Strumenti di testo e di uso quotidiano · Generatore di password
Bit di misuratori di entropia e forza: cosa misura realmente il numero
· Sfondo
password entropia misuratori di forza
Spiega cos'è un po' di entropia, perché può essere calcolata esattamente per le password generate ma solo stimata per quelle scelte dagli esseri umani e perché i misuratori di forza e i dati di entropia spesso non sono d'accordo.
La barra verde che ha mentito: un misuratore di forza adora "P@ssw0rd2024" e alza le spalle davanti a una passphrase di sei parole
ToolAcre non mostra una barra colorata da rosso a verde né accetta una password per la valutazione. Stima il processo casuale configurato nel proprio generatore e afferma le ipotesi accanto al risultato. L'affermazione del libro di esercizi secondo cui un tipico misuratore ama un esempio e ne rifiuta un altro richiede prove da un'implementazione denominata, che non fa parte di questo repository.
Correggere quell’intestazione è importante perché un calcolo trasparente e un punteggio euristico rispondono a domande diverse. ToolAcre conosce il pool, il conteggio delle estrazioni, la regola del caso e la regola del delimitatore. Non sa come sia stata prodotta una corda scelta altrove, quindi rifiuta di lasciare intendere che solo l'apparenza riveli la forza.
All'esterno di questo strumento è presente una barra di forza verde; ToolAcre riporta una stima del generatore dichiarato
Un bit rappresenta il raddoppio del numero di risultati ugualmente possibili. Se un'estrazione ha N opzioni uniformi, il suo contributo è log₂(N). Si aggiungono le scelte indipendenti. Questa aritmetica è esatta per il modello indicato, ma il repository non fornisce una soglia di bit universale che renda una password appropriata per ogni account.
I modelli di minaccia differiscono e i valori generati rimangono vulnerabili ai percorsi di compromissione che non enumerano lo spazio. Un conteggio può confrontare le impostazioni senza dire nulla di definitivo su phishing, malware, riutilizzo, ripristino o una destinazione che memorizza le credenziali in modo errato.
Un calcolo in bit segue i conteggi delle scelte verificate, senza una soglia di sicurezza universale
La stessa sequenza di parole visibile può risultare da indici casuali sicuri o da una persona che seleziona una citazione. Le stringhe corrispondono mentre i processi differiscono. ToolAcre stima il primo perché ogni operazione casuale è nota; non stima il secondo perché le preferenze umane e gli ordini degli aggressori non sono modellati.
Questa visione incentrata sul processo spiega anche perché la formattazione deterministica non aggiunge entropia. Le maiuscole fisse e i separatori trasformano le parole selezionate in modo prevedibile. Il caso casuale e i delimitatori casuali aggiungono scelte esplicite perché il motore esegue nuove estrazioni per loro.
La stima descrive il processo di generazione e le impostazioni, non solo la stringa visibile
Per i valori generati, il pacchetto può calcolare dall'elenco di parole effettivamente filtrato e dai disegni configurati. La modalità carattere utilizza la dimensione dell'alfabeto selezionata e la lunghezza richiesta. Questi input sono visibili e verificabili, consentendo alla stima di cambiare quando un utente restringe il pool o disabilita una classe.
I valori creati dall’uomo necessitano di un modello di scelte probabili, non semplicemente di un alfabeto elevato alla lunghezza di una stringa. ToolAcre non contiene quel modello e non invita gli utenti a incollare le credenziali esistenti, evitando così di esporre un segreto per un punteggio dubbio.
Come funzionano i misuratori di forza: conteggio delle regole, controlli del dizionario e corrispondenza dei modelli e dove ciascuno di essi induce in errore
Alcuni misuratori esterni utilizzano dizionari, corrispondenze di modelli o euristiche di composizione, ma le loro regole e versioni non costituiscono qui materiale di partenza. Questo articolo non mette quindi in scena una finta gara contro un contatore “tipico”. Un confronto valido avrebbe bisogno di un'implementazione denominata, input e codice corrente.
L'assenza è intenzionale. Il comportamento euristico può cambiare indipendentemente da ToolAcre, mentre la stima del generatore rimane legata alle operazioni controllate dal repository. I lettori dovrebbero interpretare un altro contatore dalla propria documentazione piuttosto che dare per scontato che ogni barra verde significhi la stessa cosa.
Il comportamento dei misuratori di forza di terze parti è al di fuori delle prove del repository
Inizia con sei parole da un pool idoneo di N in lettere minuscole fisse e spazi: il contributo della parola è 6 × log₂(N). Passa al caso casuale e aggiungi sei scelte binarie. Torna al caso fisso e aggiungi una settima parola; l'incremento è log₂(N). Ogni differenza segue un'impostazione visibile.
Per la modalità carattere, utilizza l'esatto alfabeto selezionato riportato dalla fonte e moltiplica log₂ della sua dimensione per la lunghezza come fa la stima del pacchetto. Questi calcoli confrontano i processi supportati. Non producono un esempio di credenziale, una previsione del momento critico o una raccomandazione universale.
Esempio pratico: calcolare tre modifiche alle impostazioni supportate senza simulare un contatore
L'entropia di Shannon dei corpora in linguaggio naturale e le metriche di ipotesi di ricerca sono esterne all'implementazione del generatore. Lo stesso vale per i modelli di password addestrati empiricamente. Confonderli con un calcolo a scelta uniforme farebbe sì che la parola familiare “entropia” copra diverse definizioni incompatibili.
La pagina delle limitazioni del prodotto prende già la strada più sicura: il numero descrive le impostazioni in base ai presupposti dichiarati e le stime dei tempi sono confronti piuttosto che previsioni. Mantieni le qualificazioni allegate ogni volta che viene citato il numero.
Il punto è che una passphrase generata ha un'entropia nota, motivo per cui il generatore di password può essere onesto riguardo alla sua forza
Una passphrase generata ha un modello calcolabile perché ToolAcre controlla ed espone le scelte casuali. Quella trasparenza è la proprietà utile. La figura in bit risultante non è una vernice intrinseca sui personaggi e non garantisce la sicurezza di ogni aggressore o sistema.
Utilizza la stima per verificare le modifiche alla configurazione, quindi mantieni il valore effettivo privato e unico. Non utilizzare ToolAcre come gestore e non incollare credenziali esistenti per la valutazione. Un modello chiaro è migliore di un metro sicuro solo quando il suo confine rimane visibile.