Text- und Alltagstools · Passwortgenerator
Warum „richtige Pferdebatterieklammer“ nur funktioniert, wenn die Wörter zufällig sind
· Warum es wichtig ist
Passwörter Passphrasen Zufälligkeit
Der berühmte Comic machte Passphrasen populär und brachte auch eine schlechte Angewohnheit hervor – die eigenen Wörter zu wählen; In diesem Beitrag wird erläutert, warum die Stärke vollständig von der zufälligen Auswahl aus einer bekannten Liste abhängt.
Der Comic, an den sich jeder erinnert, und die Lektion, die die Hälfte von ihnen verpasst hat – vier gebräuchliche Wörter sind nur dann stark, wenn der Würfel sie auswählt
Eine einprägsame Sequenz aus vier Wörtern demonstriert ein Format, nicht den Prozess, der es ausgewählt hat. Die Berechnung von ToolAcre hängt davon ab, dass jede Position einen unabhängigen einheitlichen Index aus dem zulässigen Wortpool erhält. Wenn eine Person vier bekannte Wörter wählt, weil sie amüsant klingen oder eine Szene bilden, bleibt die sichtbare Anzahl der Wörter bei vier, während sich die zugrunde liegende Verteilung ändert.
Das Repository verwendet keine komische oder berühmte Phrase als Quelle für einen Sicherheitsschwellenwert. Es implementiert und testet eine Zufallsauswahlroutine. Die praktische Lektion besteht darin, diese Routine beizubehalten, anstatt ein öffentliches Beispiel zu kopieren oder seine Grammatik zu imitieren. Jeder in einem Artikel abgedruckte Satz ist bereits bekannt und darf nicht zu einem Berechtigungsnachweis werden.
Vier bekannte Wörter sind kein Beweis für einen zufälligen Auswahlprozess
Die menschliche Wahl kann Lieblingsobjekte, Namen, Zitate, grammatikalische Reihenfolge und zusammengehörige Wörter bevorzugen. ToolAcre versucht nicht, diese Präferenzen abzuschätzen und bewertet daher keine vorhandene Phrase. Das Aufrufen einer selbst gewählten Sequenz, die vier gleichmäßigen Ziehungen entspricht, würde die Generatorformel auf einen Prozess anwenden, der nie stattgefunden hat.
Durch eine zufällige Auswahl können immer noch zwei Wörter entstehen, die zufällig miteinander in Zusammenhang stehen oder sich sogar wiederholen, da bei Ziehungen Ersetzungen verwendet werden. Das Bearbeiten dieser Ausgabe, bis sie sich zufälliger anfühlt, führt im Nachhinein zu menschlichen Präferenzen. Der ehrliche Weg besteht darin, das neue Ergebnis zu akzeptieren oder einen völlig neuen Kandidaten zu generieren, ohne einen der beiden zu veröffentlichen.
Das Kerckhoffs-Prinzip wird auf Wortlisten angewendet: Der Angreifer kennt möglicherweise die gesamte EFF-Liste und die Passphrase bleibt sicher
Die EFF-Listen sind öffentliche statische Vermögenswerte, und das beeinträchtigt nicht die Anzahl möglicher Indizes. Für die lange Liste überprüft der Build 7,776 Einträge. Ein Angreifer kennt möglicherweise jedes Wort, die Reihenfolge der Datei und alle Einstellungen; Der unbekannte Teil besteht darin, welche unabhängigen Indizes Web Crypto für diese bestimmte private Ausgabe ausgewählt hat.
Dieses Design vermeidet „Sicherheit durch eine geheime Wortliste“. Es bedeutet auch, dass die Filterung berücksichtigt werden muss. Wenn der Benutzer die zulässigen Wortlängen einschränkt, wird der zulässige Pool kleiner und die Entropiefunktion verwendet diesen realen Pool, anstatt weiterhin 7,776 anzugeben.
Eine öffentliche Wortliste bleibt verwendbar, da der Zufallsindex und nicht die Geheimhaltung der Liste die Eingabe ist
Eine Phrase wie „rotes Apfelkuchenstück“ trägt Assoziationen und grammatikalische Struktur. Das Repository enthält kein Modell dafür, wie oft Personen dieses Muster erstellen, und weist daher keinen numerischen Suchraum zu. Die vier Token als unabhängig zu behandeln, nur weil sie durch Leerzeichen getrennt sind, würde den Auswahlbeweis ignorieren.
ToolAcre wählt stattdessen jedes Wort bis `secureRandomChoice` aus derselben geeigneten Liste aus. Das vorherige Wort schränkt die nächste Ziehung nicht ein. Diese Unabhängigkeit ist eine Eigenschaft des Codepfads und keine visuelle Eigenschaft der fertigen Phrase.
Verwandte Wörter offenbaren einen menschlichen Prozess, den dieser Generator nicht modelliert
Für vier generierte Langlistenwörter ohne Filterung beträgt die geordnete Ausgabeanzahl 7,776⁴, da jede der vier Positionen einen beliebigen Listenindex erhalten kann. Die Berechnung lässt sich inline aus der verifizierten Dateigröße ableiten. Eine von einer Person erstellte aus vier Wörtern bestehende Phrase erhält hier keine passende Nummer, da ihr Kandidatenprozess nicht spezifiziert ist.
Dieser Vergleich vermeidet bewusst Crack-Time-Schätzungen und gibt keine generierte Phrase aus. Es stellt lediglich fest, dass ein Prozess aus bekannten einheitlichen Entscheidungen abzählbar ist, der andere jedoch nicht. Die Eignung eines Kontos hängt immer noch vom Ziel, dem Gerät und dem umfassenderen Bedrohungsmodell ab.
Arbeitsbeispiel: Vergleichen Sie einen bekannten Uniformgenerator mit einer nicht quantifizierten menschlichen Phrase
Eine mnemonische Geschichte kann nach der Auswahl erstellt werden, wenn die Wörter, die Reihenfolge, die Groß-/Kleinschreibung und die Trennzeichen unverändert bleiben. Die Geschichte ist eine Erinnerungshilfe und kein Grund, sie durch ein schöneres Wort zu ersetzen. Durch die Veröffentlichung der Geschichte oder des Satzes würden die Anmeldeinformationen preisgegeben. Halten Sie daher beides innerhalb des genehmigten Bearbeitungsprozesses.
ToolAcre selbst lehrt oder testet keine mnemonischen Methoden. Es bietet englische Wörter und Formatierungssteuerelemente. Ob ein bestimmtes Ergebnis gespeichert werden kann, ist persönlich und die Speicherung obliegt einem Manager und nicht dieser Seite.
Was dies nicht abdeckt – die spezifischen Entropieansprüche im Comic und wie sie berechnet wurden
Dieser Artikel gibt keine spezifischen Entropieansprüche aus dem Comic wieder, da es sich bei dem Comic nicht um eine zur Überprüfung bereitgestellte Repository-Quelle handelt. Es wird auch nicht behauptet, dass eine beliebige Anzahl von Wörtern jeden Angriff abwehrt. Phishing, Malware, Wiederverwendung und ein kompromittiertes Ziel bleiben außerhalb der Listenarithmetik.
Durch die Auslassung bleibt eine nützliche Grenze erhalten: Mathematik mit generierter Auswahl kann direkt anhand von Code und Dateien überprüft werden, während Kulturgeschichte und Behauptungen Dritter ihre eigenen Primärquellen benötigen. Die beiden sollten nicht vermischt werden, da das Format bekannt vorkommt.
Das Wichtigste: Behalten Sie die Idee bei, lassen Sie die Gewohnheit fallen; Lassen Sie den Passwortgenerator die Wörter aus der EFF-Liste auswählen
Behalten Sie die Idee eines Mehrwort-Berechtigungsnachweises bei, aber lassen Sie die Wörter von einem geprüften Zufallsprozess auswählen. ToolAcre verwendet verifizierte EFF-Assets, Web Crypto und unvoreingenommene Indizes. Ein öffentlicher Wortschatz wird erwartet; Eine private frische Kombination ist der Teil, der unbekannt bleiben muss.
Wählen Sie Wörter nicht nach Themen aus, reparieren Sie umständliche Ausgaben und verwenden Sie das Ergebnis nicht wieder. Generation liefert einen Kandidaten und vergisst ihn; Verwaltungs-, Speicher- und Zielrichtlinien finden an anderer Stelle statt. Die Stärkeberechnung folgt dem Zufallsprozess, nicht dem Charme des Schlusssatzes.