¿Escribir mi contraseña dos veces la hará más segura? ¿O escribiendo cada personaje dos veces?

En general, no, duplicar la contraseña no aumenta (o disminuye) sustancialmente su seguridad. Lo que duplica es tu esfuerzo de mecanografía. Duplicar su contraseña puede disminuir su seguridad si le incita a elegir una contraseña de base más corta / fácil para que su esfuerzo de escritura no sea demasiado engorroso.

En términos generales, la seguridad de la contraseña proviene de su aleatoriedad, es decir, cuánto desconoce el atacante. En el caso de "duplicar", esta es una información de un bit (es decir, si la aplicó o no), por lo que, matemáticamente hablando, es un bit adicional de entropía. Eso no es mucho. Escribir ocho caracteres adicionales para obtener un solo bit de entropía es exiguo; Esto no es un buen negocio.

Todos los trucos ingeniosos comparten el mismo problema fundamental: son ingeniosos. Confían en que el atacante sea estúpido, incompetente o arcaico. Esto no es válido en la práctica, excepto contra atacantes que son realmente estúpidos, incompetentes y arcaicos: los dioses saben que son muchos de ellos, pero no son un gran problema, porque no sabrían qué hacer con su contraseña. Los atacantes de los que debería preocuparse son los inteligentes, que pueden aplicar daños sustanciales a sus activos digitales en poco tiempo; estos atacantes inteligentes no serán disuadidos por el truco de duplicación de su contraseña.

Considere leer esta famosa pregunta para obtener información sobre qué hace que una contraseña sea "segura", en particular las matemáticas de entropía en esa respuesta .

Mi cracker de contraseñas ya intenta duplicar letras, duplicar palabras, invertir y duplicar palabras, cambiar de palabra y doblar ...

... y muchos más.

Sí. La duplicación agrega algo a la dificultad: alrededor de cuatro bits, la parte superior. Me tomaría dieciséis veces más tiempo para descifrar, que un ataque de diccionario sin formato con reemplazos de letras.

¡Pero eventualmente obtendría BAdpA55! 22AqbA8.

Los seres humanos son criaturas sorprendentemente predecibles. La forma en que pensamos no es tan única como nos gustaría creer. Es probable que cualquier cosa inteligente en la que pueda pensar para hacer que su contraseña sea más segura, ya haya sido considerada por muchas otras personas, y los piratas informáticos están conscientes de todos estos trucos inteligentes.

La única forma de hacer que una contraseña sea segura de manera adecuada es hacerla larga y aleatoria. Eliminar la falibilidad humana de la ecuación. Si una contraseña es tan compleja que posiblemente no pueda memorizarla, entonces puede ser lo suficientemente segura.

Los administradores de contraseñas son extremadamente útiles. Le permiten hacer que cada contraseña que use sea única y cada contraseña sea completamente aleatoria.

Obviamente, debes asegurarte de que la base de datos de tu administrador de contraseñas sea segura y no se pueda acceder a ella de forma remota.

Hay muchos factores, pero en última instancia se desglosa en qué tipo de descifrado de contraseñas está tratando de proteger. Contra un ataque de fuerza bruta, aumentar la longitud de la contraseña hará que sea más difícil de descifrar. Asumiendo que su hashing no es horrible, una contraseña decente de 8 o 9 caracteres ya debería ser muy difícil o imposible de romper por fuerza bruta. Eso significa duplicarlo escribiendo cada carácter dos veces o escribiendo la misma contraseña dos veces realmente no hace mucho.

Una vez que su contraseña sea lo suficientemente larga para estar a salvo de un ataque de fuerza bruta, debe comenzar a preocuparse por los ataques de diccionario, los ataques combinados y otras cosas por el estilo. Cualquiera de las cosas que sugiera sería fácil de incluir en un ataque basado en reglas y cualquier valor en la seguridad adicional depende de que no se realice comúnmente y no se incluya en su conjunto de reglas.

Enlace a la demostración de entropía de la contraseña de zxcvbn.

Según zxcvbn, las estadísticas de su contraseña inicial:

Normal: PwdThing

 Guesses:
    100 / hour:     5 months    (throttled online attack)
    10  / second:   58 minutes  (unthrottled online attack)
    10k / second:   35 seconds  (offline attack, slow hash, many cores)
    10B / second:   less than a second  (offline attack, fast hash, many cores)

Doble: PwdThingPwdThing

guess times:
100 / hour:     9 months    (throttled online attack)
10  / second:   2 hours (unthrottled online attack)
10k / second:   1 minute    (offline attack, slow hash, many cores)
10B / second:   less than a second  (offline attack, fast hash, many cores

Carta doblada: PPwwddTThhiinngg

guess times:
100 / hour:     centuries   (throttled online attack)
10  / second:   centuries   (unthrottled online attack)
10k / second:   centuries   (offline attack, slow hash, many cores)
10B / second:   12 days (offline attack, fast hash, many cores)

zxcvbn puede no ser perfecto, pero creo que te da una estimación bastante buena de la fortaleza de tu contraseña. Juega con él para obtener una contraseña agradable y memorable con una calificación alta.

Prefiero que las oraciones se utilicen como contraseñas. Son largos, e intrínsecamente difíciles de adivinar y fáciles de recordar.

EX: "Mi segunda fruta favorita, los lunes, es el mango!" (espacios incluidos donde esté permitido)

Si te preocupa que la bruta de la NSA fuerce tu contraseña ... iría con las contraseñas generadas de las que todos los demás están hablando.

Dos cosas hacen que una contraseña sea más segura: longitud y aleatoriedad. Entonces, la respuesta a tu pregunta es definitivamente Sí , estás aumentando la seguridad de tu contraseña.

Pero en general, su contraseña inicial no es muy segura porque usa palabras que se pueden encontrar en un diccionario. Y, la duplicación es solo un patrón repetitivo que un algoritmo de craqueo también puede hacer fácilmente. Entonces, no solo duplique su contraseña, asegúrese de que lo que doble no sean palabras reales.

agregar longitud a una contraseña aumenta sustancialmente la seguridad de una contraseña, así que creo que escribir la contraseña dos veces o duplicar cada carácter es mejor que no hacerlo y usar una contraseña más corta de 8 o 9 caracteres. Consulte este enlace para obtener más información sobre cómo el aumento de la longitud de la contraseña mejora significativamente su seguridad: enlace

La longitud de la contraseña siempre es un factor clave en la seguridad de la contraseña, pero también intente mejorar el contenido, ya que la duplicación de la contraseña puede ayudar contra la práctica con ataques de HYDRA / Dictionary

@SethWhite - cree que has dado la respuesta más precisa.

Muchos usuarios no entienden las vías y los métodos utilizados para romper una contraseña. También existen medidas de seguridad adicionales, como el bloqueo de puertos para personas desconocidas en http / ftp. Alguien mejor versado debería explicar.

Seth muestra que existen al menos cuatro vías diferentes para romper una contraseña de la manera más difícil. La forma más sencilla es Phish, mirar debajo del teclado, notas adhesivas en el monitor para papel, etc.

Las contraseñas son solo una parte de lo que protege tus datos contra ataques. Su contraseña (frase clave) se utiliza para generar una secuencia binaria larga y aleatoria (código de máquina) que solo puede decodificarse con su contraseña y el algoritmo de software que lo codificó. Por lo tanto, cualquiera que intente adivinar esta secuencia binaria (HASH) en los datos base (sin usar el software de decodificación que usa la página de inicio de sesión) tendrá que intentar comenzar aleatoriamente con el primer byte hasta que adivine todos los bytes al azar. Esto es lo que Seth muestra como fuerza bruta y necesita mucho tiempo y muchos núcleos para longitudes HASH de 64,128,256,512 bytes. El tiempo para hackear sube exponencialmente con la longitud. La longitud de HASH se basa en el tamaño de la contraseña, por lo que una contraseña más larga es más larga.

Creo que a Wikileaks le tomó muchos meses romper el código, pero la mayoría de HASH se puede romper. Creo que los hacks del centro de servicios de datos fueron ataques de diccionario donde el pirata informático utilizó el software de descodificación de inicio de sesión para adivinar las contraseñas. Por lo tanto, los ataques de diccionario generalmente tienen algún tipo de acceso al sistema en el que se encuentran sus datos, no solo los datos.

Por ejemplo, entiendo que el ataque en línea acelerado se elimina a través de una conexión http, posiblemente respaldada por una cookie pirateada (un pequeño programa generalmente útil instalado por servidores web) para "Diccionario atacar su sistema".

Conclusión: las contraseñas aleatorias largas (los recuentos de "PPwwddTThhiinngg") ayudan mucho a detener ambos tipos de ataques. La longitud y complejidad de la contraseña deben reflejar el peligro de los ataques de diccionario y la sensibilidad a la información almacenada.

P.S. Mi familia me odia porque nuestra red inalámbrica doméstica está protegida por una frase clave aleatoria de 128 bytes.