Алгоритм оценки стойкости пароля от Microsoft (Часть 2)

[@evilbloodydemon]

Очень информативно.

[@RomanL]

Жесть.
А не проще энтропию посчитать? :)

[@RomanL]

А, вот то что делалось в первой части и есть почти энтропическая характеристика пароля.

[@Juggler]

В конце статьи я приложил ссылку на статью «Элкомсофта». Там описано, откуда берется эта формула.

[@sic]

близкое с вероятностью 0.6 — как-то подозрительно звучит. если имеется в виду редакционное расстояние, то еще можно понять.

а вообще словарь какой-то небольшой, достаточно просто проверить не содержатся ли самые частые триады символов (хотя в таком случае пользователю будет сложнее придумать пароль).

[@Juggler]

Давайте считать это «фигурой речи». Проверочная функция называется IsCloseVariationOfAWordInDictionary — в вольном переводе «близость вариации слова к словарному». Так что, Вы скорее всего правы.

[@zed91]

Блин, вместо выдумывания велосипедов есть тесты специализированные, FIPS-140, которые разрабатывали профессионалы.

[@Juggler]

К сожаления, я в этом вопросе не специалист. Судя по Wikipedia, там есть тестирование криптографических алгоритмов и ключей. Это правильно, что «взрослые» системы авторизации паролями пользоваться и не должны — для этого придумали сертификаты и аппаратные ключи.

А что там есть по поводу стойкости обычных паролей?

[@zed91]

Нагенерили пароль, прогнали через FIPS, поняли на сколько он стойкий.

[@Juggler]

А где-то онлайн проверка по FIPS есть? Я погуглил и не нашел…

[@zed91]

Нигде, разве что опенсорсовые библиотечки.
Если реализовывать самому — работы на день, не больше

[@Juggler]

Вот нагуглил FIPS 112 — использование паролей. Так там еще меньше требований, чем в этом алгоритме.

[@forgotten]

Чувак с паролем «incomprehensible» явно подсел на измену.

[@serejik]

ничего не понял, но карму поднял :)

[@Juggler]

Ну, я надеюсь от этой статьи кто-то получит пользу:

• Задумается о стойкости своих паролей.
• Узнает, как можно проверить стойкость онлайн на сайте Microsoft.
• Посмотрит вариант словаря для брутфорс атак на пароли.
• Увидит исходники на js для организации словаря, поиска по словарю и поиска близких слов по словарю.
• Вдруг еще какие умные мысли придут — и напишет статью на Хабр...

[@Bkmz]

Я один совершенно случайно увидел слово condom? =)

[@LavrinovichVladimir]

Проверка от microsoft на стойкость.
Check your password—is it strong?
Смотрим исходный код и находим:
script src="assets/scripts/passwdcheck.js" language="javascript" type="text/javascript"
А вот, если глянуть внутрь кода этого скрипта, то видим вышеупомянутый в статье пример
«Пожалуйста пользуйтесь!» — говорит microsoft

[@Juggler]

Все правильно. Я давал эту ссылку в Части 1.

[@LavrinovichVladimir]

Оу, да. Хотя тот, что приведен в этой теме, и считается старым, он все же в действительности работает адекватнее. Советую его ибо сам же им и пользуюсь, т.к. он не пропускает пароли в которых, допустим, один символ «A» повторяется 40 раз и в результате — best. Можно спорить о том, что пароль в 40 символов тяжело перебрать брутом, но представьте как юзер будет его вводить. ))
Спасибо автору. Возьму немножко описания к диплому с вашего позволения.
Прикрутил к полю ввода пароля валидатор, который проверяет сложность пользуясь этим алгоритмом, пусть люди сочиняют. ))

[@LavrinovichVladimir]

Решил опробовать описанный в топике алгоритм и навоял следующее.
Для того, чтобы его потестить и ощутить/увидеть разницу пришлось его своровать позаимствовать без спроса. Валидаторы мои — это для чистоты, а то все знакомые сразу русские пароли туда тулят почему-то.
Разница, как видим сравнивая с этим вариантом, имеется.

[@Juggler]

Неплохой сервис проверки стойкости и генерации паролей.

[@LavrinovichVladimir]

Да, хорош. Туда бы половину страны повести и показать как надо создавать стойкие пароли, а то рыбки и дни рождения с номерами телефонов ужас как огорчают…