - il y a un problème avec votre compte, et j'essaie de le régler avant que cela ne vous cause un problème. Pourriez-vous juste me dire votre mot de passe, s'il vous plaît ?" est une tactique au succès alarmant. Si vous travaillez avec une liste volée d'utilisateurs pour un site Web, vous avez tendance à stocker un hachage de mot de passe avec les noms d'utilisateur. Le hachage est une chaîne générée à partir du mot de passe - en utilisant le hachage , vous pouvez savoir si le mot de passe saisi est celui qui est censé être utilisé avec le compte , mais vous ne pouvez pas revenir en arrière sortir le mot de passe du hachage. La façon dont les attaques sur ce genre de chose ont tendance à se produire est que vous commencez avec un dictionnaire (pas nécessairement * le * dictionnaire , juste * un * dictionnaire ). Votre dictionnaire pourrait simplement être [ les 500 pires mots de passe de tous les temps ] ( URL_0 ) . Ce que vous faites ensuite est de hacher chacun d'entre eux et de regarder dans la liste pour voir quels comptes ont ce hachage contre eux. Donc , vous commencez avec un mauvais mot de passe # 1 - ' 123456 ' et le hachez , ce qui vous donne ' e10adc3949ba59abbe56e057f20f883e ' - tout ce que j'ai à faire est de regarder dans le fichier les utilisateurs qui ont ce hachage contre leurs informations de connexion , et hop , je savent que leur mot de passe est ' 123456 ' . Donc , après avoir passé en revue les 500 pires mots de passe , j'ai découvert un bon nombre de mes comptes . Je décide que je vais faire preuve d'intelligence et appliquer une partie de ma propre logique. Nous avons fait ' 123456 ' parce que c'était mon mauvais mot de passe # 1 . ' 1234567 ' et ' 12345678 ' figurent également sur la liste des mots de passe incorrects . Essayons également ' 12345678**9 * * ' . Et peut-être aller au-delà - jusqu'où ? Eh bien , cela n'a pas vraiment d' importance , parce que cela ne me prend pas énormément de temps à faire . Je regarde plus loin dans la liste. Je trouve ' aaaaaa ' est là . Peut-être puis-je appliquer la même logique ici. J'essaie sept " a " . Huit . Neuf . Où m'arrêter ? Qui sait . C'est un truc facile, et selon la façon dont je le fais, ça pourrait même être un peu automatisé si j'ai un logiciel qui fonctionne pour moi - je ferai jusqu'à 99 a si je pense que ça va amenez-moi quelque part, et avec l'automatisation, cela pourrait ne prendre que quelques secondes. Maintenant , mettre un ' o ' au hasard va quelque peu à l' encontre de ce système de travail avec des modèles . Tout d'un coup, ce n'est plus aussi simple que d'ajouter un 'a' supplémentaire à une chaîne de 'a'. Cela signifie-t-il que c'est un bon système ? Eh bien, probablement pas. D'une part, si je travaillais près de chez vous, je pourrais probablement deviner votre mot de passe. Si je vous vois marteler une lettre sur votre clavier , alors je peux compter combien de fois vous le faites moi - même , ou si j'ai de la chance , je vous entendrai compter à voix basse ... " un - deux - trois " - quatre - cinq - six - sept - huit - neuf - dix - O - un - deux ... ' Votre meilleur choix de mot de passe est celui qui est purement aléatoire , a différentes sortes de caractères ( majuscules , minuscules , ponctuation , nombres ) dans , et est très , très long . Le problème avec ceci est que vous ne vous en souvenez certainement pas. Quelque chose qui est plus immédiatement utilisable est que les gens créent une phrase dont ils se souviendront. On pourrait penser que « Tenez carrément le nez du lecteur de news, serveur, ou un lait amical annulera mon pantalon » serait un excellent mot de passe, sauf que Stephen Fry l'a déjà dit, et c'est partout sur Internet. Si vous pouvez faire correspondre un dictionnaire de mots à une charge de hachages, vous pouvez aussi faire correspondre des phrases. Je suis sûr que quelqu'un pourrait exporter Wikiquote d'une manière ou d'une autre et l'utiliser comme liste de mots. « chatonwedgiehughheffner » est probablement une expression moins utilisée, et peut-être que vous vous en souviendrez. La technique que j'adopte lorsque je crée des mots de passe est d'opter pour ceux qui inspirent une image mentale absurde afin que je me souvienne de l'image, et à partir de là du mot de passe. Cela souffre du fait qu'il a des mots connus, mais comparé à une attaque de dictionnaire aléatoire où vous n'avez affaire qu'aux 70 caractères d'un clavier, vous essayez maintenant de le faire correspondre à des dizaines de milliers de mots anglais . Ajoutez quelques noms également, et vous augmentez vraiment les chances des attaquants potentiels. Peut-être même ajouter des mots moins courants qui ne seraient pas utilisés dans la conversation de tous les jours, au cas où vos attaquants se seraient limités à une liste de mots de base. Pour des points de sécurité bonus, j'aime aussi coller le mot étrange d'une langue différente dans mes mots de passe, juste pour déjouer quiconque utilise un dictionnaire anglais comme liste de mots. * * TL;DR - mathématiquement, oui, c'est sécurisé. Tenez compte des modèles et des facteurs humains, et non, ce n'est pas si génial. * *