Juggler Mar 29 2011 at 16:58

Алгоритм оценки стойкости пароля от Microsoft (Часть 2)

31 min

5.4K

Information Security*

Comments 22

evilbloodydemon Mar 29 2011 at 17:08

Очень информативно.

RomanL Mar 29 2011 at 18:28

Жесть.
А не проще энтропию посчитать? :)

RomanL Mar 29 2011 at 18:30

А, вот то что делалось в первой части и есть почти энтропическая характеристика пароля.

Juggler Mar 29 2011 at 19:37

В конце статьи я приложил ссылку на статью «Элкомсофта». Там описано, откуда берется эта формула.

sic Mar 29 2011 at 18:46

близкое с вероятностью 0.6 — как-то подозрительно звучит. если имеется в виду редакционное расстояние, то еще можно понять.

а вообще словарь какой-то небольшой, достаточно просто проверить не содержатся ли самые частые триады символов (хотя в таком случае пользователю будет сложнее придумать пароль).

Juggler Mar 29 2011 at 19:34

Давайте считать это «фигурой речи». Проверочная функция называется IsCloseVariationOfAWordInDictionary — в вольном переводе «близость вариации слова к словарному». Так что, Вы скорее всего правы.

zed91 Mar 29 2011 at 19:07

Блин, вместо выдумывания велосипедов есть тесты специализированные, FIPS-140, которые разрабатывали профессионалы.

Juggler Mar 29 2011 at 19:30

К сожаления, я в этом вопросе не специалист. Судя по Wikipedia, там есть тестирование криптографических алгоритмов и ключей. Это правильно, что «взрослые» системы авторизации паролями пользоваться и не должны — для этого придумали сертификаты и аппаратные ключи.

А что там есть по поводу стойкости обычных паролей?

zed91 Mar 29 2011 at 19:48

Нагенерили пароль, прогнали через FIPS, поняли на сколько он стойкий.

Juggler Mar 29 2011 at 20:07

А где-то онлайн проверка по FIPS есть? Я погуглил и не нашел…

zed91 Mar 29 2011 at 20:22

Нигде, разве что опенсорсовые библиотечки.
Если реализовывать самому — работы на день, не больше

Juggler Mar 29 2011 at 20:58

Вот нагуглил FIPS 112 — использование паролей. Так там еще меньше требований, чем в этом алгоритме.

forgotten Mar 30 2011 at 12:07

Чувак с паролем «incomprehensible» явно подсел на измену.

serejik Mar 30 2011 at 18:39

ничего не понял, но карму поднял :)

Juggler Mar 30 2011 at 19:55

Ну, я надеюсь от этой статьи кто-то получит пользу:

Задумается о стойкости своих паролей.
Узнает, как можно проверить стойкость онлайн на сайте Microsoft.
Посмотрит вариант словаря для брутфорс атак на пароли.
Увидит исходники на js для организации словаря, поиска по словарю и поиска близких слов по словарю.
Вдруг еще какие умные мысли придут — и напишет статью на Хабр...

Bkmz Apr 9 2011 at 17:19

Я один совершенно случайно увидел слово condom? =)

LavrinovichVladimir Apr 11 2011 at 17:07

Проверка от microsoft на стойкость.
Check your password—is it strong?
Смотрим исходный код и находим:
script src="assets/scripts/passwdcheck.js" language="javascript" type="text/javascript"
А вот, если глянуть внутрь кода этого скрипта, то видим вышеупомянутый в статье пример
«Пожалуйста пользуйтесь!» — говорит microsoft

Juggler Apr 11 2011 at 17:19

Все правильно. Я давал эту ссылку в Части 1.

LavrinovichVladimir Apr 12 2011 at 00:42

Оу, да. Хотя тот, что приведен в этой теме, и считается старым, он все же в действительности работает адекватнее. Советую его ибо сам же им и пользуюсь, т.к. он не пропускает пароли в которых, допустим, один символ «A» повторяется 40 раз и в результате — best. Можно спорить о том, что пароль в 40 символов тяжело перебрать брутом, но представьте как юзер будет его вводить. ))
Спасибо автору. Возьму немножко описания к диплому с вашего позволения.
Прикрутил к полю ввода пароля валидатор, который проверяет сложность пользуясь этим алгоритмом, пусть люди сочиняют. ))

LavrinovichVladimir Apr 13 2011 at 20:23

Решил опробовать описанный в топике алгоритм и навоял следующее.
Для того, чтобы его потестить и ощутить/увидеть разницу пришлось его ~~своровать~~ позаимствовать без спроса. Валидаторы мои — это для чистоты, а то все знакомые сразу русские пароли туда тулят почему-то.
Разница, как видим сравнивая с этим вариантом, имеется.

Juggler Apr 14 2011 at 11:31

Неплохой сервис проверки стойкости и генерации паролей.

LavrinovichVladimir Apr 14 2011 at 12:43

Да, хорош. Туда бы половину страны повести и показать как надо создавать стойкие пароли, а то рыбки и дни рождения с номерами телефонов ужас как огорчают…

Show the best of all time