Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Научпоп доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 23
Вместо password пришла эра passphrase
То есть, мошеннику нужно перебрать сочетания из 50000 по четыре и по пять. Как-то не сильно мощно выглядит :))
Тогда уж лучше, например, "карава_лампа_паезд_рамашка". Запоминаем четыре слова и одну гласную букву ))))))
PS Заказывал в одной фирме пять машин с предустановкой систем, с парой логин/пароль "administator/administartor". Сам за этим пронаблюдать не мог, так что просто написал на бумажке.
Один из паролей исполнитель написал с ошибкой)))) aministrator
Угадал я быстро, но некоторые полезные мысли в процессе пришлось усвоить))
Тогда уж лучше, например, "карава_лампа_паезд_рамашка". Запоминаем четыре слова и одну гласную букву ))))))
Это бессмысленно. Потому будешь мучительно вспоминать, какую именно ошибку ты сознательно добавил. Лучше просто еще одно нормально, грамотно написанное слов добавить.
Ну хз, намеренное коверкание слов как будто ломает саму идею легкого запоминания. Ты через месяц забудешь, точно ли везде ты там заменил "о" на "а")
Берем нашу героиню: «корова-лампа-поезд-ромашка». Условие одно, и оно принципиальное. Слова должны выпасть случайно, кубиком или генератором, а не родиться в вашей голове с мыслью «о, корова, забавно выйдет». Пусть каждое слово тянется из списка в пятьдесят тысяч обычных русских существительных. Тогда одно слово весит около пятнадцати с половиной бит, а четыре вместе складываются примерно в шестьдесят два бита.
К сожалению, оно так работать не будет. Последовательность перебора - тоже влияет.
Вот у вас список - 50000 слов(62 бита). Но выпали 4 слова из верхних 10000 тыс слов Или не выпало, а пользователь выбрал такой из нескольких полученных, т.к. редкие слова - нечитаемые и трудно запомнить. (Ну вот будет там какое-то 'эсхатологический' - такое даже пытаться использовать не будут)
Поэтому умный атакующий как раз и начнет перебор с самых частых слов, перекашивая вероятности найти быстро.
Именно поэтому на практике настолько длинный набор слов использовать не стоит, а нужно брать "Самые частые 1000/8000" и добирать энтропию длиной.
Поделюсь еще одним соображением. Когда-то у меня было предположение, что граматически правильная парольная фраза будет запоминаться лучше. Пытался даже генератор писать. И выяснил, что правильно сформулированная фраза - срезает энтропию очень сильно.
Пример
Использованный шаблон с кучей лингвистической информации
Этот (det@этот|Case=Nom|Gender=Masc|Number=Sing)
факт (nsubj@NOUN|Animacy=Inan|Case=Nom|Gender=Masc|Number=Sing)(nomn sing inan masc)
и (advmod@PART|_)
подтолкнул (root@VERB|Aspect=Perf|Gender=Masc|Mood=Ind|Number=Sing|Tense=Past|VerbForm=Fin|Voice=Act)(past sing indc perf intr masc)
к (case@ADP|_)
возрождению (obl@NOUN|Animacy=Inan|Case=Dat|Gender=Neut|Number=Sing)(sing inan neut datv)
проактивных (amod@ADJ|Case=Gen|Degree=Pos|Number=Plur)(NonSupr gent plur)
технологий (nmod@NOUN|Animacy=Inan|Case=Gen|Gender=Fem|Number=Plur)(gent inan plur femn)
. (punct@.|_)А парольная фраза:
Этот ломик(*3622) и шагнул(*1192) к соль(*806) упорных(*5078) тряпок(*2523) . === Bits: 55.30
Тут в скобках - сколько вариантов каждая позиция имеет и дальше результат, сколько бит энтропии получилось.
В общем - запомнить не легче, чем просто случайных набор слов.
сразу надо было писать correct horse battery staple - лампа какая-то…
Все остальное разумнее свалить на парольный менеджер, который сгенерирует двадцать случайных символов, сам их запомнит и избавит вас от необходимости вообще их читать глазами.
Всё это ломается о простую житейскую истину. Которая заключается в том, что на одних сайтах пароль непременно должен содержать маленькие и большие буквы, цифру и какую-нибудь крюкозябру, на других большие буквы и крюкозябры запрещены, а третьи вообще делают всё, чтобы пользователь неприменно ввёл пароль руками, а не копипастой из менеджера пароля.
И да, все сложные пароли с обязательным требованием их регулярной замены без повторов неизбежно кончают свой жизненный путь, будучи записанными на маленькой жёлтенькой бумажке, приклеенной к монитору. Хорошо если дома, а не в офисе.
Длинные пароли набирать лениво. Там, где можно (некритичные сервисы) - использую сохраненные в парольном менеджере длинные пароли по 20+ символов, совершенно нечитабельные.
А там, где нужно набирать вручную и помнить самому - использую сокращенные парольные фразы типа "миллион обезьян набирает за решеткой Войну и Мир на печатных машинках и громко ругается матом" -> "1Mmt#WaPot&!@#$". Пойдёт?
Не до конца понял, но принцип интересный) Можно еще примеров?
Запоминаем фразу, можно смешную "Пришел Василий Иванович на Хабр рассказать анекдот про нюанс, и слили ему карму до -100" и урезаем с транслитерацией "PVInHrapn&sekd-100". Вот, готовый пароль для хабра.
Или "Сбербанк дает кредиты под большой процент и меня это огорчает" -> "Sdkp^%&me:(".
У исходной фразы энтропия, конечно, выше - ИИ оценил ее в 80-85 бит против 72 у короткого варианта, но набирать быстрее короткий.
Главное, чтобы преобразование у вас в голове происходило по четкой логике, чтобы вариативности сильной не было (транслитерация или перевод на английский, какие слова соответствуют спецсимволам !"№;%:.).
то есть ваша полоса символов "@#$" соответствует "ругаться матом?"
Это из старой практики, когда последовательностями типа #$@%$#^ заменяли нецензурные слова.
Ой, блин, оказывается - это реально из очень старой практики.
В массовой культуре, комиксах и печати использование случайных знаков препинания и спецсимволов (#
#^!) для цензуры мата называется «гроуликсом» (grawliks). Этот прием появился более века назад и стал мировым стандартом визуального выражения сильного гнева или нецензурной брани без нарушения законов о цензуре.
Термин придумал в 1964 году американский карикатурист Морт Уокер (создатель комикса Beetle Bailey). Дата и место появления 1901–1902 годы, США. Одним из первопроходцев считается Рудольф Диркс в комиксе The Katzenjammer Kids («Детишки Катценджаммер»). Напечатать бранное слово было невозможно, а показать эмоции персонажа (например, если он ударил молотком по пальцу) было необходимо.
ИИ оценил ее в 80-85 бит
К сожалению, оно врет. Смотри мою реплику рядом. Грамматически правильное предложение на 81 бит со случайно(иначе этих бит не будет) выбранными словами выглядит как
"В убиенные столбцы божола хрипит в имидж шиферного рэкета"
И добавление хоть малейшего смысла (т.е. привычных переходов "рассказать анекдот" "давать кредить", "большой процент", "меня огорчает" все моментально портит.
Ну тут ещё вопрос со стороны атаки: вот у нас хэш - стоит ли вообще генерить осмысленные фразы на “нечестный” 81 бит?
Т.е. по любому к хешу должна ещё прилагаться (или предполагаться) определённая информация по политике паролей, иначе ничего “срезать” не получится. Т.е. со стороны защиты - да логично исходить из худшего варианта, но в то же веремя немного “обскъюрити” может резко менять ситуацию с информацией.
"Сорок тысяч обезьян в жопу сунули банан" (с) наконец дошло до Хабра.
Больше всего раздражают конторы, которые блокируют вставку пароля из буфера обмена...
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
«корова, лампа, поезд, ромашка» против P@ssw0rd!2026