Teks & alat sehari-hari · Generator Kata Sandi
Potongan entropi vs pengukur kekuatan: apa yang sebenarnya diukur oleh angka tersebut
· Latar belakang
kata sandi entropi kekuatan-meter
Menjelaskan apa itu sedikit entropi, mengapa entropi dapat dihitung dengan tepat untuk kata sandi yang dihasilkan namun hanya diperkirakan untuk kata sandi yang dipilih manusia, dan mengapa pengukur kekuatan dan angka entropi sering kali berbeda pendapat.
Bilah hijau yang berbohong — pengukur kekuatan menyukai 'P@ssw0rd2024' dan mengabaikan frasa sandi enam kata
ToolAcre tidak menampilkan bilah berwarna merah ke hijau atau menerima kata sandi untuk penilaian. Ini memperkirakan proses acak yang dikonfigurasi dalam generatornya sendiri dan menyatakan asumsi di samping hasilnya. Klaim buku kerja bahwa meteran tipikal menyukai satu contoh dan menolak contoh lainnya memerlukan bukti dari implementasi bernama, yang bukan merupakan bagian dari repositori ini.
Memperbaiki judul itu penting karena perhitungan transparan dan skor heuristik menjawab pertanyaan yang berbeda. ToolAcre mengetahui kumpulannya, jumlah undian, aturan kasus, dan aturan pembatasnya. Ia tidak mengetahui bagaimana string yang dipilih di tempat lain diproduksi, sehingga ia menolak untuk menyiratkan bahwa penampilan saja sudah menunjukkan kekuatan.
Bilah kekuatan hijau berada di luar alat ini; ToolAcre melaporkan perkiraan generator yang dinyatakan
Satu bit menunjukkan penggandaan jumlah kemungkinan hasil yang sama. Jika suatu undian memiliki N pilihan seragam, kontribusinya adalah log₂(N). Pilihan independen menambah. Aritmatika ini tepat untuk model yang disebutkan, namun repositori tidak menyediakan ambang batas bit universal yang membuat kata sandi sesuai untuk setiap akun.
Model ancamannya berbeda-beda, dan nilai-nilai yang dihasilkan tetap rentan terhadap jalur kompromi yang tidak memperhitungkan ruang yang ada. Penghitungan dapat membandingkan pengaturan sambil tetap tidak mengatakan apa pun yang pasti tentang phishing, malware, penggunaan kembali, pemulihan, atau tujuan yang menyimpan kredensial dengan buruk.
Perhitungan bit mengikuti jumlah pilihan yang terverifikasi, tanpa ambang batas keamanan universal
Urutan kata yang terlihat sama dapat dihasilkan dari indeks acak yang aman atau dari seseorang yang memilih kutipan. Stringnya cocok sementara prosesnya berbeda. ToolAcre memperkirakan yang pertama karena setiap operasi acak diketahui; ia tidak memperkirakan yang kedua karena preferensi manusia dan urutan penyerang tidak dimodelkan.
Pandangan proses pertama ini juga menjelaskan mengapa pemformatan deterministik tidak menambahkan entropi. Kapitalisasi tetap dan pemisah mengubah kata-kata yang dipilih dengan mudah diprediksi. Kasus acak dan pembatas acak menambahkan pilihan eksplisit karena mesin melakukan pengundian baru untuk pilihan tersebut.
Perkiraan tersebut menjelaskan proses dan pengaturan pembuatan, bukan string yang terlihat saja
Untuk nilai yang dihasilkan, paket dapat menghitung dari daftar kata aktual yang difilter dan gambar yang dikonfigurasi. Mode karakter menggunakan ukuran alfabet yang dipilih dan panjang yang diminta. Masukan ini terlihat dan dapat diuji, sehingga perkiraan dapat berubah ketika pengguna mempersempit kumpulan atau menonaktifkan kelas.
Nilai-nilai yang diciptakan manusia memerlukan model pilihan-pilihan yang mungkin ada, bukan sekadar alfabet yang dipanjangkan menjadi seutas tali. ToolAcre tidak berisi model tersebut dan tidak mengundang pengguna untuk menempelkan kredensial yang ada, yang juga menghindari pengungkapan rahasia untuk skor yang meragukan.
Cara kerja pengukur kekuatan - penghitungan aturan, pemeriksaan kamus dan pencocokan pola, dan di mana masing-masingnya menyesatkan
Beberapa pengukur eksternal menggunakan kamus, pencocokan pola, atau heuristik komposisi, namun aturan dan versinya bukan merupakan bahan sumber di sini. Oleh karena itu, artikel ini tidak mengadakan kontes palsu melawan meteran “khas”. Perbandingan yang valid memerlukan implementasi bernama, input, dan kode saat ini.
Ketidakhadirannya memang disengaja. Perilaku heuristik dapat berubah secara independen dari ToolAcre, sementara perkiraan generator tetap terikat pada operasi yang dikontrol repositori. Pembaca harus menafsirkan meteran lain dari dokumentasinya sendiri daripada berasumsi bahwa setiap bilah hijau memiliki arti yang sama.
Perilaku pengukur kekuatan pihak ketiga berada di luar bukti penyimpanan
Mulailah dengan enam kata dari kumpulan N yang memenuhi syarat dengan huruf kecil dan spasi tetap: kontribusi kata adalah 6 × log₂(N). Beralih ke kasus acak dan tambahkan enam pilihan biner. Beralih kembali ke kasus tetap dan tambahkan kata ketujuh; kenaikannya adalah log₂(N). Setiap perbedaan mengikuti satu pengaturan yang terlihat.
Untuk mode karakter, gunakan alfabet pilihan tepat yang dilaporkan oleh sumber dan kalikan log₂ ukurannya dengan panjangnya sesuai perkiraan paket. Perhitungan ini membandingkan proses yang didukung. Mereka tidak menghasilkan contoh kredensial, perkiraan waktu retak, atau rekomendasi universal.
Contoh praktis: menghitung tiga perubahan pengaturan yang didukung tanpa mensimulasikan meteran
Entropi Shannon dari corpora bahasa alami dan metrik tebakan penelitian berada di luar implementasi generator. Begitu pula dengan model kata sandi yang dilatih secara empiris. Menggabungkannya dengan penghitungan pilihan seragam akan membuat satu kata “entropi” yang familiar mencakup beberapa definisi yang tidak sesuai.
Halaman batasan produk sudah mengambil rute yang lebih aman: angka tersebut menjelaskan pengaturan berdasarkan asumsi yang ditetapkan, dan perkiraan waktu merupakan perbandingan, bukan prediksi. Simpan kualifikasi tersebut setiap kali nomor tersebut dikutip.
Kesimpulannya — frasa sandi yang dihasilkan memiliki entropi yang diketahui, itulah sebabnya Generator Kata Sandi dapat jujur mengenai kekuatannya
Frasa sandi yang dihasilkan memiliki model yang dapat dihitung karena ToolAcre mengontrol dan menampilkan pilihan acak. Transparansi itu adalah properti yang berguna. Angka bit yang dihasilkan bukanlah gambaran intrinsik pada karakter dan tidak menjamin keamanan di setiap penyerang atau sistem.
Gunakan perkiraan tersebut untuk mengaudit perubahan konfigurasi, lalu jaga kerahasiaan dan keunikan nilai sebenarnya. Jangan gunakan ToolAcre sebagai pengelola atau tempelkan kredensial yang ada untuk evaluasi. Model yang jelas lebih baik daripada meteran percaya diri hanya jika batasnya tetap terlihat.