En un extra de entrevista de Edward Snowden con John Oliver , Snowdon informa que una buena contraseña para usar es una como MargaretThatcheris110%SEXY. .
También, en el blog de Errata Security, dice Robert Graham en la importa :
El líder de la NSA Edward Snowden recientemente sugirió que una contraseña segura se vería como "MargaretThatcheris110% SEXY". ha sido criticado por Esto, pero en realidad, es bastante fuerte. Si hay muchos diccionario y debilidad de Markov, pero son compensados por longitud. Todo lo demás es igual, más tiempo es mejor. De hecho, lo que sea contraseña que tiene ahora, simplemente agregando "xxxxxxxxxxx" al final de la misma es probable que lo haga irrompible, y es extremadamente fácil para usted recuerda. Una contraseña como "MaThis110% SX" es una contraseña de 12 caracteres de tal manera que incluso la NSA es poco probable que sea capaz de romperlo si fuera su contraseña de Lastpass: la forma más larga de Snowden no la empeora. (Tenga en cuenta que algunas personas afirman que este ejemplo de Snowden no es tan seguro, pero están equivocados).
Ahora, en discusiones anteriores aquí, hemos aprendido que el cerebro humano es malo al azar . También sabemos que la entropía de la contraseña no se basa en la contraseña real, sino en cómo se generó la contraseña . Por ejemplo, la siguiente contraseña puede considerarse segura a primera vista:
zTzG5rUev2fBBkp6dEMJHNEQWWmFTSjBBn26cQCgkVXSydep3nUx6pF4uf6Pu59RYKDEwkwnTdFJht2n
Sin embargo, digamos que Bob siempre genera sus contraseñas combinando las siguientes palabras en su archivo de texto de generación de contraseñas en un orden aleatorio, y el atacante sabe que , entonces la contraseña no es tan segura.
kVXSydep3nUx6pF4uf6P
zTzG5rUev2fBBkp6dEMJ
HNEQWWmFTSjBBn26cQCg
u59RYKDEwkwnTdFJht2n
Uno de los comentarios sobre el artículo de Wired es:
Si estuviera tratando de romper un hash, simplemente no asumiría desde el comenzando que todas las contraseñas siguen una %código% Patrón y luego esperar hasta 7 días para ver si estaba en lo cierto. Si supiera era ese patrón, entonces la contraseña de Snowden tendría 33.041 bits de entropía De lo contrario, la entropía sería considerablemente más alta (> 100 bits).
Esto describe el quid de mi pregunta. Si hice una contraseña como female_names+surnames+english_word+english_word+known_passwords , un "medidor de fuerza" como zxcvbn da la entropía como 39.6 (incluida la parada completa). Sin embargo, nadie sabe que generé la forma en que MargaretThatcheris110%SEXY. lo descompone. E incluso si supieran que yo había usado ese método en el pasado, podría usar un método diferente para mi próxima contraseña (por ejemplo, zxcvbn ).
Como tylerl anota en otra respuesta:
Podemos adivinar qué diccionarios estarán disponibles para el atacante, pero no podemos saber con certeza Por lo tanto, como un proxy para el diccionario tamaño, en su lugar utilizamos entropía. Es un pobre sustituto porque no refleja la mecánica de ataque real, pero es potencialmente mejor que nada.
Si un atacante sabe que puedo usar definiciones de secuencia "cerebro inventado", posiblemente con valores de "cerebro humano inventado" para completar esas secuencias, ¿esto realmente les ayuda en algún sentido práctico? Lo que quiero decir es que el valor de entropía de 39.6 no significa realmente que pueda ser atacado por un ataque de fuerza bruta que llene ese espacio clave, porque el atacante no conoce la estructura. Me doy cuenta de que, en seguridad, las únicas cosas que deberían ser secretas son las contraseñas y las claves secretas, los propios mecanismos deben considerarse públicos y conocidos. Sin embargo, la forma en que se genera la contraseña podría considerarse privada, ya que alguien más conoce el método exacto . Obviamente, Snowden lo ha revelado públicamente, pero para su próxima contraseña lo hará de manera ligeramente diferente. ¿Es por esto que Graham no está de acuerdo con que el ejemplo de Snowden sea más seguro de lo que sugiere el análisis de entropía?
También relacionado: Ha tenido entropía generada por humanos alguna vez ¿Ha sido un problema real?