¿Calculando la entropía de la contraseña?

Hay ecuaciones para cuando se elige la contraseña de forma aleatoria y uniforme de un conjunto determinado; a saber, si el conjunto tiene el tamaño N , entonces la entropía es N (para expresarlo en bits, tome el logaritmo en base-2 de N ) .

Por ejemplo, si la contraseña es una secuencia de exactamente 8 letras minúsculas, de manera que se podrían haber elegido todas las secuencias de 8 caracteres minúsculas y no se elegiría ninguna secuencia con mayor probabilidad que cualquier otra, entonces la entropía es N = 26 ⁸ = 208827064576 , es decir, alrededor de 37,6 bits (porque este valor está cerca de 2^37.6 ).

Una fórmula tan agradable funciona solo mientras se produzca una aleatoriedad uniforme, y, seamos realistas, la aleatoriedad uniforme no puede ocurrir en el cerebro humano promedio. Para las contraseñas elegidas por los humanos, solo podemos hacer estimaciones basadas en encuestas (eche un vistazo a that para algunos punteros).

Lo que se debe recordar es que la entropía califica el proceso de generación de contraseña , no la contraseña en sí. Por definición, las aplicaciones y los sitios web de "medidores de contraseñas" no ven el proceso, solo el resultado y devuelven de manera uniforme los resultados deficientes (por ejemplo, le dirán que "BillClinton" es una buena contraseña). Cuando el proceso es interno, todo vale.

(Genero mis contraseñas con una computadora, no con mi cabeza, y animo a las personas a hacer lo mismo.)

Joseph Bonneau de la Universidad de Cambridge ha realizado una extensa investigación en el área de contraseñas elegidas por los usuarios. En un documento reciente (PDF) Bonneau propuso utilizar "métricas estadísticas" para contraseña individual fuerza ". En este artículo él describe

  

varias métricas posibles para medir la fortaleza de una contraseña individual o cualquier otro secreto extraído de una distribución sesgada conocida. A diferencia de los enfoques ad hoc anteriores que se basan en las propiedades textuales de las contraseñas, consideramos el problema sin ningún conocimiento de la estructura de las contraseñas. Esto permite calificar la fortaleza de una contraseña dada una gran distribución de muestra sin asumir nada sobre la semántica de la contraseña

Cuando hablamos de la entropía de una contraseña, estamos realmente interesados en lo difícil que es adivinarla. El documento de Bonneau describe cómo se puede medir esto en función de la información estadística de las contraseñas reales.

Desde un punto de vista matemático puramente combinatorio, 0123456789 no es más débil que cualquier otra cadena de 10 caracteres. Estas ecuaciones a las que se refiere están basadas en matemáticas combinatorias.

Sin embargo, desde un punto de vista estadístico es más débil porque la gente lo usa comúnmente porque es más fácil de recordar, por lo que los atacantes que crean diccionarios de contraseñas comunes incluyen esos primero y, como tal, es probable que sea una de las primeras contraseñas que el atacante descifra. ya que está cerca del comienzo de la lista para que lo intente. Podría crear algunas ecuaciones un poco más complejas o simplemente decir, bueno, ya que solo usó dígitos numéricos, aunque permito más, voy a calcular la fuerza usando solo dígitos numéricos como el conjunto de caracteres. Esto ayudará a estimar los problemas estadísticos, pero no coincidirá perfectamente con la situación real.

También puedes verificar un diccionario de descifrado de contraseñas y verificar si la palabra está ahí y qué tan cerca está la palabra más similar, pero esto solo proporciona una fuerza basada en ese diccionario en particular y otro atacante usaría un diccionario diferente.