Văn bản & công cụ hàng ngày · Trình tạo mật khẩu
Tại sao 'đúng ghim pin ngựa' chỉ hoạt động nếu các từ là ngẫu nhiên
· Tại sao nó quan trọng
mật khẩu cụm mật khẩu sự ngẫu nhiên
Truyện tranh nổi tiếng đã khiến các cụm mật khẩu trở nên phổ biến và cũng tạo ra một thói quen xấu - chọn từ của riêng bạn; bài đăng này giải thích tại sao sức mạnh phụ thuộc hoàn toàn vào lựa chọn ngẫu nhiên từ một danh sách đã biết.
Truyện tranh ai cũng nhớ và bài học bị bỏ lỡ một nửa - bốn từ thông dụng chỉ có sức mạnh khi xúc xắc nhặt được
Một chuỗi bốn từ đáng nhớ thể hiện một định dạng chứ không phải quá trình chọn nó. Tính toán của ToolAcre tùy thuộc vào từng vị trí nhận được chỉ mục thống nhất độc lập từ nhóm từ đủ điều kiện. Nếu một người chọn bốn từ quen thuộc vì chúng nghe có vẻ thú vị hoặc tạo thành một cảnh, thì số từ nhìn thấy được vẫn là bốn trong khi cách phân bổ cơ bản thay đổi.
Kho lưu trữ không sử dụng truyện tranh hoặc cụm từ nổi tiếng làm nguồn cho ngưỡng bảo mật. Nó thực hiện và kiểm tra một thói quen lựa chọn ngẫu nhiên. Bài học thực tế là hãy duy trì thói quen đó thay vì sao chép một ví dụ công khai hoặc bắt chước ngữ pháp của nó. Bất kỳ cụm từ nào được in trong bài viết đều đã được biết đến và không được trở thành thông tin xác thực.
Bốn từ quen thuộc không phải là bằng chứng của quá trình lựa chọn ngẫu nhiên
Sự lựa chọn của con người có thể thiên về những đồ vật yêu thích, những cái tên, những câu trích dẫn, trật tự ngữ pháp và những từ thuộc về nhau. ToolAcre không cố gắng ước tính các tùy chọn đó nên không tính điểm cụm từ hiện có. Việc gọi một chuỗi tự chọn tương đương với bốn lần rút thống nhất sẽ áp dụng công thức tạo cho một quy trình chưa từng xảy ra.
Lựa chọn ngẫu nhiên vẫn có thể tạo ra hai từ có liên quan hoặc thậm chí lặp lại vì các lần rút sử dụng tính năng thay thế. Việc chỉnh sửa kết quả đầu ra đó cho đến khi nó cảm thấy ngẫu nhiên hơn sẽ giới thiệu sở thích của con người sau thực tế. Thủ tục trung thực là chấp nhận kết quả mới hoặc tạo ra một ứng cử viên hoàn toàn mới mà không công bố kết quả nào cả.
Nguyên tắc Kerckhoffs áp dụng cho danh sách từ — kẻ tấn công có thể biết toàn bộ danh sách EFF và cụm mật khẩu vẫn mạnh
Danh sách EFF là nội dung tĩnh công khai và điều đó không làm giảm số lượng chỉ mục có thể có. Đối với danh sách dài, bản dựng sẽ xác minh các mục nhập 7,776. Kẻ tấn công có thể biết từng từ, thứ tự của tệp và tất cả cài đặt; phần chưa biết là chỉ số độc lập nào Web Crypto đã chọn cho đầu ra riêng tư cụ thể này.
Thiết kế này tránh được “bảo mật thông qua danh sách từ bí mật”. Nó cũng có nghĩa là việc lọc phải được tính đến. Nếu người dùng thu hẹp độ dài từ được phép, nhóm đủ điều kiện sẽ trở nên nhỏ hơn và hàm entropy sẽ sử dụng nhóm thực đó thay vì tiếp tục trích dẫn 7,776.
Một danh sách từ công khai vẫn có thể sử dụng được vì chỉ mục ngẫu nhiên, không phải bí mật danh sách, là đầu vào
Một cụm từ như “lát bánh táo đỏ” mang theo sự liên tưởng và cấu trúc ngữ pháp. Kho lưu trữ không chứa mô hình về tần suất mọi người tạo mẫu đó, vì vậy nó không chỉ định không gian tìm kiếm số. Việc coi bốn mã thông báo là độc lập chỉ vì chúng được phân tách bằng dấu cách sẽ bỏ qua bằng chứng lựa chọn.
Thay vào đó, ToolAcre chọn từng từ thông qua `secureRandomChoice` từ cùng một danh sách đủ điều kiện. Lời trước không thu hẹp lần rút tiếp theo. Tính độc lập đó là thuộc tính của đường dẫn mã chứ không phải thuộc tính trực quan của cụm từ đã hoàn thành.
Các từ liên quan tiết lộ một quá trình của con người mà trình tạo này không mô hình hóa được
Đối với bốn từ trong danh sách dài được tạo mà không lọc, số lượng đầu ra theo thứ tự là 7,776⁴ vì mỗi vị trí trong số bốn vị trí có thể nhận bất kỳ chỉ mục danh sách nào. Phép tính có thể rút ra nội tuyến từ kích thước tệp đã được xác minh. Cụm từ bốn từ do người dùng tạo không nhận được số trùng khớp ở đây vì quy trình đề xuất của nó không được chỉ định.
Sự so sánh này cố tình tránh các ước tính về thời gian bẻ khóa và không in cụm từ được tạo. Nó chỉ xác lập rằng một quy trình có thể đếm được từ các lựa chọn thống nhất đã biết trong khi quy trình kia thì không. Sự phù hợp của một tài khoản vẫn phụ thuộc vào đích đến, thiết bị và mô hình mối đe dọa rộng hơn.
Ví dụ đã hoạt động: đối chiếu một trình tạo thống nhất đã biết với cụm từ con người không được định lượng
Một câu chuyện ghi nhớ có thể được xây dựng sau khi lựa chọn nếu nó không thay đổi các từ, thứ tự, quy tắc viết hoa và dấu phân cách. Câu chuyện là một công cụ hỗ trợ trí nhớ chứ không phải là lý do để thay thế bằng một từ hay ho hơn. Việc xuất bản câu chuyện hoặc cụm từ sẽ tiết lộ thông tin xác thực, vì vậy hãy giữ cả hai thông tin đó trong quy trình xử lý đã được phê duyệt.
Bản thân ToolAcre không dạy hay kiểm tra các phương pháp ghi nhớ. Nó cung cấp các từ tiếng Anh và điều khiển định dạng. Liệu một kết quả cụ thể có thể được ghi nhớ hay không là vấn đề cá nhân và việc lưu trữ thuộc về người quản lý chứ không phải trang này.
Điều này không bao gồm những gì - các tuyên bố về entropy cụ thể trong truyện tranh và cách chúng được tính toán
Bài viết này không sao chép các xác nhận về entropy cụ thể từ truyện tranh vì truyện tranh không phải là nguồn lưu trữ được cung cấp để xác minh. Nó cũng không khẳng định rằng bao nhiêu từ cũng có thể đánh bại mọi cuộc tấn công. Lừa đảo, phần mềm độc hại, sử dụng lại và đích đến bị xâm phạm vẫn nằm ngoài danh sách số học.
Sự thiếu sót này duy trì một ranh giới hữu ích: toán học lựa chọn được tạo ra có thể được kiểm tra trực tiếp dựa trên mã và tệp, trong khi lịch sử văn hóa và các tuyên bố của bên thứ ba cần có nguồn chính của riêng chúng. Cả hai không nên trộn lẫn vì định dạng trông quen thuộc.
Bài học rút ra - giữ nguyên ý tưởng, bỏ thói quen; hãy để Trình tạo mật khẩu chọn các từ từ danh sách EFF
Giữ ý tưởng về thông tin xác thực nhiều từ nhưng hãy để một quy trình ngẫu nhiên được kiểm tra chọn từ. ToolAcre sử dụng nội dung EFF đã được xác minh, Web Crypto và các chỉ số khách quan. Một vốn từ vựng công cộng được mong đợi; một sự kết hợp mới mẻ riêng tư là phần vẫn chưa được biết đến.
Không chọn từ theo chủ đề, sửa chữa kết quả đầu ra khó xử hoặc sử dụng lại kết quả. Thế hệ cung cấp một ứng cử viên và quên nó đi; chính sách quản lý, lưu trữ và đích đến xảy ra ở nơi khác. Việc tính toán sức mạnh diễn ra theo quy trình ngẫu nhiên chứ không phải sự duyên dáng của câu cuối cùng.