“经常被引用的XKCD方案[…]不再是好的建议”吗？

#1 楼

圣战
我想您会发现，正确的密码生成方式可能会引发一场圣战，每个小组都认为对方犯了一个非常简单的数学错误或遗漏了这一点。如果您在一个房间里有10位计算机安全专家，并询问他们如何提供好的密码，您将得到11个不同的答案。
误解
关于密码没有一致建议的众多原因之一是这全都归结为威胁建模的问题。您到底想防御什么？
例如：您是否要防御专门针对您并且知道您的密码生成系统的攻击者？或者，您只是某个泄漏数据库中的数百万用户之一？您是在防御基于GPU的密码破解还是仅是弱小的Web服务器？您是否在感染了恶意软件的主机上[1]？
我认为您应该假设攻击者知道您生成密码的确切方法并且仅将您作为目标。[2]在两个示例中，xkcd漫画都假定生成的所有细节都是已知的。
数学
xkcd漫画中的数学是正确的，并且不会改变。
对于密码我需要输入并记住我使用的是python脚本，该脚本生成真正随机的xkcd样式密码。我有2 ^ 11（2048）常见，容易拼写的英语单词词典。我可以将完整的源代码和单词列表的副本提供给攻击者，但仍然会有2 ^ 44个可能的密码。
漫画说：

1000位猜测者/ Sec
对弱远程Web服务的可恶攻击。是的，破解被盗的哈希更快，但这不是普通用户应该担心的。

在易于记忆和难以破解之间取得了很好的平衡。

如果我们尝试更多的功率怎么办？
当然2 ^ 44可以，但是GPU破解速度很快，而且只会越来越快。 Hashcat可以在几天（而不是几年）内破解该大小的弱哈希[3]。另外，我还有数百个密码需要记住。即使是xkcd样式，也要经过几步才能变得很困难。
这是密码管理器进入的地方，我喜欢KeePass，但还有很多其他基本相同的东西。然后，您可以生成一个更长的xkcd密码，您可以记住该密码（例如10个单词）。然后，为每个帐户创建一个唯一的128位真正随机的密码（十六进制或以64为基数的密码）。 128位将足够强大。如果您想变得偏执狂，那就大了，生成256位十六进制密码就没有多余的工作。

[1]如果您位于受到威胁的主机上，这就是存储内存的地方你输了。攻击者可以通过键盘记录/读取内存，键入或使用KeePass之类的程序复制并粘贴它都没关系。攻击者刚刚洪流了一本名为“ Top Passw0rdz 4realz 111！”的词典。
[3]当然，我们都应该使用PBKDF2，等等。。。但是SHA1上仍有很多站点。 （他们是好人）

#2 楼

Schneier写道：



这就是为什么经常引用的用于生成密码的XKCD方案（将诸如“ correcthorsebatterystaple”之类的单个单词串在一起）不再是一个好建议的原因。密码破解者可以使用此技巧。


，但是在他的文章中进一步了解他真正的目的的关键是： >还有一种方案可行。早在2008年，我就描述了“ Schneier方案”


就这样。奥莱·布鲁斯（Ole'Bruce）断言他的计划是“唯一”，最好，获胜者和最终计划。因此，他需要对“竞争者”进行贬低的说法，而不管这些断言是否在科学上都是合理的。

在这种情况下，始终假定密码生成方法是已知的，攻击者。这就是熵计算的重点。见分析。攻击者“掌握了这个技巧”根本没有任何改变（当攻击者知道密码生成方法时，熵计算准确地描述了密码强度；当攻击者不称职并且不知道密码生成方法时，密码强度为只有更高的数量，几乎无法量化）。

关于“内存中的密码”的讽刺之处在于更加不连贯。无论您键入密码还是从密码保险箱或类似密码中复制粘贴密码，密码都一定会进入RAM。

我猜想布鲁斯很醉。

更新：特别要求Schneier在2016年8月2日发生的Reddit AMA中对他的密码短语提出谴责。 Schneier确实说过他的方案“比其他方法为每个记忆字符提供更多的熵”，与构成单词的字符相比，这是正确的。但是，当系统依赖于记忆单词而不是字符时，这也无关紧要，并且允许您组合足够的单词以为整个密码短语生成足够的“熵”。

#3 楼

[披露：我为1Password的制造商AgileBits工作]

我之所以在2011年向“迈向更好的主密码”倡导类似XKCD的方案（在此之前被称为）的原因之一是恰恰是因为其优势并不取决于攻击者知道您使用了哪种方案。如果我可以引述自己


Diceware的妙处在于，即使假设攻击者知道所使用的系统，我们也知道它的安全性
。安全性
来自掷骰子的真正随机性。鉴于观察到的密码破解者的速度[反对
1Password主密码]


XKCD漫画无法有效传达的内容是，单词的选择必须是（随机）随机的。如果您要求人类随机选择单词，则会对具体名词产生严重的偏见。这样的偏见可以并且将会被利用。

您想要多少强度

在理想的世界中，我们希望密码的强度与我们的钥匙一样强用它保护。说128位。但是，尽管有了这些技术，人类仍无法实现这一目标。因此，让我们现实地看一下攻击以及我们微不足道的小脑子能做什么。

使用原始的Diceware单词列表7776个条目，您使用的每个单词大约可获得12.9位。因此，如果您至少需要64位密码，那么五个字就可以了。粗略估计，对于恒定数量的美元，测试密码的速度比测试AES密钥的速度慢2 ^ 13倍。

请注意，测试密码比测试密钥要慢得多。如果使用正确的密码哈希方案，则可以将大多数攻击者的每秒猜测速度降低到100000以下。因此，尽管我们可能永远不想使用50位密钥，但使用50位密码仍然有意义。 ，那么我们可以使用更长的单词列表。 Windows的1Password中的“强密码生成器”使用17679个英语单词的列表，包括4至8个字母（包括禁忌单词和涉及撇号或连字符的单词）。每个字大约有14位。因此，其中四个给您56位，五个给您70位。

再次，您确实需要注意破解速度。 1997年的Deep Crack每秒可以运行920亿次DES测试。假设高端专用PC每秒可以完成100万次猜测，而散列密码可以每秒完成100万次猜测，那么今天的密码比1997年的DES密钥难破解大约16位。

因此，让我们看一下双核3.8GHz处理器对Stack Exchange的估计：每秒6.7亿个密钥。如果我们假设硬件成本为5000美元，那么每秒很容易超过100亿个密钥。因此，在类似的硬件成本下，密钥破解仍比密码破解快2 ^ 13倍。

修改后的密码强度目标

根据我的估计，测试一个经过良好加密的密码比测试一个AES密钥要贵2 ^ 13倍，我们应该考虑将经过合理哈希处理的密码比其在破解方面的实际熵强13位。 。如果我们想要达到90位的“有效强度”，那么应该达到77位的密码强度。这可以通过使用原始列表中的六个单词的Diceware密码（77.5位）和84.6位（从17679个单词的列表中抽取六个单词）来实现。

我不希望大多数人使用密码那么长。我希望人们会使用4或5个字长的东西。但是如果您真的担心NSA会输入密码，那么假设您使用了不错的密码哈希方案，那么六个单词就足够了。

仅是非常粗略的估计值

我没有花很多时间研究成本和基准。我的估计中有很多事情需要讨论。我试图保持保守（对我提倡的方案感到悲观）。我也一直对“哈希密码”含糊不清。同样，对于1Password中的密码哈希，我非常保守。 （对于我们的新数据格式，攻击者的每秒猜测猜测保持在20,000以下，对于我们较旧的数据格式，多GPU机器的每秒猜测达到300,000猜测。在我的估计中，我选择了每秒100万个猜测第二个代表“合理加密的密码”。）

更多历史记录

“类似XKCD”密码的总体思想至少可以追溯到从1980年代初期开始的S / Key一次性密码。这些使用了2048个一到四个字母词的列表。六个字的S / Key密码可为您提供66位密码。我不知道使用从列表中随机选择单词作为密码短语的想法是否早于S / Key。

1995年，Arnold Reinhold提出了Diceware。我不知道他当时是否知道S / Key。在为PGP开发密码短语的背景下提出了Diceware。也是在大多数计算机上都使用适合密码的随机数生成器之前。因此，实际上涉及掷骰子。 （尽管我信任使用的计算机上的CSPRNG，但我仍然喜欢“滚动新密码”。）

2011年6月，我对Diceware的“转向更好的主密码”重新产生了兴趣。修改。这导致了我15分钟的成名。 XKCD漫画问世后，我制作了一个极客版，其中涉及了一些数学知识。

2011年7月，Randall Monroe选择了类似Diceware的方案，并出版了他现在著名的漫画。因为我不是这个想法的发明者，所以我完全不介意被漫画赶上舞台。确实，正如我在后续文章


中所说的那样，我用非技术性的术语说了将近2000个单词，兰德尔（Randall）
能够将梦露总结为漫画这只是显示了数学的力量...


但是关于漫画的解释方式有一件事确实令我担心。对我和已经了解该方案的人们来说，很明显，必须通过可靠统一的随机过程来选择单词。从脑海中“随意”选择单词并不是一个可靠的统一过程。

#4 楼

XKCD密码方案与以往一样好。安全性并不是源于它的未知性，而是源于它是从大型搜索空间生成令人难忘的密码的好方法。但是，如果您选择使用而不是随机生成的单词，则会失去这种优势-人类不擅长随机。注意：如果窃取密码的恶意软件一旦出现在您的计算机上，它将清除RAM和硬盘驱动器中的所有文本内容，从而对您的帐户进行直接攻击。

#5 楼

就像其他人所说的那样，当用户选择自己不使用工具的多个单词时，布鲁斯·施耐尔（Bruce Schneier）描述的攻击是有效的。 Schneier通常会写信给普通大众，这不太可能理解自我选择的“随机”单词和程序选择的随机单词之间的区别。

即使您使用脚本，我也会补充一点或其他工具从词典中随机选择单词，则必须使用它给您的第一个序列。如果您决定“我不喜欢那个”，然后再次运行直到您喜欢它，它不再是随机密码，而是人为选择的。

即使您使用了脚本，即使您没有通过选择自己喜欢的多个序列来破坏随机性，攻击者仍然有可能利用您的PRNG（伪随机数生成器）。如果攻击者可以了解您创建密码的时间，使用的PRNG以及有关PRNG的其他信息（例如大约在同一时间使用PRNG产生的网络流量），则可以减少随机密码短语的有效熵。

也许有些深奥，但是如果您的PRNG可被利用，则2 ^ 44的数字将无法完全实现。 （如果您假设“没有人会尝试利用我的PRNG”，那么为什么还要关心使用真正安全的密码短语？）

#6 楼

这取决于。您需要了解的一件事是，这不是默默无闻的安全性：漫画中使用的熵值假定攻击者已经知道您正在使用此方法。如果攻击者不知道您是如何生成密码的，则熵会大量上升。

XKCD方法的窍门是您实际上需要使用随机数生成器和单词表：切勿自己挑选单词，甚至不要“随意”（用引号表示，因为人类实际上在随机挑选事物方面确实很糟糕，这就是为什么您不应该这样做）。 Diceware有工具可以帮助您做到这一点，甚至可以通过使用普通骰子将随机元素排除在计算机的控制范围之外。

针对范围广泛的攻击-这类攻击者可以得到列表来自网站的密码，并且对列表中的密码一无所知-这比以往任何时候都强大。就像您说的那样，它的优势来自于指数的力量（以及一个不错的单词列表）。他的攻击假设您已成为对您有很多了解的攻击者的特定攻击目标。乍一看，这似乎并不特别令人担忧，因为刻板印象坚定的攻击者是幕后的情报人员，我们大多数人不必为此担心很多：它们太多了，每个人只能负担得起这么多人。但这要归功于复杂恶意软件的出现，这实际上比最初看起来要麻烦得多。即使攻击者没有恶意软件安装，它也可以照顾您，因此您仍然面对极端确定的攻击者。实际上，比人类更具决心，尽管远没有创造力。

恶意软件会收集有关您的信息，从而使您觉得很重要的单词在单词列表中具有很高的优先级。这样做是因为大多数人会自己选择“随机”字词，但这样做实际上会使他们偏向于对他们最重要的字词：它可能仍然“感觉”随机，但有些字词更有可能比别人来。因此，将这些单词赋予较高的优先级通常会导致命中率相对较高，这就是Schneier所说的“技巧”。

但是，您仍然可以使用真正的随机性来阻止Schneier的进攻。要注意的是，这需要纪律：关于在密码短语中使用哪些单词的所有决定（除了选择一个好的单词列表之外）都必须完全由您掌握。这是Diceware之类的东西可以为您提供帮助的地方。

#7 楼

如果单词选择是随机的，则强度数学非常简单：假设攻击者知道词典中的单词数，则（词典中的单词数）^（句子中的单词数）。因此，一个5词的短语使用了一个已知的（被攻击者！）7776词的Diceware词典：具有7776 ^ 5 = 2.8E19或64位的熵。

其中一项没有提到方案：在整个词组中的随机位置仅添加1个（随机）字符，则强度增加约10位，请参阅Diceware，可选内容。

以上数学方法也不解释单词之间的分隔符。那可以再增加5位。

#8 楼

我也想添加一个肯定的答案，但由于其他原因。 [一般]由于长度限制，这不是一个好建议：


Skype，ING，eBay等网站，在我国Binckbank和KPN都限制密码为20个字符。 （该银行限制为15，但是使用了2个因素的授权）
对于简短的3000-8000个单词的字典，平均长度为4.5个字符/单词，只能使用3-4个单词的短语。
使用大型词典时，平均可能为6-7：仅3个字
如果网站坚持使用密码中的符号和数字，则该短语只能使用18个字符。

这些长度只能防止在线攻击。对于离线攻击，取决于3-4个字的词组能否提供足够的保护，取决于应用程序站点使用的密钥派生和哈希函数，迭代次数和破解硬件。

#9 楼

不，我不这样认为。

xkcd漫画中的实际建议是使用助记符，只要您能记住它们，它们便容易记住并生成密码。这些都是任何地方的基本密码建议，并且永远都是正确的（即使引用的Schneier方法使用了这两个基本事实）。确实，漫画使用了常见的英语单词，但是您不必一定要实现，漫画也不暗示您应该这样做。

当然，最安全的密码是完全随机的字符串，例如MD5字符串的外观，您可能可以使用密码管理器来存储所有这些密码，但是接下来将使用什么密码？那个经理？ ¯\（ツ）/¯

#10 楼

拥有正确的环境很重要。 xkcd漫画将Tr0ub4dor&3（假设为28位熵）（尽管我将其计算为34.6）与correcthorsebatterystaple（假定为44位熵）进行了比较（一个4字的diceware代码为51.7位……但其中一个不是diceware。简单的10万字拼写字典，我估计它是66.4位。）

首先，让我们更容易理解它。有94个可打印字符。一个字符的密码具有log₂(94) = 6.55个熵位。两个字符具有log₂(94²) = 13.10个熵位。您可以将密码方案的最终熵除以6.55，以确定以字符为单位的纯随机密码的等效复杂度。

因此：


28位的熵≈4.3个字符的密码（非常糟糕！）
44位的熵≈6.7个字符的密码（也很糟糕）
66.4位的熵≈10.1个字符的密码（2016年还可以） >
信任xkcd的数字，您会明白为什么Schneier担心。这似乎有点夸大其词，因为大多数攻击者在十个左右的字符后仍会放弃[需要引证]-一个大型集群要花10年才能破解MD5散列密码，尽管这显然需要一个好攻击者才能知道您的方案中，绝对字符长度不是问题。

方案的总复杂性是最重要的。您必须假设最坏的情况（攻击者知道您的确切方案）。最好另外确保您的密码是11个以上的字符（如果允许），但这是次要的优先级（并且免费提供密码）。



用四个单词和密码创建密码短语

这是我的密码创建建议（带有熵估计值）：


做出4分以上的毫无意义的“句子”每个4个字符以上的单词（100,000⁴）
这些单词中的任何一个都无法以任何方式与您或彼此连接

用例，空格和至少两个符号或标点符号（32²）
至少一个单词应未通过拼写检查（例如leetspeak，外来单词，每个64个）
包括至少一个其他“错误” （拼写/语法/语法，熵未知）
在两个词之间，添加传统的“随机” 7+字符密码（92⁷）

这应该至少是log₂(100000⁴ × 32 × 3 × 64 × 92⁵) = 112位的熵（非常强，≈17个字符）。我跳过了大写字母（我假设只有第一个字符是大写）和一个符号（我假设它以.，!或?结尾，所以第二个符号的复杂度为3），并且我还假定“ random”不是相当随机，并将代码计算为等效的五个字符（严格遵守上述公式将使您在大约20个字符的情况下获得128位以上的熵）。



值得重复一遍：

人类在产生随机性方面非常糟糕。

几乎没有人为产生的“随机”字符密码，甚至无法达到真正的随机性。代码中将包含与人的键盘，喜欢的数字和/或假设某个晦涩的单词是不可猜想的假设有关的模式。

我设计此方案的目的是要防止人们固有的缺乏随机性;假设词汇量有限（例如，基本英语中的2600个单词），相关单词的使用（仅对三个单词进行计数就会被惩罚），并且密码仅限于六个字母数字的熵，则log₂(2600³ × 62⁶)本身仍然很强大，只有70位（≈10.6）字符）。

不要让这句话变淡！本节的目的是证明此方案对人类选择的有限熵具有一定的抵抗力，而不是鼓励较差的选择。

唯一真正的麻烦来自将引号或歌词作为四个词的人。如果可以猜出引号或歌词（例如通过查看您的Facebook喜欢），或者在30秒钟（MD5）到17天（PBKDF2）的破解时间中具有大约6个随机字符的熵，这些通行短语将被轻易击败。 。



您可以使用我的熵表来计算密码短语的熵。除非您是开发人员，否则密码会短暂地存在于内存中。