¿Agregar una parte no entrópica a una contraseña lo hace menos seguro?

Question

¿Agregar una parte no entrópica a una contraseña lo hace menos seguro?

#1 de Thomas Pornin (6 votos)
#2 de Mark C. Wallace (0 votos)

5

Supongamos que estoy cifrando un archivo a través de AES con una contraseña de mi elección, o creando un volumen de TrueCrypt con una contraseña y sin archivos de claves. ¿Cuál de las siguientes dos contraseñas sería más segura?

nf890y9jqb

nf890y9jqb123456

El primero tiene un conjunto de caracteres elegidos al azar, mientras que el segundo tiene los mismos caracteres pero con un conjunto adicional de caracteres no entrópicos agregados al final. ¿La longitud adicional lo hace más seguro, o la parte no entrópica realmente hace que el archivo sea más fácil de descifrar, lo que reduce la seguridad?

passwords encryption entropy truecrypt

pregunta user29177 06.08.2013 - 19:46

fuente

2 respuestas

Lea otras preguntas en las etiquetas passwords encryption entropy truecrypt

Determinar la potencia de HMAC truncada Servir datos desde una base de datos cifrada a través de una conexión cifrada

score 6 · Answer 1

No , más no es más fuerte .

Lo que hace que una contraseña sea segura es su entropía : cuán desconocida es la contraseña para el atacante. Agregar un sufijo "no entrópico" a la contraseña no se agrega a la entropía (por definición), por lo que no aumenta la dureza de la tarea para el atacante. Sin embargo, sí aumenta la dureza para el usuario normal, ya que eso significa más teclas para escribir.

Agregar un sufijo o prefijo conocido tampoco reduce la seguridad de , excepto en el efecto indirecto de alentar al usuario a elegir una contraseña menos entrópica para facilitar su trabajo. A menos que el procesamiento de la contraseña haga algo estúpido, por supuesto. Por ejemplo, supongamos que las contraseñas se truncan a sus primeros ocho caracteres (típico de un antiguo Unix crypt() ) y que agregue un prefijo fijo de 6 letras a su contraseña, convirtiendo " o7843vD! " en " 123456o7 ": en ese caso, el prefijo hace que el ataque sea mucho más fácil.

score 0 · Answer 2

La longitud complica los ataques de fuerza bruta; una contraseña más larga es más fuerte. Las contraseñas de alta entropía son más fuertes que las contraseñas de baja entropía.

Incluso si el ataque se basa en tablas de arco iris, las tablas de arco iris para contraseñas cortas son más baratas de calcular, almacenar y administrar.

Si el atacante está robando la contraseña de otra fuente de texto simple, entonces la longitud y la complejidad carecen de significado; Si el atacante está intentando cualquier forma de ataque de fuerza bruta, entonces la complejidad del ataque está relacionada con la entropía y la longitud.

El valor relativo de un incremento en la complejidad frente a un incremento en la longitud sería interesante, pero probablemente esté relacionado con aspectos específicos de la técnica de ataque. Por ejemplo, si extiende la longitud agregando un dígito a una contraseña (XXX vs XXX1), el incremento es insignificante, porque la mayoría de los crackers de contraseñas probarán automáticamente cada contraseña con cada dígito adjunto, y el tiempo para hacer 10 pruebas adicionales es imperceptible. .