Teks & alat sehari-hari · Generator Kata Sandi
Serangan kamus: dari worm 1988 Morris hingga daftar kata sandi yang bocor
· Latar belakang
kata sandi serangan kamus frasa sandi
Menjelaskan bagaimana serangan kamus berevolusi — dari worm yang membawa daftar kata kecil hingga cracking modern dengan corpora kata sandi yang bocor dan aturan yang merusak — dan mengapa frasa sandi acak dari daftar publik bukanlah kata kamus dalam arti yang penting.
Worm dengan daftar kata — bagaimana worm 1988 Morris menebak kata sandi dengan kamus internal dan file kata sistem
Buku kerja terbuka dengan detail tentang worm Morris dan file Word bawaan, namun repositori Generator Kata Sandi bukan sumber riwayat untuk kejadian tersebut. Tidak ada kode utama, makalah atau arsip yang dikutip di sini. Mengulangi cerita tersebut akan melanggar persyaratan untuk tidak mengutip riwayat keamanan dari memori.
Pertanyaan terkait produk dapat dijawab tanpa narasi tersebut: apakah menggunakan kata-kata dari daftar publik membuat frasa yang dihasilkan secara seragam setara dengan satu kata kamus? Tidak. Mesin memilih urutan indeks independen yang berurutan, dan jumlah kombinasi mengikuti kumpulan terverifikasi dan jumlah undian.
Sejarah Morris-worm berada di luar bukti repositori
Secara konseptual, serangan kamus mencoba meyakinkan kandidat lebih mungkin daripada serangan seragam. Kata, nama, dan frasa buatan manusia dapat masuk dalam urutan itu sejak dini. Artikel ini tidak menetapkan throughput, tingkat keberhasilan, atau ukuran kamus karena repositori tidak menyediakan kumpulan data penyerang atau konfigurasi alat.
ToolAcre tidak memodelkan pemesanan itu. Ini menghindari masalah pilihan manusia dengan mengambil dari kumpulan yang dikenal dengan Web Crypto. Hasilnya tetap harus tetap bersifat pribadi dan unik; pemilihan acak tidak melindungi frasa yang disalin dari dokumentasi atau digunakan kembali setelah pemaparan.
Serangan kamus dibahas hanya sebagai batasan model ancaman, tanpa statistik
Korpora kata sandi yang bocor bersifat eksternal dan mengubah kumpulan data. Ukuran, isi dan pengaruhnya terhadap alat cracking tidak dapat ditentukan dari kode generator lokal. Oleh karena itu, bagian ini menghilangkan statistik pelanggaran dan menyebut corpora daripada membekukan klaim yang tidak didukung menjadi konten yang selalu menarik.
Kelalaian ini tidak melemahkan rekomendasi untuk tidak menggunakan kembali. Batasan ToolAcre secara eksplisit menyebut penggunaan kembali sebagai mode kegagalan terpisah. Kredensial baru per akun membatasi konsekuensi dari satu layanan yang mengekspos suatu nilai, terlepas dari bagaimana penyerang memprioritaskan kandidat.
Korpora kata sandi yang bocor memerlukan bukti eksternal dan dihilangkan
Penggunaan huruf besar pada huruf pertama, menambahkan tahun, atau mengganti simbol mungkin mengikuti aturan manusia yang dapat diprediksi, namun repositori ini tidak berisi klaim terukur tentang seberapa sering penyerang menerapkan masing-masing simbol tersebut. Oleh karena itu, mode kasus tetap ToolAcre dihitung sebagai format deterministik, bukan entropi tambahan.
Ketika komposisi diperlukan, generator karakter membuat pilihan kelas secara acak dan mengacak posisi. Itu adalah proses yang terdokumentasi. Mengedit frasa yang dihasilkan dengan sufiks pribadi secara manual akan menciptakan proses yang berbeda dan membatalkan perkiraan sebelumnya.
Contoh aturan Mangling tidak diperlakukan sebagai perilaku serangan terukur di sini
Daftar panjang publik masih menawarkan 7,776 kemungkinan indeks untuk setiap undian tanpa filter. Oleh karena itu, empat pilihan terurut independen menghasilkan 7,776⁴ kombinasi. Penyerang mungkin mengetahui daftar dan pengaturannya; urutan yang dipilih tetap tidak diketahui kecuali telah diekspos atau digunakan kembali.
Pemfilteran mengubah basis, dan mode akrostik membatasi pemilihan berdasarkan huruf awal, sehingga perhitungan harus mengikuti pengaturan sebenarnya. Kosakata publik bukanlah izin untuk menyembunyikan kendala-kendala ini. Mesin tersebut berasal dari kumpulan yang memenuhi syarat dan melaporkan asumsinya.
Mengapa kombinasi seragam tetap dapat dihitung meskipun daftar sumber bersifat publik
Untuk frasa daftar panjang empat kata yang dihasilkan, dapatkan 7,776⁴ langsung dari ukuran file yang diuji dan empat posisi independen. Jangan mencetak contoh frase sebagai kandidat. Untuk ekspresi empat kata yang dipilih seseorang, biarkan hitungannya tidak diketahui karena tidak ada model probabilitas untuk pilihan orang tersebut.
Perbandingan ini menghindari perkiraan waktu retak dan tidak menyatakan bahwa empat kata cukup untuk setiap penggunaan. Ini menggambarkan mengapa bukti proses penting. Jumlah yang diketahui dapat menentukan pengaturan, sementara kesesuaiannya masih bergantung pada tujuan dan model ancaman.
Contoh praktis: turunkan jumlah kombinasi yang dihasilkan dan biarkan pilihan manusia tidak terkuantifikasi
Tabel pelangi, kinerja GPU, dan pengoptimalan khusus hash memerlukan informasi tentang pemverifikasi yang disimpan dan platform serangan. Mereka berada di luar generator ini dan dihilangkan. ToolAcre tidak memiliki basis data kata sandi sisi server yang konfigurasinya dapat mendasari topik tersebut.
Menambahkan klaim perangkat keras juga akan membuat artikel tersebut menjadi angka yang tidak stabil. Fakta lokal yang bertahan lama adalah jumlah pilihan dan batasan produk yang seragam. Rekayasa serangan eksternal termasuk dalam analisis yang bersumber secara terpisah.
Kesimpulannya — kata-kata dalam keluaran Generator Kata Sandi ada dalam kamus umum, dan itu tidak masalah; kombinasi acak adalah sesuatu yang tidak dapat dihitung dengan murah oleh penyerang
Kata EFF dapat diketahui publik karena kerahasiaan berasal dari kombinasi acak yang baru, bukan dari kosa kata yang disembunyikan. ToolAcre menggambar indeks tanpa bias modulo dan tidak pernah menyimpan riwayat. Pengguna harus menjaga urutan yang dihasilkan tetap pribadi dan unik.
Jangan jadikan aritmatika publik menjadi sebuah janji terhadap setiap penyerang. Generator tidak mencegah phishing, malware, penggunaan kembali, atau penyimpanan jarak jauh yang buruk. Ini memberikan proses seleksi yang dapat dihitung; penanganan yang bertanggung jawab dan pengendalian sistem harus membawa hasil dari sana.