Las políticas de contraseña tienen ciertos requisitos para crear una contraseña en un servicio.
Mi pregunta es: ¿las políticas de contraseña hacen que las contraseñas sean más débiles y, por lo tanto, contraproducentes?
Pongamos un ejemplo:
Estaré usando letras para representar conjuntos de caracteres:
L = abcdefghijklmnopqrstuvwxyz
U = ABCDEFGHIJKLMNOPQRSTUVWXYZ
D = 0123456789
S = «space»!"#$%&'()*+,-./:;<=>?@[\]^_'{|}~
A = L and U and D and S combined
Ok, entonces una política de contraseña dice que el mínimo es de 8 caracteres. Ahora, al usar esta información, Bruteforcer limita los intentos de duración > = 8, lo que reduce enormemente el espacio de ataque.
Otra política común es que las contraseñas deben tener al menos una letra mayúscula, un número y un símbolo.
Suponiendo que la contraseña tiene 8 caracteres, en lugar de que la contraseña sea 8 Como, ahora sabemos que la contraseña es 5 Como, 1 D, 1 U y 1 S. Ahora, en lugar de (A ^ 8), es (A ^ 5xDxUxS) posibles combinaciones.
Si la política solicita una letra minúscula, reducimos aún más el espacio de ataque.
Si las políticas de contraseña reducen significativamente el espacio de ataque, ¿cuál es el propósito de implementar una política que se extienda más allá de un requisito de longitud mínima? ¿No sería más seguro implementar una política simple como una longitud mínima de 10 o algo así?
Al agregar los juegos de caracteres requeridos, como dígitos y símbolos, brindamos a los hackers más información sobre el contenido de las contraseñas.