Teks & alat harian · Penjana Kata Laluan
Serangan kamus: daripada 1988 cecacing Morris kepada senarai kata laluan yang bocor
· Latar belakang
kata laluan kamus-serangan frasa laluan
Menjelaskan bagaimana serangan kamus berkembang — daripada cacing yang membawa senarai perkataan kecil kepada retak moden dengan korpora kata laluan bocor dan peraturan yang merosakkan — dan sebab frasa laluan rawak daripada senarai awam bukanlah perkataan kamus dalam erti kata yang penting.
Cacing dengan senarai perkataan — cara 1988 Morris worm meneka kata laluan dengan kamus terbina dalam dan fail perkataan sistem
Buku kerja dibuka dengan butiran tentang cacing Morris dan fail perkataan terbina dalam, tetapi repositori Penjana Kata Laluan bukanlah sumber sejarah untuk peristiwa itu. Tiada kod utama, kertas atau arkib dipetik di sini. Mengulangi cerita itu akan melanggar keperluan untuk tidak memetik sejarah keselamatan dari ingatan.
Soalan berkaitan produk boleh dijawab tanpa naratif itu: adakah menggunakan perkataan daripada senarai awam menjadikan frasa yang dijana secara seragam bersamaan dengan satu perkataan kamus? Tidak. Enjin memilih urutan indeks bebas yang tersusun, dan bilangan kombinasi mengikut daripada kumpulan yang disahkan dan kiraan cabutan.
Sejarah Morris-worm berada di luar bukti repositori
Dari segi konsep, serangan kamus mencuba calon yang dipercayai lebih berkemungkinan daripada sapuan seragam. Perkataan, nama dan frasa ciptaan manusia boleh memasukkan pesanan itu lebih awal. Artikel ini tidak memberikan daya pemprosesan, kadar kejayaan atau saiz kamus kerana repositori tidak membekalkan set data penyerang atau konfigurasi alat.
ToolAcre tidak memodelkan pesanan itu. Ia mengelakkan masalah pilihan manusia dengan menggunakan kumpulan yang diketahui dengan Web Crypto. Hasilnya masih perlu kekal peribadi dan unik; pemilihan rawak tidak melindungi frasa yang disalin daripada dokumentasi atau digunakan semula selepas pendedahan.
Serangan kamus sahaja dibincangkan sebagai sempadan model ancaman, tanpa statistik
Korpora kata laluan yang bocor adalah luaran, menukar set data. Saiz, kandungan dan pengaruhnya pada alat retak tidak dapat ditentukan daripada kod penjana tempatan. Oleh itu bahagian ini mengetepikan statistik pelanggaran dan menamakan korpora dan bukannya membekukan tuntutan yang tidak disokong ke dalam kandungan malar hijau.
Peninggalan tidak melemahkan syor terhadap penggunaan semula. Had ToolAcre secara eksplisit menamakan penggunaan semula sebagai mod kegagalan yang berasingan. Bukti kelayakan baharu bagi setiap akaun mengehadkan akibat daripada satu perkhidmatan mendedahkan nilai, tidak kira cara penyerang mengutamakan calon.
Korpora kata laluan bocor memerlukan bukti luaran dan ditinggalkan
Menggunakan huruf besar huruf pertama, menambahkan setahun atau menggantikan simbol mungkin mengikut peraturan manusia yang boleh diramalkan, tetapi repositori ini tidak mengandungi tuntutan terukur tentang kekerapan penyerang menggunakan setiap satu. Oleh itu, mod kes tetap ToolAcre dikira sebagai pemformatan deterministik, bukan entropi tambahan.
Apabila komposisi diperlukan, penjana aksara membuat pilihan kelas rawak dan merombak kedudukan. Itu adalah proses yang didokumenkan. Mengedit tangan frasa yang dijana dengan akhiran peribadi menghasilkan proses yang berbeza dan membatalkan anggaran sebelumnya.
Contoh peraturan Mangling tidak dianggap sebagai tingkah laku serangan yang diukur di sini
Senarai panjang awam masih menawarkan 7,776 kemungkinan indeks untuk setiap cabutan tidak ditapis. Oleh itu, empat pilihan pesanan bebas menghasilkan gabungan 7,776⁴. Penyerang mungkin mengetahui senarai dan tetapan; jujukan yang dipilih tetap tidak diketahui melainkan ia telah didedahkan atau digunakan semula.
Penapisan mengubah pangkalan, dan mod akrostik mengekang pemilihan dengan huruf awal, jadi pengiraan mesti mengikut tetapan sebenar. Perbendaharaan kata awam bukanlah kebenaran untuk menyembunyikan kekangan ini. Enjin berasal daripada kumpulan yang layak dan melaporkan andaiannya.
Mengapa kombinasi seragam kekal boleh dikira walaupun senarai sumber adalah awam
Untuk frasa senarai panjang empat perkataan yang dijana, dapatkan 7,776⁴ terus daripada saiz fail yang diuji dan empat kedudukan bebas. Jangan cetak contoh frasa sebagai calon. Untuk ungkapan empat perkataan yang dipilih orang, biarkan kiraan tidak diketahui kerana tiada model kebarangkalian untuk pilihan orang itu dibekalkan.
Perbandingan ini mengelakkan anggaran masa retak dan tidak mengatakan empat perkataan mencukupi untuk setiap penggunaan. Ia menggambarkan mengapa bukti proses penting. Kiraan yang diketahui boleh memaklumkan tetapan, manakala kesesuaian masih bergantung pada destinasi dan model ancaman.
Contoh yang berjaya: dapatkan kiraan gabungan yang dijana dan biarkan pilihan manusia tidak diukur
Jadual pelangi, prestasi GPU dan pengoptimuman khusus cincang memerlukan maklumat tentang pengesah yang disimpan dan platform serangan. Mereka berada di luar penjana ini dan ditinggalkan. ToolAcre tidak mempunyai pangkalan data kata laluan sebelah pelayan yang konfigurasinya boleh membumikan topik tersebut.
Menambah tuntutan perkakasan juga akan menggoda artikel menjadi angka yang tidak stabil. Fakta tempatan yang tahan lama ialah kiraan pilihan seragam dan sempadan produk. Kejuruteraan serangan luaran tergolong dalam analisis sumber berasingan.
Bawa pulang — perkataan dalam output Penjana Kata Laluan terdapat dalam kamus awam, dan itu tidak mengapa; kombinasi rawak adalah apa yang penyerang tidak boleh menghitung dengan murah
Perkataan EFF boleh didedahkan kepada umum kerana kerahsiaan datang daripada gabungan tertib rawak yang baru, bukan daripada menyembunyikan perbendaharaan kata. ToolAcre melukis indeks tanpa bias modulo dan tidak pernah menyimpan sejarah. Pengguna mesti memastikan urutan yang terhasil secara peribadi dan unik.
Jangan jadikan aritmetik perkataan awam sebagai janji terhadap setiap penyerang. Penjana tidak menghalang pancingan data, perisian hasad, penggunaan semula atau storan jauh yang lemah. Ia memberikan proses pemilihan yang boleh dikira; pengendalian yang bertanggungjawab dan kawalan sistem mesti membawa hasil dari sana.