Ce qui suit ne rend pas vraiment justice, mais en résumé ...

Dans un monde idéal non, des mots de passe compliqués ne devraient pas être nécessaires pour les ressources en ligne.

, dans ce monde idéal, nous dépendons des administrateurs du système pour renforcer les systèmes afin d'empêcher tout accès non autorisé au 'fichier de mots de passe', ce qui suit minimisera le risque:

• Configurer l'infrastructure en toute sécurité;
• Appliquez rapidement les correctifs;
• Ayez une forme de surveillance pour identifier un compromis en cas de scénario d'exploit zero-day (afin que les utilisateurs puissent être «dit» de changer leurs mots de passe );
• Avoir et suivre des méthodologies de programmation / développement «sécurisées»;
• N'employez que des personnes de confiance.

La combinaison complète de ces éléments est peu probable pour de nombreux sites.

Les faiblesses de la liste ci-dessus peuvent entraîner des exploits qui permettent de contourner complètement les mots de passe, mais quelle que soit la nature d'un exploit réussi, il y a fort à parier que , après avoir gagné accès non autorisé à un système, les attaquants tenteront d'exfiltrer le fichier de mots de passe et le forceront par la suite pour aider à compromettre d'autres systèmes (en exploitant le recyclage des mots de passe).

Donc, même s'il n'y a aucune garantie qu'un fort (euh ) mot de passe empêchera toutes les mauvaises choses, il peut aider à atténuer les faiblesses des solutions des fournisseurs (qu'elles soient connues ou non).

Pour éviter tout doute, nous dépendons également du fournisseur de services pour faire ce qui suit :

• Appliquer le hachage et le salage aux mots de passe;
• Assurez-vous que le mot de passe n'est jamais échangé en texte clair.

Je suppose que pour la plupart des utilisateurs finaux, la décision concernant la complexité et la longueur du mot de passe dépendra des informations auxquelles le site (et donc le mot de passe) donne accès.

Ma recommandation est la suivante: si c'est quelque chose d'important, utilisez un mot de passe complexe afin qu'en cas de compromission du système, les mots de passe d'autres personnes soient susceptibles d'être découverts en premier. Mais si c'est quelque chose de trivial et de commodité est plus important, prenez une chance sur un mot de passe plus faible, mais acceptez qu'un piratage puisse entraîner la perte d'accès au compte et / ou la divulgation d'informations à partir du compte.

Pour de nombreux propriétaires de sites, je soupçonne que la décision d'exiger des mots de passe complexes est une combinaison de FUD et du désir de minimiser l'impact d'une défaillance critique des contrôles en augmentant la durée des mots de passe par force brute, donnant ainsi plus de temps pour rectifier et minimiser l'utilisateur réel compromission de compte (même si un attaquant a accès aux hachages de mot de passe, il a probablement un accès système suffisant pour compromettre le système d'une autre manière de toute façon).

La recommandation de mot de passe long est de protéger les mots de passe contre le piratage si quelqu'un a accès au hachage de ce mot de passe.

Des outils comme hashcat peuvent facilement (en utilisant gpu) tester les hachages 93800M c / s md5

En tant qu'utilisateur, vous ne savez généralement pas comment le site stocke votre mot de passe, il est donc préférable d'utiliser un mot de passe long pour atténuer ces attaques.

Choisir de bons mots de passe est difficile. Les humains et notre penchant pour les modèles ne sont tout simplement pas très bons dans ce domaine. Multipliez cela par les dizaines de comptes que nous accumulons au fil du temps, et c'est la racine du problème.

Donc oui, éliminer les mauvais mots de passe et la réutilisation des mots de passe peut résoudre le problème de la création de cibles souples, mais cela ne résout pas le problème fondamental de la maintenance de tous ces comptes et mots de passe, ce qui conduit au mauvais les mots de passe et la réutilisation des mots de passe en premier lieu. Donc, il est bon de dire «suivez simplement de bonnes politiques de sécurité par mot de passe» et vous serez en sécurité, mais sans aborder le problème de la gestion des comptes, vous n'avez rien résolu.

Alors, quelle est la réponse? Utilisez un gestionnaire de mots de passe. Cela résout le problème. Lorsque vous déchargez le problème de création et de gestion de mot de passe vers un outil spécialement conçu à cet effet, vous obtenez des mots de passe forts par défaut et vous n'avez plus jamais besoin de réutiliser un mot de passe. Ce n'est pas une solution parfaite (rien ne l'est) mais c'est la meilleure que nous ayons pour le moment et rend les questions de complexité et de longueur du mot de passe sans objet, car lorsque vous n'êtes pas celui qui doit créer et mémoriser le mot de passe, vous ne vous souciez plus combien il est complexe et long, seulement qu'il est généré avec suffisamment d'entropie pour le rendre fort, et un gestionnaire de mots de passe vous le donne.

Les seules hypothèses saines pour les développeurs Web utilisant l'authentification par mot de passe local sont:

1. que leurs utilisateurs vont utiliser le même mot de passe pour tout ;

2. que le site a déjà été compromis, même s'ils n'ont pas encore fini de l'écrire; et

3. il y aura une responsabilité juridique très coûteuse liée aux conséquences de ce compromis.

(Veuillez noter que Je n'implique pas, et je ne suggère pas non plus, que tous - ou même tous - les développeurs Web sont sains d'esprit ou en savent suffisamment sur ce qu'ils font pour se rendre compte que ce qu'ils font serait insensé s'ils savaient ce qu'ils faisaient. Les hachages simples, qu'ils soient simples ou salés, sont suffisamment proches du texte brut pour ne rien faire de nos jours, et pourtant on trouve toujours du texte brut, des MD5 non salés, etc. sur le Web dans des soi-disant «didacticiels» que les gens copient et collent en production sur des serveurs partout.)

Ces hypothèses signifient que même si j'exécute un site avec une application extrêmement locale dédiée à permettre aux gens de lister des recommandations pour des friandises pour hamsters biologiques, fermières et cultivées localement, je dois traiter votre mot de passe comme si c'étaient vos comptes PayPal, eBay et e-mail tous combinés (car il y a de bonnes chances que ce soit effectivement le cas). Et cela signifie que pour protéger mon propre derrière plutôt précieux, je dois prendre au moins quelques mesures minimales pour protéger votre précieux derrière, que cela vous plaise ou non. Idéalement, cela signifie faire de votre mot de passe quelque chose qui ne peut pas être forcé de manière triviale (en utilisant un sel crypto-aléatoire et une fonction de dérivation de clé coûteuse) et mettre une limite inférieure absolue sur le nombre de caractères (idéalement sans limite supérieure, dans des limites raisonnables ), tout en vous permettant d'utiliser quelque chose dont vous vous souviendrez facilement (rien de tout cela "ne doit utiliser au moins un caractère accentué, un emoji et un hiragana" absurde). En d'autres termes, vous permettre d'utiliser un mot de passe très court expose mes fesses personnelles à des dangers injustifiés, alors ne vous attendez pas à ce que je le permette. Et c'est si mon site ne garde aucun secret sauf votre mot de passe. S'il y a des données personnelles qui vous sont associées et dont je suis responsable, attendez-vous à ma paranoïa sur votre nom pour augmenter considérablement.

Il y a des problèmes avec certaines de vos hypothèses.

309 millions est un nombre ridiculement petit s'il y a une attaque hors ligne. Et lors d'une attaque hors ligne, même avec un bon sel, l'attaquant s'attaquera d'abord au fruit à portée de main. C'est à dire. trouvez les mots de passe qui se trouvent dans le dictionnaire, puis les mots de passe courts, puis d'autres mots de passe simples. L'importance de ce problème est cependant discutable - il est fort probable qu'un attaquant ayant accès à la base de données de mots de passe ait également accès à tout ce qu'il recherche. - Cela suppose qu'aucune réutilisation de mot de passe n'a lieu.

309 millions, comme vous le constatez, représentent un espace de recherche trop important pour être utilisé par force brute lors d'une attaque en ligne. Cependant, vos hypothèses qui conduisent à ce nombre sont douteuses. En tant qu'espèce, nous sommes notoirement pauvres pour deux tâches pertinentes; venir avec des séquences vraiment aléatoires et des séquences aléatoires rappelant. Cela signifie que votre entropie est nettement inférieure si vous avez sélectionné un mot de passe à 6 caractères. Cela peut être évité si vous utilisez un gestionnaire de mots de passe ou un utilitaire similaire, mais dans ce cas, vous pouvez également opter pour un mot de passe plus long pour vous protéger contre les attaques hors ligne.

En conclusion; obtenir une bonne entropie dans votre mot de passe dépend du caractère d'entropie pr et de la longueur de votre mot de passe. - Si vous avez une bonne entropie par caractère, vous pouvez accepter un mot de passe plus court. Cependant, cette approche est mal adaptée à la plupart des humains, car nous nous souvenons mieux des chaînes plus longues avec une entropie plus faible par caractère que des chaînes plus courtes avec une entropie élevée par caractère. Nous sommes également capables de générer des chaînes aléatoires, et le conseil que vous citez s'adresse aux personnes qui n'utilisent pas de gestionnaires de mots de passe pour générer des mots de passe.

Utiliser un mot de passe complexe pour un seul site sécurisé équivaut à utiliser une serrure spéciale sur la porte de votre appartement, ce qui rend l'ouverture de la porte plus longue et vous protège mieux de 1% de tous les cambrioleurs

La plupart des réponses traitent de toutes sortes de scénarios d'attaque, qui pourraient compromettre votre mot de passe, mais pour décider si un mot de passe plus petit (6 caractères) est suffisant si vous ne l'utilisez que sur un seul site avec une bonne sécurité raisonnable, nous n'avons qu'à comparez un seul chiffre:

Combien d'attaques fonctionnent beaucoup mieux sur un mot de passe faible que sur un mot de passe fort?

Si la protection en ligne par force brute est suffisamment forte (une prémisse dans la question ) le seul scénario d'attaque pertinent est le forçage brutal hors ligne. Dans tous les autres scénarios d'attaque (lecture de mot de passe en clair, vol de session, ingénierie sociale, phishing, falsification de l'utilisateur), la complexité du mot de passe ne joue aucun rôle (s'il ne s'agit pas d'un mot de passe standard)

Alors, comment beaucoup de% des attaques sur votre compte ou sur gmail utiliseront probablement un forçage brutal hors ligne possible de votre mot de passe? Probablement presque aucun. Le forçage brutal ne fonctionnera qu'avec une version hachée ou chiffrée de votre mot de passe. Partout ailleurs, votre mot de passe est en texte clair (donc la complexité n'est pas pertinente) ou pas du tout pertinent (par exemple, identifiant de session, accès direct d'un initié au serveur de stockage de courrier)

Les seules instances où votre mot de passe est chiffré ou haché sont 1. hachage salé dans la base de données et 2. transfert de votre mot de passe via HTTPS

1. Hash salé dans la base de données Si le pirate a eu accès à la base de données où tous les utilisateurs- les mots de passe sont stockés (probablement l'un des meilleurs points sécurisés de l'infrastructure) mais n'ont pas pu accéder à d'autres services (comme un identifiant de session actif ou un accès direct au compte) Puis une attaque hors ligne contre votre hachage salé avec une attaque par force brute utiliserait rapidement votre mot de passe.

2. Transfert HTTP Très improbable car l'attaquant devra forcer brutalement votre flux HTTPS pour isoler votre mot de passe, donc la longueur du mot de passe n'a probablement pas beaucoup d'importance.

Donc, le seul scénario dans ce qu'un mot de passe long vous protège réellement est si quelqu'un accède au stockage de données (probablement) le plus sécurisé de l'infrastructure sans que personne ne s'en aperçoive - et sans accès suffisant pour accéder plus facilement à votre compte. Je dirais que ce scénario est vraiment improbable, car dans le grand nombre de vulnérabilités et d'attaques contre votre compte, ce n'est qu'un type d'attaque improbable.

Ma réponse est simplement oui. Vous ne pouvez pas supposer que les sites utilisent des méthodes de hachage salées. Par exemple, MD5 est toujours utilisé dans la nature et les gens pensent que c'est parfaitement acceptable.

Mais avec un mécanisme de hachage fortement salé, il n'y a tout simplement aucun moyen que quelqu'un puisse accéder au mot de passe réel, même s'il l'est une passe de char faible. Surtout si votre serveur est correctement sécurisé et que votre API prend les précautions nécessaires pour les attaques par force brute.

Bien qu'il soit plus sûr de créer des mots de passe compliqués, je recommande toujours de les rendre faciles en même temps, et d'avoir également une unicité par site Web. La seule façon dont ce serait une vulnérabilité est si vous tombez dans une escroquerie par hameçonnage, c'est pourquoi il est important d'avoir plusieurs façons de récupérer votre adresse e-mail, car votre e-mail est votre moyen de récupérer d'autres comptes.

Voici les règles que j'utilise personnellement:

• Au moins 8 ou 10 caractères, de préférence 12 ou plus
• Utilisez quelque chose qui signifie quelque chose pour vous
• Les abréviations ou l'utilisation d'un nombre au lieu d'une lettre peuvent être faciles mais efficaces
• Si vous le souhaitez, vous pouvez utiliser un préfixe ou un suffixe pour garder les mots de passe uniques

Donc pour exemple: ThisIsMyPassword14si

Utilise: des lettres majuscules, des chiffres et le suffixe de si pour l'échange de pile, et a un an de quelque chose qui signifie quelque chose personnellement. Ce type de mot de passe apparaît généralement toujours comme un mot de passe fort.

Il existe également d'autres services qui vous permettent de vous connecter à l'aide d'un autre service basé sur des jetons. Je pense que c'est une excellente idée, car vous pouvez vous déconnecter chaque fois que vous souhaitez supprimer un accès, et vous n'avez pas besoin d'un mot de passe pour chaque service (en supposant que les développeurs ont conçu le processus correctement) .HOWEVER, vous devez être plus faites attention au mot de passe de ce service et disposez de plusieurs options de récupération au cas où vous le perdriez pour une raison quelconque.

Je pense que google va dans la bonne direction ici, en ayant plusieurs options de récupération et 2- authentification factorielle. Le problème est que presque tout peut être usurpé si vous ne faites pas attention à la page qui demande vos informations.

Nous espérons qu'à l'avenir, il y aura un appareil sur vous, comme un téléphone mobile, qui pourra servir d'habilitation de sécurité pour les services Web. Les applications sont contrôlées par le distributeur, donc avoir une application par plate-forme pour obtenir la demande d'accès et demander votre permission sera le bon moyen de la gérer à l'avenir, nous n'avons donc pas à nous soucier de ce mot de passe individuel pour tout ce qui n'a aucun sens.

... un jour ...

N'oublions pas que quelqu'un n'a pas besoin de forcer brutalement une cible. Ils peuvent essayer le même mot de passe avec de nombreuses cibles, rendant vulnérables les utilisateurs avec les mots de passe les plus courants.

Vous avez oublié l'attaque physique locale! Un mot de passe long et complexe rend le repérage des épaules beaucoup moins susceptible de réussir. Même si quelqu'un regarde mon clavier, il n'obtiendra pas mes mots de passe à moins qu'il ne soit Rainman. (Ne peut pas commenter)

Lors de l'utilisation d'un système d'authentification fiable à deux facteurs, il est raisonnable d'utiliser un mot de passe moins sécurisé. Il est toujours préférable d'utiliser un mot de passe difficile généré par un générateur de mots de passe utilisant des majuscules et des minuscules, des chiffres et des symboles.

Mais ceux qui ne déploieront pas un mot de passe aussi sécurisé; dans le cas d'un service qui offre une authentification à deux facteurs, ces personnes peuvent se sentir raisonnablement en sécurité.

Vous ne pouvez pas sécuriser votre mot de passe en utilisant une combinaison à grande échelle.Pour cela, vous devez crypter votre mot de passe.Certains algorithmes de cryptage courants sont md5, SHA-1, SHA-256 stc, mais ce n'est toujours pas sécurisé à 100%. L'attaquant peut déchiffrer votre mot de passe en utilisant des outils comme hash cat avec un GPU élevé comme mentionné ci-dessus.

Donc, en un mot, aucun algo n'est sécurisé à 100%, mais vous pouvez générer un mécanisme de mot de passe fort en utilisant des sels avec la cryptographie existante algos.Voici quelques algorithmes de cryptage célèbres.

http://en.wikipedia.org/wiki/Comparison_of_cryptographic_hash_functions