パスワードチェックWebサイトはどの程度効果的ですか？
Howsecureismypassword.netに次のパスワードを入力しました。
yummy candy yummy
それは、パソコンが破裂するのに1000億年かかると述べた。これは正確ですか？英語の単語（さらに関連している）があっても、長さ14のランダムな文字列よりも安全ですか？
これが本当なら誰もがこのようなパスワードを作成する必要があります。
あなたが言及したサイトでの小さなテストは、彼らが長さ、アルファベット、および総当たり攻撃のみを考慮していることを示唆しています。あなたが投稿したパスワードは確かに1000億年の答えを返します。 「おいしいキャンディーヤム」に変更すると、「4,900万年」しか返されません。数字の有無にかかわらず、8文字のWordは11分を返します。記号を1つ追加すると、答えが3時間に変わります。したがって、おそらく比較的洗練されていないアルゴリズムでしょう。すべてはJavaScriptで発生しますが、縮小されており、ログに記録していません。
悲しいことに、ほとんどすべての人がパスワードを使用するユーザーにとって、パスワードのクラッカーには驚くほど多数のヒューリスティックがあり、GPUを利用して推測を並列化する方法を学びました。 Ars Technicaこれに関する一連の記事を2013年に作成しました。半ダースのリンクを投稿するのではなく、これを試してください： https://www.google.com/search?q=password + cracking + site％3Aarstechnica.com
したがって、質問は2つの部分に分かれます。パスワードのエントロピーのビット数と、nビットのエントロピーでパスワードを解読するのにどのくらいの時間がかかりますか？他の人が言及している XKCDコミック で「ビットのエントロピー」の良い例を得ることができます。
人々は4つの語彙を持っています：彼らがスピーチで使う言葉の語彙、彼らがスピーチで理解する言葉の語彙、彼らがライティングで使う言葉の語彙、そして彼らがライティングで理解する言葉の語彙。 （口頭による理解と書面による理解の分離は少し物議を醸すかもしれませんが、このディスカッションの目的には本当に重要ではありません。私は話すことと読むことのボキャブラリーが重要なものであると主張します。）
私は長い間、アメリカ人が話す平均的な英語の語彙は約1000語だと思っていました。私は証拠や調査を探すのに少し時間を費やしただけで、空っぽになりました。しかし、マークバーネットは、すべてのパスワードの91％が1,000アイテムのリストからのものであることを発見しました。 （ https://xato.net/passwords/more-top-worst-passwords/ ）これは私の推測を裏付けるものであり、かなりの量の研究が行う可能性があります。
したがって、「平均的なアメリカ人」にランダムな単語を選択するように依頼した場合、それはおそらく約10ビットのエントロピーです。 Randall Munroe（XKCD作成者）は、2,000のランダムな単語のリストを使用してパスフレーズを生成することを推奨しています。そのため、各単語は約11ビットのエントロピーです。2（2048）は11です。
パスワードの選択はランダムでなければならないことに注意してください。パスワードクラッカーはヒューリスティックスで人間の偏見を考慮に入れます。リストからランダムな単語を選択する1つの方法は Diceware。 を使用することです。
言葉ではなく文字のエントロピーを考えることができます。 95個の印刷可能なASCII文字があるため、その多くがパスワードを入力できます。ログ2（95）は約6.6であるため、ランダムに文字を選択すると、8文字のパスワードで約53ビットのエントロピーが得られます。ただし、マンローがコミックで指摘しているように、キャラクターをランダムに選択することはほとんどありません。パターンを選択すると、エントロピーが大幅に削減されます。 （パスワードマネージャープログラムcanは、アルファベットからランダムに、または少なくとも疑似ランダムに選択することに注意してください。）
パスワードのエントロピーのビット数を推定する方法を考えると、どれだけの時間nビットを解読できますか？エントロピーの見積もりを正確に行った場合、クラッカーが使用するヒューリスティックが考慮され、ブルートフォースクラッキングに簡略化できます。
高速ハッシュでソルトなしの場合、この Ars Technica記事 は、1秒あたり最大80億回の推測を推定します。 80億は233。したがって、33ビットのエントロピーには1秒、34ビット、2秒というように続きます。エントロピーが44ビットのパスフレーズは2になります11 秒、または約30分。 66ビットのエントロピー、マンローの架空のリストからの6つの単語、または約10個のランダムな文字に到達すると、 48日 272年。
80億回の推測/秒は、パスワードなしで保存され、SHA-1のような高速ハッシュを使用したパスワードに基づいていることに注意することが重要です。ランダムソルト*とキーストレッチアルゴリズムを使用してパスワードが適切に保存されている場合、ブルートフォース攻撃は数十億回ではなく、毎秒数千回の推測に削減されます。 Crackstation に詳細があります。残念なことに、システムを実行してパスワードを「正しく」保存する人々に依存することはできないため、パスワードを再利用しないことが非常に重要です。
したがって、（ついに！）尋ねられた質問にたどり着くために、「おいしいキャンディーおいしい」はおそらく約30ビットのエントロピーを持っています。ランダムな14文字の文字列には、約6.6 * 14 = 92.4ビットのエントロピーがあり、2以上62 または何千倍も安全です。
*ソルト（ Crackstation の記事を参照）は、単一のパスワードを解読することを難しくしません。その目的は、1セットの計算がサンプルのallまたはほとんどのパスワードをクラックする事前計算攻撃を防ぐことです。
TL; DR：
- むしろ、弱いパスワードを覚えるよりも、強いパスワードを書き留めてください。
- 常に固有のパスワードを使用してください！
- オフラインで使用するためのパスワードは、オンラインで使用する場合よりも強力である必要があります。
- 十分に長い場合は単語で構成されたパスワードを使用するか、長い文を取り、最初の文字をすべてパスワードとして使用できます。
所定の長さのパスワードの場合、疑いもなく、英数字と特殊文字で構成される「ランダムな」文字列が最も安全です。これらのパスワードには、覚えにくいという欠点があります。
多くの場合、パスワードを書き留めておくことはお勧めしませんが、パスワードを書き留めて比較的安全な場所（たとえば、財布、金庫、絵の後ろなど）に保管すると、他の方法では忘れることができる強力なパスワードをさまざまに使用できます。電子メールのパスワードを破ろうとするインターネット上のハッカー、またはラップトップを盗んで暗号化されたパーティションにアクセスしようとしている泥棒が、書面のメモにアクセスできる可能性は低いです。机の上に置いたままにしないでください。
ランダムなパスワードを書き留めたり覚えたりしたくないために使用したくない場合は、十分な数のパスワードを含めると、単語を使用して強力なパスワードを作成できます。また、本から長い文章（30語など）を取り、その単語の最初の文字をパスワードとして使用することも検討できます。その後、本と文を見つけたページを覚えておくことができるので、パスワードを書き留めずに、忘れた場合にパスワードを再構築できます。
パスワードの要件は、パスワードを使用するアプリケーションによって異なることに注意してください。ファイルを復号化することを目的としたオフライン攻撃では、1秒あたり数十億のパスワードが推測される可能性がありますが、Webサイトへの攻撃では、推測の数は帯域幅と多くのサイトで入力する必要があるという事実によって制限されます多くの間違った推測の後、Captchaで、または一時的にアカウントをブロックします。したがって、オフライン暗号化パスワードはおそらく2 ^ 30までの推測に耐えることができるはずですが、オフラインパスワードは数十億回の推測に耐えるだけで十分な場合があります。 Webでは、すべてのサイトが他のサイトほどセキュリティを重視しているわけではないため、単一の強力なパスワードではなく、一意のパスワードを使用することがより重要です。あなたが誰かがあなたの地元の食料品のサイトに侵入したときにあなたの電子メールや銀行口座が侵害されることを望まないでしょう。
あなたが投稿したウェブサイトが正確にどのように機能するかわかりません。しかし、これは私の直感です。パスワードは英語の文字だけでできていると言う場合;これは「ウェブサイトの作成者」の観点からは正しくない可能性があります。単語の間にスペースを入れました。ご覧のように、これらもパスワードの一部として扱われました。パスワードのセキュリティを保証するアルゴリズムでは、さらに多くの文字、数字、記号を考慮している可能性があります。私がここに行こうとしているところがわかります。
私の要点は、おそらく後からのアルゴリズムは、CAPS、数字、記号を含む文字のスペースを信じていることです。与えられた長さのパスワードは非常に安全です。少なくともブルートフォース攻撃では、与えられたスペースからのサブセットの数が多すぎて、与えられた時間に解読できません。
第三者を信頼してパスワードの強度を確認することはできません。重要なのは、パスワードのoutputではなく、入力です。
あなたがパスワードクラッカーが純粋に力ずくのアプローチをとっていると仮定することはできません。
一般的な単語の辞書は約2000です。2000^ 3は80億であり、ごくわずかな時間で解読される可能性があります。
世界の「パスワード」を取得してgzipすると、T+H,..Ï/Jáâ[Äのようになります。安全そうに見えますが、実際はそうではありません。