Оценка стойкости пароля от Google

[@simedov]

У пароля «xy» предмаксимальная стойкость. Не совсем правдоподобно.

[@Juggler]

Не проверяютя не-латинские символы. И длина пароля, похоже, тоже.

[@Talismanium]

да там походу даже о не-QWERTY раскладках не знают…
qawfpg — аналог qwert на Колемаке оценивают в 4 балла :) www.google.com/accounts/RatePassword?Passwd=qawfpg
aoeui — Двораковскую тоже в 4 балла :) www.google.com/accounts/RatePassword?Passwd=aoeui

[@Falcon_SX]

Автор же сказал что проверяемое слово Passwd www.google.com/accounts/RatePassword?qawfpg=PsWD

[@Falcon_SX]

Сорри, протупил. Это сервис виноват :) — он что так, что так возвращает неадекватный результат

[@kirilloid]

Ну они действительно не очень популярные.
Но 4 балла даже за 5 случайных букв — это фигня какая-то.

[@ImKremen]

За пароль «ofn834uhf84___yg38fg834hf83_4f8h834f834uf234g____5234g534g53» тоже 4 балла.

[@ImKremen]

/facepalm

Я думал он от 1 до 5 возвращает.

[@Zevaka]

словарное слово из 7 букв плюс одна цифра — и сразу стойкость пароля максимальная (4). Нехорошо это.
трехцифренный пароль (например, 132): стойкость два, то есть даже не минимальная
неправильный какой-то оценщик у гугла

[@kolpeex]

Моя оценка по четырехбальной шкале этому четырехбальному оценщику — 1

[@Juggler]

Так оно и есть. Такое впечатление, что он не проверяет почти ничего из того, что должен.

[@AzriMan]

Основная задача в сборе персональных данных :)

[@tripiz]

Слушайте, а вдруг у него прогрессирующий логарифмически временный бан за некорректные попытки аутентификации? Тогда и пароль из 3-х симолов будешь подбирать целую вечность. То есть, первые 5 неправильных попыток — бан на 1 минуту, потом на 10, и так далее. Конечно, прогресия должна быть умеренной, иначе можно же кому-то акк залочить злонамеренно. А вообще, с ориентаций по IP, можно в принципе, подзажать по времени злоумышленника-брутфорсера, ведь у гугла есть статистика твоих посещений и с каких IP, он может по-разному лимитировать при определении частых ошибок.
Аутентификация задача весьма гибкая, даже в теории — лучшим выбором является точка пересечения двух кривых — А) сложности и криптостойкости Б) кол-ва ошибок при вводе.

Дак вот, если гугл может техническим путем осложнить саму процедуру подбора пароля, то с точки зрения юзабилити можно на эту величину опустить сложность пароля, это даст уменьшение коллизий в целом и статистическую разгрузку ошибок реальных пользователей. Как-то так — как идея.

[@tarepanda]

После нескольких неудачных попыток входа, гугль выводит капчу.

[@Alukardd]

Не хочу вдаваться в подробности откуда такие данные, но уверен, что реально они используют весьма солидный алгоритм и явно не с 4-х бальной оценкой.

[@Juggler]

Я писал — это оценка gmail при смене пароля. Возможно, для массового пользования они сильно упростили проверку.

[@Alukardd]

Я только вчера регил знакомой акк на гмыле, начнем с того, что форма принимает пароль с минимальной длинной 8 символов. И как следствие возможно их алгоритм проверки(представленный вами) на меньшее не рассчитан.

[@Juggler]

Тогда вижу явную недоработку — длину пароля проверять на форме, а все остальное — в сервисе. Это надо делать вместе.

[@Riateche]

Нерационально. Там, где можно не делать запрос к серверу, лучше не делать. Как раз случай с коротким паролем.

[@hks]

JS выполняется на стороне клиента и его можно легко обойти. Имхо, в случае с паролем лучше сделать дополнительную проверку, она не сильно ресурсоемкая. Если бы мы валидировали, скажем, название картинки, тогда я с вами соглашусь.

[@AndryX]

Вы представляете себе человека, который регистрируясь в gmail обходит проверки JS лишь для того, чтобы потестить 4х буквенные пароли на сложность? (При сабмите думаю длинна всё-равно проверится.)

Автор топика явно не до конца разобрался что это и как работает, но поспешил кинуть ссылку на хабр, заработать плюсов.

[@Juggler]

Автор топика хотел озвучить две мысли: (1) Google использует слабую проверку надежности пароля; (2) без вашего ведома, еще до смены пароля, в большом и неадекватном количестве собираются и связываются персональные данные.

Это позволяет сделать вывод, что всё это работает совсем не затем, зачем объявлено Google. И тонкости типа «автор не стал разбираться в развесистой лапше кода Google» уже не играют роли.

[@AndryX]

1. Я регистрировался в Google не раз и не раз помогал это делать другим. Пароль там требуют нормальный, везде.

2. Они не собираются и связываются, а как я уже говорил ниже необходимы для того, чтобы человек не поставил свою дату рождения или имя-фамилию в качестве пароля. Неужели вы думаете, что гуглу негде достать эти все данные и без грязных трюков? Смешно.

Тонкости типа «автор не стал разбираться в развесистой лапше кода Google» играет роль для всех и всегда, вы выставляете претензию просто потому, что вам так показалось. А как там на самом деле вам плевать.

[@Juggler]

Прошу прощения за резкость. Респект старейшине Хабра.

[@Andchir]

в большом и неадекватном количестве собираются и связываются персональные данные

Причем эти данные собираете Вы сами. Думаете зачем Гугл дает неограниченное (почти) место на диске для писем? В этих письмах вся ваша история. Случись что спецслужбы поднимут эту историю, а к Гуглу не будет никаких претензий, т.к. формально он за вами не шпионил.

[@ANDEREY]

Странно, у меня любым паролям, кроме Passwd, оценка 1.

[@ANDEREY]

facepalm.jpg

[@Juggler]

Параметр PsWD надо заменить на проверяемый пароль

[@Calvrack]

Хорошо бы с той стороны этой Ajax проверки добавлялку в радужные таблицы делать.

[@bondbig]

_{есть подозрения, что это уже сделано..}

[@kirushik]

DNS spoofing Вам в помощь.

[@gnomeby]

Отличне:
qwerty11 — 1

[@gnomeby]

qwerty11 — 1
qwerty111 — 2
qwerty1111 — 3
qwerty11111 — 4

[@pavlick]

qwerty111111 — 5

[@ComodoHacker]

qwerty!!!11адинадин — ∞

[@la_stik]

qwerty111111 — 3
qwerty1111111 — 4

Странно

[@soomrack]

[параноик mode on]
Этот сервис служит Google для составления частотного словаря паролей и, возможно, для привязки к вашим ip.
[параноик mode off]

[@Juggler]

Такого сервиса для общего доступа не существует. Это я немного покопался в исходниках страницы.

Но сам Google допонительно вместе с паролем туда пересылает Фамилию, Имя и дату рождения. Полагаю, что IP туда придет из браузера. В общем, «параноик off» пока делать не стоит.

[@diamant]

У Гугла уже есть все данные о вас, даже если не от вас, то от ваших знакомых, которые добавили вас в список контактов вместе с домашним адресом и датой рождения.

[@ComodoHacker]

Это они для Франции подсуетились.

[@kirilloid]

Потому, что пароль не должен быть похож на фамилию, имя или дату рождения и проверка на это осуществляется. Откуда он их берёт? Из формы, которую вы итак заполняете на сайте гугла. Вы же всё равно эти данные им отправите.
Проверка идёт на сервере чисто для того, чтобы алгоритм не стырили из js-кода.
Паранойте дальше в своё удовольствие.

[@4NT1P0V]

Твердая четверочка у меня.
20 символов.

[@MainNika]

1QwE
Твердая четверочка.

[@tangro]

меньше 4-ех символов четверку не взять, мне кажется

[@Laytlas]

И Гуглу не стыдно?

[@Juggler]

Возможно, в понедельник станет… Надежда умирает последней.

[@infi]

> Возвращает число 1-4
www.google.com/accounts/RatePassword?Passwd=жопа

[@karter]

Он видимо на все русские буквы возвращает 0

[@zujen]

Как нынче просто собрать базу паролей… только вот чего с ними дальше делать (:

[@dm9]

Там клевая проверка по словарю. «На коленке» за 5 минут такого самим не сделать :)

[@dm9]

Или не по словарю, а по сочетаниям символов.

Примеры:
www.google.com/accounts/RatePassword?Passwd=godmode — 2
www.google.com/accounts/RatePassword?Passwd=godmqde — 4
www.google.com/accounts/RatePassword?Passwd=irregular — 3
www.google.com/accounts/RatePassword?Passwd=ireegular — 4

[@tangro]

Вообще никакой логики не нашел:
«q1» — сложность 3
«q12345» — сложность 1

[@Juggler]

По умолчанию, счиатется что длина пароля > 8 — это проверяется в форме ввода.

[@prox]

www.google.com/accounts/RatePassword?Passwd=google
1

www.google.com/accounts/RatePassword?Passwd=yandex
3

[@Rulin]

Вот самоубийци то…
пароль надо отправлять только через https!

[@burdakovd]

Кстати да. По https тоже работает. Неужели при смене пароля Google отправляет его аяксом по http?
Надеюсь просто автор статьи ошибся при наборе адреса.

[@Juggler]

На самом деле, работает и http, и https. Насколько я понял, Ajax работает через http, хотя могу ошибаться.

Чтобы не быть голословным, демонстирирую код этого запроса (искать исходники здесь и здесь).

function CreateRatePasswdReq(formKey) {
    if (!isBrowserCompatible) {
      return;
    }

    var passwd = document.forms[formKey].Passwd.value;

    if (document.forms[formKey].Email) {
      var email = escape(document.forms[formKey].Email.value);
    } else {
      
      var email = escape("[e-mail]");
    }

    if (document.forms[formKey].LastName) {
      
      var lastname = escape(document.forms[formKey].LastName.value);
    }

    if (document.forms[formKey].FirstName) {
      var firstname = escape(document.forms[formKey].FirstName.value);
    }

    if (document.forms[formKey].Birthday) {
      var birthday = escape(document.forms[formKey].Birthday.value);
    }

    var min_passwd_len = 8;
    var passwdKey = "Passwd";
    var emailKey = "Email";
    var FirstNameKey = "FirstName";
    var LastNameKey = "LastName";
    var BirthdayKey = "Birthday";

    if (passwd.length < min_passwd_len) {
      if (passwd.length > 0) {
  DrawBar(0);
  } else {
  resetBar();
  }
  } else {
  passwd = escape(passwd);
  var params = passwdKey + "=" + passwd + "&" +
  emailKey + "=" + email + "&" +
  FirstNameKey + "=" + firstname + "&" +
  LastNameKey + "=" + lastname + "&" +
  BirthdayKey + "=" + birthday;
  myxmlhttp = CreateXmlHttpReq(RatePasswdXmlHttpHandler);
  XmlHttpPOST(myxmlhttp, "RatePassword", params);
  }
  }

//------------------------------------------------------------------------
// This file depends on: 
// http://gmail.google.com/gmail?view=page&name=browser
//------------------------------------------------------------------------

//------------------------------------------------------------------------
// Some browser detection logic. 
// Once http://gmail.google.com/gmail?view=page&name=browser has these 
// variables as *global* these definitions can be deleted. 
//------------------------------------------------------------------------
var agt = navigator.userAgent.toLowerCase();
var is_op = (agt.indexOf("opera") != -1);
var is_ie = (agt.indexOf("msie") != -1) && document.all && !is_op;
var is_ie5 = (agt.indexOf("msie 5") != -1) && document.all && !is_op;

//------------------------------------------------------------------------
// Communication with server
//------------------------------------------------------------------------

function CreateXmlHttpReq(handler) {
  var xmlhttp = null;
  if (is_ie) {
    // Guaranteed to be ie5 or ie6
    var control = (is_ie5) ? "Microsoft.XMLHTTP" : "Msxml2.XMLHTTP";

    try {
      xmlhttp = new ActiveXObject(control);
      xmlhttp.onreadystatechange = handler;
    } catch (ex) {
      // TODO: better help message
      alert("You need to enable active scripting and activeX controls");  
    }

  } else {

    // Mozilla
    xmlhttp = new XMLHttpRequest();
    xmlhttp.onload = handler;
    xmlhttp.onerror = handler;

  }

  return xmlhttp;
}

// XMLHttp send POST request
function XmlHttpPOST(xmlhttp, url, data) {
  try {
    xmlhttp.open("POST", url, true);
    xmlhttp.setRequestHeader("Content-Type", "application/x-www-form-urlencoded; charset=UTF-8");
    xmlhttp.send(data);

  } catch (ex) {
    // do nothing
  }
}

// XMLHttp send GEt request
function XmlHttpGET(xmlhttp, url) {
  try {
    xmlhttp.open("GET", url, true);	
    xmlhttp.send(null);

  } catch (ex) {
    // do nothing
  }
}

[@Juggler]

Прошу прощения, первая ссылка к исходникам должна быть www.google.com/accounts/EditPasswd?hl=ru

[@sledopit]

Вообще то это не четырехбальный оценщик, а таки пятибальный:
www.google.com/accounts/RatePassword?Passwd=Привет_Хабрахабр — 0
(:

[@merqlove]

www.google.com/accounts/RatePassword?Passwd=PsWD
4

Как-то нелогично он работает)

[@AndryX]

На эту параноидальную мысль навел один из комментариев ниже. Помимо самого пароля в этот сервис (при смене пароля на gmail) передается Фамилия (Last name), Имя (First name) и дата рождения. Данные об IP могут браться из браузера.

Так и должно быть. По сути эти данные необходимы, чтобы человек не поставил себе пароль состоящий с даты рождения или имени-фамилии.

[@MaxPv]

www.google.com/accounts/RatePassword?Passwd=windows — 1
www.google.com/accounts/RatePassword?Passwd=linux — 2
www.google.com/accounts/RatePassword?Passwd=macos — 3

[@root_sashok]

На рандомный пароль из 30 символов выдал Bad Request…

[@reddot]

urlencode?

[@127]

не учитываете минимальную длинну пароля, которая есть в форме регистрации аккаунта

[@Juggler]

Я писал чуть выше, что IMHO логика должна быть в одном месте, а не раскидана отдельно — в форме проверять длину пароля, а в сервисе — все остальное. Народ со мной не согласился (-3) — такая реализация снижает нагрузку на сервер.

Вот мое IMHO как аналитика против IMHO специалистов по технологиям.