Новый алгоритм для проверки надёжности паролей

[Scratch]

Демка zxcvbn
dl.dropboxusercontent.com/u/209/zxcvbn/test/index.html

[ploop]

Оффтоп:

Для этого устанавливают базовые правила, которые требуют обычно указать хотя бы одну прописную букву, одну строчную букву, одну цифру и так далее

Гореть им в аду. Сайт может подсказать пользователю, что пароль плохой/хороший, но никак не заставлять его использовать тот или иной. Исключение — ограничение на минимальную длину в критичных сервисах, типа онлайн-банков.

[splatt]

Ха-ха. Недавно устанавливал пароль для оплаты через Visa Secure в одном банке. Обычно я требований к паролю не читаю т.к. в моих паролях есть и заглавные, и строчные, и цифры, итд и мои пароли как правило проходят все требования. А тут бац — подсвечивает красным поле, мол, неправильно ввел.
Нажимаю на подсказку, и вижу единственное ограничение: «длина пароля не должна превышать 10 символов».

Первая мысль — «они там нормальные вообще?».

[ankh1989]

Иначе им сложно будет подобрать ваш пароль.

[KivApple]

Я, кстати, вообще не понимаю зачем нужны ограничения на максимальную длину пароля. Ведь в любом случае пароль хешируется (если не хешируется, то о чём вообще можно говорить с такими людьми) перед попаданием в базу, а длина хеша не зависит от длины пароля.

[Wernisag]

Что бы сложнее было подглядеть и в случае чего запомнить пароль. Даже если пользователь очень медленно печатает, то запомнить 12 случайных символов не обращающих какое-либо слово очень сложно.

[ploop]

Ограничение на максимальную длину.

[ploop]

Весело :)
А не пробовали написать в поддержку с вопросом, типа, wtf? Интересно, что ответят.

Я сталкивался на ограничения по максимальной длине, но они были как правило достаточные, 20-25 символов (да, у меня бывают пароли больше 30). Возможно это защита от копипаста, так как в буфере пользователя может оказаться что угодно.

[wormball]

В vnc вообще используются только первые 8 символов пароля.

[PingWin]

Дайте угадаю — ВТБ24? Это имхо единственный инет-банк, где я увидел ограничение на максимальную длину пароля :)

[ankh1989]

Для таких нужен ад в котором для доступа к еде нужно каждый раз вводить пароль минимум 32 символа и который надо менять раз в неделю, а при выборе нового пароля требуется пройти самую упоротую проверку на сложность пароля, а также не менее упоротую проверку на непохожесть на прежние пароли.

[KvanTTT]

Можно еще пробовать сжимать пароль и считать коэффициент сжатия. Или использовать алгоритмы анализа псевдослучайных последовательностей.

[urix]

Не пройдет.
Длинный пароль, состоящий из 6 слов с повторяющимися буквами, сожмётся очень хорошо. Но будет криптостойким

[KvanTTT]

Для очень больших паролей этот сервис все же будет писать, что на перебор уйдет бесконечное количество лет.

[Vlad_IT]

На 308 нулей пишет «792 quadrillion nonagintillion years»

[Jeditobe]

Угу, идея сайта, собирающего новый словарик паролей.

[ankh1989]

Оно может передаться потом. Скажем когда вы пароль вводите, он посылается в невидимый iframe в localStorage на каком нибудь домене, а потом вы заходите неделю спустя на какой то другой сайт, тот грузит этот же iframe и берет из него пароль.

[zomby]

http://www.trypap.com/

[iptester]

Отличная штука по сбору паролей

[ov7a]

Очень свежая идея, ага. xkcd.com/936

[magic4x]

Кто-нибудь уже выяснил почему многие запрещают спецсимволы? Тинькофф банк, например, их не разрешает.

[ov7a]

Могу предположить, что так пытались запретить использовать не ASCII символы в пароле, чтобы избежать проблем с кодировками. Ну а получилось как всегда: [A-Za-z0-9]

[magic4x]

Т.е. в тинькоффе не могут написать регулярку со спец. символами? Ну ок )

[ankh1989]

[A-Za-z0-9]{4,10}