¿La adición de requisitos a una contraseña, como debe contener 2 dígitos, disminuye la fuerza? [duplicar]

Creo que es posible que te hayas perdido una parte sutil de la política:

• Debes tener una longitud mínima .
• Debe tener un número de letras mínimo .
• Debe tener un número de números mínimo .

Desde una perspectiva puramente estadística, veamos la posible reducción en el espacio de teclas. Le pido disculpas si es un poco difícil de seguir, pero entenderá mis razones para ello a medida que avanza hacia el final.

Primero, veremos las longitudes posibles para una contraseña. En theory , sus longitudes posibles caben en el conjunto ℤ ⁺ , es decir, todos los enteros positivos. Este conjunto es incontable, es decir, de longitud infinita. Como tal, cualquier conjunto con límites {n → ∞} siempre es incontable, siempre y cuando n < ∞. Por lo tanto, para cualquier contraseña de longitud no infinita, su requisito de longitud no cambiará el número de longitudes posibles. Definamos una función ƒ _L que nos da la longitud de cualquier contraseña arbitraria, para su uso posterior.

A continuación, veamos los números de letras y números. Dado que el dominio de nuestra función ƒ _L es a lo sumo {1 → ∞}, y al menos {n → ∞} para n < ∞, sabemos que es incontable. Calcular el número de permutaciones para un conjunto de caracteres C y una longitud L nos obliga a calcular C ^L , es decir, C elevado a la potencia de L : llamémoslo ƒ _S . Lo hacemos comúnmente para determinar el número de valores posibles almacenables en una cadena binaria de n bits, al calcular 2 ⁿ , por lo que debería ser una tarea familiar. Desafortunadamente, L en nuestro caso no es un número definido; es una funcion Así que realmente estamos tratando de calcular C elevado a la potencia de ƒ _L , que no tiene ningún significado ya que la salida de ƒ _L cualquier entero positivo. Sin embargo, podemos observar el comportamiento de esta operación, ya que las salidas de ƒ _L son un conjunto incontable, cualquier valor de C siempre causará producir un conjunto incontable también. Como tal, para cualquier valor de C , ƒ _S siempre produce un conjunto incontable, y por lo tanto, el espacio de teclas sigue siendo infinito independientemente del conjunto de caracteres, siempre que las longitudes posibles de la contraseña entren en el conjunto ℤ ⁺ .

Ahora, todo lo anterior era puramente teórico , y en gran medida sin sentido en cualquier forma aplicable. En la práctica, no puedes permitir una contraseña de 2 × 10 ¹⁰⁰ , por lo que realmente tienes un límite. Como tal, el conjunto ƒ _L se vuelve contable, y por lo tanto el conjunto ƒ _S también se puede contar, y por definición ahora depende del valor de C . Pero ¿hasta qué punto esto importa?

La respuesta no se basa en las matemáticas, y esta es precisamente la razón por la que te he llevado por un camino tortuoso y detallado hasta este punto. No se trata de los números, se trata de la gente. Hemos visto, una y otra vez, las malas prácticas de contraseña empleadas por las masas. Los volcados de contraseñas filtrados después de las violaciones de sitios importantes como LinkedIn, Sony y Gamigo han demostrado cuán horriblemente comunes son las contraseñas pobres (como "letmein" y "dragon"). El santo grial de la política de contraseñas es uno que hace que los usuarios elijan contraseñas que sean resistentes a los intentos de adivinanzas manuales e intentos de fuerza bruta, y que sean lo suficientemente memorables como para que el usuario no tenga que reutilizar las contraseñas. El santo grial no existe. No es posible que todos los usuarios se adhieran a las políticas de contraseña perfectas.

Proporcionar una política de contraseñas que exija algunos requisitos mínimos absolutos (una letra, un número, un mínimo de 7 caracteres) es suficiente para que el 100% de los infractores accedan a una contraseña que no sea de diccionario, 80% de ellos a una contraseña no común, y elimine el 90% de las contraseñas comunes. Eso significa que ha reducido con éxito su superficie de ataque para los ataques de baja fruta en al menos un 80%, lo que es una gran victoria. Además, no ha afectado sus tasas de conversión en el registro, ya que las políticas de contraseña básica son una práctica estándar para la mayoría de los usuarios.

Entonces, si bien puede estar teóricamente reduciendo el espacio de su personaje, es una medida de seguridad de contraseñas deficiente y una completa tangente al objetivo real de aumentar la seguridad. Las políticas de contraseña se refieren a personas, no a números, y como tales deben estudiarse como un mecanismo psicológico, no matemático.

Como cuestión práctica, aumenta la resistencia de la contraseña promedio a pesar de que disminuye la resistencia en teoría. Los seres humanos tienden a usar contraseñas más fáciles de recordar, más fáciles de escribir por preferencia, por lo que las contraseñas no restringidas tienden a provenir de un espacio de contraseñas real más pequeño, que tiende a ser más corto, con menos probabilidades de cambios de caso, dígitos y caracteres especiales. caracteres. Así que aunque restringirlo reduce el espacio verdadero (teórico), excluye muchas contraseñas de mayor probabilidad y, por lo tanto, tiende a (ligeramente) aumentar la seguridad. Significa que no puedo usar mi favorito, "abc123".