¿Cuántas combinaciones permite una política de contraseña específica?

Su acompañante tiene razón en que la política menos restrictiva tiene una entropía potencial más alta, ya que puede codificar una mayor cantidad de información . Dicho esto, la entropía de un conjunto de datos depende de la distribución de probabilidad de cada dato que aparece en el conjunto de datos. Por lo tanto, la calidad de una política de contraseña no debe medirse en términos de cuánta información se puede codificar , sino en términos de lo que impide que diferentes usuarios usen contraseñas similares.

Simplemente lanzar números obligatorios hace muy poco para ese propósito, y un sitio que asigna aleatoriamente contraseñas de 7 caracteres compuestas de números, símbolos y letras probablemente logrará una mayor entropía general. Es imposible dar una respuesta autorizada en cuanto a si hay una diferencia significativa de calidad entre las dos políticas propuestas porque:

• ambos requieren mayores cantidades de memoria de usuario de la que requieren la mayoría de las contraseñas observadas en el mundo real, lo que significa que es probable que ninguna de ellas tenga una cantidad significativamente mayor de reutilización de contraseña débil
• ninguno de estos modelos es lo suficientemente común como para que un conjunto de datos de contraseñas público / filtrado esté disponible para razonar sobre las distribuciones de probabilidad
• no hay un modelo generativo de opciones de contraseña humana que pueda explicar cómo los humanos reales crearían contraseñas en estos sitios¹

  

¹ algunos podrían decir que tienen un modelo de este tipo, dada la superficialidad   de investigación de vanguardia sobre opciones de contraseña humana, esto es muy   improbable. La última investigación solo aborda comportamientos con respecto a   una credencial única, con poblaciones que son irreales   motivado en autenticar a los servicios estudiados (debido a cómo   se construyen experimentos de comportamiento de contraseña). La investigación actual es   también fuertemente sesgada culturalmente hacia individuos de EE. UU. / Reino Unido como   demostrado por Li et al.   2014 .   Hasta que se aborden estas limitaciones y se muestren datos mucho más   recogido

Si desea comprender cómo estimar la fortaleza de una contraseña individual, el método actual que se aplicará sería implementar Métricas de seguridad de la contraseña de Bonneau .

Esto ha tenido algunos buenos indicadores para la seguridad de la contraseña, por lo que la pregunta del OP probablemente no sea importante. Creo que dexgecko lo tenía bien, pero era difícil de leer. Así que para responder las preguntas de la manera más sencilla posible:

Let X = { ten character passwords }
Let A = { ten character passwords with no letters }
Let B = { ten character passwords with no numbers }
Let C = { ten character passwords with no special characters }

(Estoy usando + para establecer uniones y * para establecer intersecciones.)

La primera política prohíbe A + B + C, por lo que el tamaño de la primera política es

| X \ (A + B + C) | = | X | - | A + B + C |

Ahora | X | Es algo trivial, como se señala. El tamaño de una unión puede ser calculado por Principio de inclusión / exclusión

| A + B + C | = |A| + |B| + |C| - (|A * B| + |B * C| + |A * C|) + (|A * B * C|)

En realidad son bastante fáciles de contar. El tamaño de A es el de las contraseñas sin letras, es decir, solo números y caracteres especiales. El tamaño de B y C es similar. El tamaño de A * B es el de las contraseñas sin letras ni números, es decir, solo caracteres especiales. El tamaño de A * B * C es el de las contraseñas sin símbolos, es decir, vacías.

Por lo tanto, el tamaño de las contraseñas prohibidas es

(10 + 33) ^ 10 + (52 + 33) ^ 10 + (52 + 10) ^ 10 - (33 ^ 10 + 52 ^ 10 + 10 ^ 10)

que es lo que propuso a dexgecko.

Entonces, tal vez lo sorprendente es que si tiene un administrador de contraseñas que garantiza que todos los elementos de ese espacio de 10 caracteres es igual de probable, hay una posibilidad entre tres de que tendrá que descartar lo primero que elija.

Argumentaría que hemos pasado el tiempo de las contraseñas generadas por el hombre. :-(

Por lo tanto, intentaré responder cuántas combinaciones existen realmente para cada política. Por favor, publique un comentario si cree que la lógica es errónea.

Primero observamos el número de caracteres disponibles cuando se incluyen cada uno de los números (N), letras (L) y especiales (S).

• N - 10
• L - 52
• S - 33
• LS - 85
• NS - 43

• NL - 62

• NLS - 95

EDITAR:

Para la primera política, eliminamos del total las combinaciones para cada conjunto de caracteres individuales y los conjuntos emparejados (que tienen las combinaciones individuales eliminadas de sí mismas).

Política 1

= NLS - N - L - S - (LS - L - S) - (NS - N - S) - (NL - N - L)

= 95 ^ x - 85 ^ x - 43 ^ x - 62 ^ x + 10 ^ x + 52 ^ x + 33 ^ x

Política 2

= NLS

= 95 ^ x

Con 10 caracteres, la Política 1 está aproximadamente en 65.92% de la Política 2. A 20 caracteres, la Política 1 está alrededor de 89.17% de la Política 2.

Créditos: Desmos

  

Mi compañero argumentaba que esta política es más débil que una que requiere al menos 10 caracteres.

Una política de contraseñas está diseñada para evitar contraseñas "débiles" (más sobre lo que realmente significa más abajo) , por lo tanto, debe juzgarse por la contraseña más débil que se puede crear debajo de ella, no por el número de contraseñas que posiblemente puedan codificarse con él.

2^(log2(10) * 8 + log2(52) + log2(30)) = 156,000,000,000 permutations.

2^(log2(10) * 10) = 10,000,000,000 possible combinations from this entropy pool.

     156,000,000,000 vs
      10,000,000,000 vs

156,000,000,000 * 10 * 9 = 14,040,000,000,000

52^8 * 10 * 30 * 10 * 9 = 1,443,412,670,349,312,000
92^10 = 43,438,845,422,363,213,824

 1,443,412,670,349,312,000 vs
43,438,845,422,363,213,824