☰

特定のコンピュータがパスワードを推測するのにかかる時間をどのように見積もることができますか?

tag-icon • tag-icon security passwords brute-force
特定のコンピュータがパスワードを推測するのにかかる時間をどのように見積もることができますか?

サイバーセキュリティとその悪用がますます重要になってくるにつれ、次のようなウェブサイトが注目を集めています。https://howsecureismypassword.net/非常に興味深いです。ユーザーがパスワードを入力すると、デスクトップ PC がそのパスワードを正確に推測するのにかかる推定時間が提供されます。この時間は、頻度、文字の多様性、単純さなど、いくつかの変数に基づいていると理解しています。

そのような時間を見積もるためのプロセスを詳しく説明している情報源（講義、本、スピーチなど）を見つけることに非常に興味があります。

その他の役立つアイデアとしては、理論的なパスワード推測時間を私 (および私のコンピュータ) が計算できる何らかの式またはアルゴリズムがあります。

私の質問をご覧になっている方で、ハードウェアに関する十分な知識をお持ちの方は、推定値は基本的にプロセッサの周波数に基づいているのでしょうか? 前述の Web サイトではデスクトップ PC を基準に計算を行っているため、CPU と関係があると考えられます。

したがって、価値のある情報源、公式、またはアルゴリズムをお持ちの方は、ぜひ共有してください。それが現在の質問に関連している場合は、私は反対票を投じません。

答え1

「特定の既知のハードウェアを持つ攻撃者が、既知のハッシュ アルゴリズムを使用してパスワードを推測するのにかかる時間を推定できますか?」という質問に対する答えは、「できません」です。

これはハードウェアが単に最大速度を提供しているだけだからです。oclハッシュキャットいくつかのベンチマーク用。

しかし、ソフトウェアも進歩しており、これは重要かつ予測不可能なことです。

さらに重要なのは、パスワードがどのように作成されるかと攻撃者がそれを攻撃する方法の組み合わせに完全に依存するということです。

  • 暗号的にランダムな長いパスワードを使用するユーザーはほとんどいません。このパスワードは、網羅的なキー空間検索、つまりマスク攻撃またはブルートフォース攻撃。

  • ほとんどのユーザーは、非常に脆弱なパスワードを使用しています。ハイブリッド、ルールベースの辞書、順列、またはその他の攻撃

  • そして、それほど悪くはないが暗号的にランダムではないものは、マルコフ攻撃や高度な攻撃を考えると、ブルートフォース攻撃よりも短時間で脆弱である。ルールベースの辞書またはマスク攻撃

  • XKCDファンにはコンビネータ攻撃は言葉の選択に大きく左右されますが、ほとんどの人間はそれが本当に苦手です。

    • つまり、攻撃者はすべての英語の単語を使用しているわけではなく、上位 5,000 語を使用しているか、上位 5,000 語のうち 3 つと上位 20,000 語のうち 1 つを使用しているか、上位 5,000 語のうち 2 つと上位 5,000 語のうち 1 つの動詞を使用している、などです。

    • 有名な引用や名言の辞書もあります。

      • ルールベースの攻撃の一環として。

  • または指紋攻撃いくつかの使用パターンではうまく機能します。

また、これらの「パスワードの強度」サイトでは、パスワード クラッキング (途方もなく並列化可能な操作) では健在であるムーアの法則のいかなるバリエーションもほとんど考慮されていないことにも注意してください。したがって、彼らが 1000 年と言うとき、それは、同じ価格のハードウェアで、15 年ほどで、愚かで盲目で馬鹿げた純粋なブルート フォースによる徹底的なキースペース検索だけを行うことを意味しています。

試してみてください。これらはすべて、ひどく価値のない無意味なパスワードです。

  • パスワード

    • 「即座に」 - パスワードが間違っていると言われたら、これは悪いです。

  • パスワード

    • 「即座に」 - パスワードが間違っていると言われたら、これは悪いです。

  • パスワード123

    • 「412年」 - 本当ですか?

  • ぱ@$$w0rd123

    • 「4000年」 - そうだね... リート語のほとんどすべての形態は単なる別のルールセットだ

  • ジェニファー2007

    • 「25000年」って、冗談でしょ？恋人や娘の名前と、結婚した年、出会った年、生まれた年を足して？

  • B@$3b@111

    • 「275日」...それはリート語のbaseball1で、私たちはそれをカバーしました。

  • くまのプーさんくまのプーさん

    • 「3 十兆年」 - これは、デフォルトの (哀れな) JtR password.lst ファイルに対する John the Ripper のデフォルトのジャンボ ルールからそのまま引用したものです。

  • Ncc1701Ncc1701

    • 「9800 万年」 - 冗談ですよね? 繰り返しますが、これはデフォルトの (哀れな) JtR password.lst ファイルに対する John the Ripper のデフォルトのジャンボ ルールからそのまま引用したものです。

  • a1b2c3123456

    • 「37 年」 - これは、デフォルトの (哀れな) JtR password.lst ファイルに対する John the Ripper のデフォルトのジャンボ ルールからそのまま引用したものです。

  • サンダーバード

    • 「59 年」 - これは、デフォルトの (哀れな) JtR password.lst ファイルに対する John the Ripper のデフォルトのジャンボ ルールからそのまま引用したものです。

私の回答もご覧ください明らかに弱いパスワードを拒否すべきでしょうか?security.stackexchange.com では、強度メーターやクラッキング時間もカバーされています。

答え2

ぜひ試してみてくださいhttps://security.stackexchange.com/、彼らはおそらくあなたを助けるのにより適しているでしょう。

しかし、私が見る限り、パスワードがリストにない場合や単純なアルゴリズムの場合、組み合わせ/計算の数+ 1秒あたりでありx0=1;x1=X0+1;xn=x(n-1)+1.、英語以外の文字を使用する場合は追加の時間要因があるようです。

関連情報