La guerra santa

Penso che scoprirai che il modo corretto di generare password potrebbe iniziare una guerra santa in cui ogni gruppo pensa che l'altro stia commettendo errori matematici molto semplici o non capisca il punto. Se metti 10 professionisti della sicurezza informatica in una stanza e chiedi loro come inventare password valide, otterrai 11 risposte diverse.

L'incomprensione

Uno dei tanti motivi nessun consiglio coerente sulle password è tutto si riduce a una questione di modellazione delle minacce . Da cosa stai cercando di difenderti esattamente?

Ad esempio: stai cercando di proteggerti da un utente malintenzionato che ti sta prendendo di mira in modo specifico e conosce il tuo sistema per generare password? O sei solo uno dei milioni di utenti in un database trapelato? Stai difendendo dal cracking delle password basato su GPU o solo da un server web debole? Sei su un host infettato da malware [1]?

Penso che dovresti presumere che l'aggressore conosca il tuo metodo esatto per generare password e ti stia solo prendendo di mira. [2] Il fumetto xkcd assume in entrambi gli esempi che tutti i dettagli della generazione siano noti.

La matematica

La matematica nel fumetto xkcd è corretta e non cambierà.

Per le password devo digitare e ricordare che utilizzo uno script python che genera password in stile xkcd che sono veramente casuali. Ho un dizionario di 2 ^ 11 (2048) parole inglesi comuni, facili da scrivere. Potrei dare il codice sorgente completo e una copia del mio elenco di parole a un utente malintenzionato, ci saranno ancora 2 ^ 44 possibili password.

Come dice il fumetto:

1000 ipotesi / SecPlausible attacco a un servizio web remoto debole. Sì, il crack di un hash rubato è più veloce, ma non è ciò di cui dovrebbe preoccuparsi l'utente medio.

Questo rappresenta un buon equilibrio tra facile da ricordare e difficile da decifrare.

E se provassimo più potenza?

Sicuramente 2 ^ 44 va bene, ma il cracking della GPU è veloce e diventerà sempre più veloce. Hashcat potrebbe rompere un hash debole [3] di quelle dimensioni in un certo numero di giorni, non anni. Inoltre, ho centinaia di password da ricordare. Anche lo stile xkcd diventa difficile dopo un po '.

È qui che entrano in gioco i gestori di password, mi piace KeePass ma ce ne sono molti altri che sono sostanzialmente gli stessi. Quindi puoi generare solo una passphrase xkcd più lunga che puoi memorizzare (diciamo 10 parole). Quindi crei una password univoca a 128 bit veramente casuale per ogni account (esadecimale o 64 base sono buoni). 128 bit saranno abbastanza potenti per molto tempo. Se vuoi essere paranoico, ingrandisci, non è un lavoro extra generare password esadecimali a 256 bit.

[1] È qui che entra in gioco la memoria, se sei acceso un host compromesso che hai perso. Non importa se lo digiti o utilizzi un programma come KeePass per copiarlo e incollarlo se un utente malintenzionato può registrare / leggere la memoria.

[2] Piuttosto che il più debole (ma più probabile) supponendo che l'attaccante abbia appena torrentato un dizionario chiamato "Top Passw0rdz 4realz 111!".

[3] Certo dovremmo usare tutti PBKDF2, ecc ... ma molti siti sono ancora su SHA1. (e sono quelli buoni)

Schneier scrive questo:

Questo è il motivo per cui lo schema XKCD spesso citato per la generazione delle password - mettere insieme parole singole come "correcthorsebatterystaple" - non è più un buon consiglio. I cracker di password stanno facendo questo trucco.

ma la chiave per capire cosa sta veramente cercando è un po 'più avanti nel suo saggio:

C'è ancora uno schema che funziona. Nel 2008, ho descritto lo "schema Schneier"

quindi è tutto. Ole 'Bruce vuole affermare che il suo schema è l'Unico e Solo, il migliore, il vincitore, lo schema definitivo. Pertanto, deve dire cose denigratorie sui "concorrenti", indipendentemente dal fatto che tali affermazioni siano scientificamente fondate o meno.

In questo caso, si è sempre stato assunto che il Il metodo di generazione della password è noto all'autore dell'attacco. Questo è il punto centrale dei calcoli dell'entropia; vedi l'analisi. Il fatto che gli aggressori stiano "seguendo questo trucco" non cambia nulla (quando un attaccante conosce il metodo di generazione della password, il calcolo dell'entropia descrive esattamente la forza della password; quando l'attaccante è incompetente e non conosce il metodo di generazione della password, la forza della password è solo più alta, di un importo che è quasi impossibile quantificare).

La battuta sulle "password in memoria" è solo più incoerente divagazioni. Le password vanno necessariamente nella RAM a un certo punto, sia che le digiti o le copi e incolla da una cassaforte per password o qualcosa di simile.

La mia ipotesi è che Bruce fosse ubriaco.

Aggiornamento: a Schneier è stato chiesto specificamente di commentare la sua condanna della passphrase in un AMA di Reddit che ha avuto luogo il 2 agosto 2016. Ha continuato a sostenere il suo sistema di creazione della password come alternativa superiore alla parola casuale passphrase. Schneier ha detto che il suo schema "ti dà più entropia per carattere memorizzabile rispetto ad altri metodi", il che è vero se paragonato ai personaggi che compongono le parole. Ma questo è anche irrilevante quando un sistema si basa sulla memorizzazione di parole piuttosto che di caratteri e ti è consentito combinare un numero sufficiente di parole per generare un'adeguata "entropia" per la tua passphrase nel suo insieme.

[Divulgazione: lavoro per AgileBits, i creatori di 1Password]

Uno dei motivi per cui ho sostenuto uno schema simile a XKCD (prima che fosse chiamato così) in Toward Better Master Password nel 2011 è proprio perché la sua forza non si basa sul fatto che l'aggressore sappia quale schema hai utilizzato. Se posso citare me stesso

La cosa grandiosa di Diceware è che sappiamo esattamente quanto sia sicuro anche supponendo che l'attaccante conosca il sistema utilizzato. La sicurezza deriva dalla genuina casualità del lancio dei dadi. L'uso di quattro o cinque parole dovrebbe essere sufficiente contro gli attacchi plausibili nei prossimi anni data la velocità osservata dei cracker di password [contro 1Password Master Password]

Cosa XKCD Il fumetto non comunica efficacemente è che la selezione delle parole deve essere (uniformemente) casuale . Se chiedi agli umani di scegliere parole a caso, ottieni un forte pregiudizio per i nomi concreti. Tali pregiudizi possono e saranno sfruttati.

Quanta forza vuoi

In un mondo perfetto, vorremmo che la forza della nostra password sia forte quanto le chiavi con cui stiamo proteggendo esso. Dì 128 bit. Ma nonostante queste tecniche, gli umani non ci riusciranno. Quindi guardiamo realisticamente agli attacchi e a cosa possiamo far fare ai nostri piccoli cervelli.

Con l'elenco di parole Diceware originale di 7776 voci, ottieni circa 12,9 bit per parola che usi. Quindi, se vuoi almeno 64 bit per la tua password, allora cinque parole lo faranno.

Indovinare le password è più lento che indovinare le chiavi

In questa sezione arrivo a un resoconto molto approssimativo della busta stima che per un importo costante di dollari è 2 ^ 13 volte più lento testare una password rispetto a testare una chiave AES.

Nota che testare una password è molto più lento del testare una chiave. Se vengono utilizzati i tipi corretti di schemi di hashing delle password, è possibile mantenere la maggior parte degli aggressori al di sotto di 100.000 tentativi al secondo. Quindi, anche se potremmo non voler mai usare chiavi a 50 bit, usare password a 50 bit potrebbe comunque avere senso.

Se non ci limitiamo a tirare i dadi come nello schema originale di Diceware di Arnold Reinhold dal 1995, quindi possiamo utilizzare un elenco di parole più lungo. Il generatore di password complesse in 1Password per Windows utilizza un elenco di 17679 parole inglesi comprese tra 4 e 8 lettere incluse (prive di parole tabù e parole che implicano un apostrofo o trattini). Ciò fornisce circa 14 bit per parola. Quindi quattro di questi ti danno 56 bit, cinque ti danno 70.

Ancora una volta, devi prestare attenzione alle velocità di cracking. Deep Crack nel 1997 era in grado di eseguire 92 miliardi di test DES al secondo. Supponendo che un PC specializzato di fascia alta possa eseguire un milione di tentativi al secondo contro una password con hash ragionevolmente corretto potrebbe fare 1 milione di tentativi al secondo, allora le password oggi sono circa 16 bit più difficili da decifrare rispetto alle chiavi DES nel 1997.

Quindi diamo un'occhiata a questa stima di Stack Exchange per un processore dual core a 3,8 GHz: 670 milioni di chiavi al secondo. Se dovessimo ipotizzare $ 5000 in hardware, possiamo facilmente superare i 10 miliardi di chiavi al secondo. Pertanto, a un costo hardware simile, il cracking delle chiavi è ancora 2 ^ 13 volte più veloce del cracking delle password.

Obiettivi di sicurezza delle password rivisti

Lavorando sulla mia stima che è 2 ^ 13 volte più costoso testare una password con hash corretto rispetto a testare una chiave AES, dovremmo considerare una password con hash ragionevolmente ben 13 bit più forte della sua effettiva entropia rispetto al cracking. Se vogliamo ottenere 90 bit di "forza effettiva", allora dovrebbero bastare 77 bit di forza della password. Ciò si ottiene con una password Diceware di sei parole (77,5 bit) dall'elenco originale e 84,6 bit con sei parole tratte da un elenco di 17679 parole.

Non mi aspetto che la maggior parte delle persone utilizzi password che lungo. Mi aspetto che le persone useranno cose lunghe 4 o 5 parole. ma se sei veramente preoccupato che l'NSA insegua le tue password, sei parole dovrebbero essere sufficienti supponendo che tu usi uno schema di hashing delle password decente.

Solo stime molto approssimative

Non l'ho fatto spendere molto tempo a ricercare costi e benchmark. Ci sono molte cose nelle mie stime su cui cavillare. Ho tentato di essere conservatore (pessimista sullo schema che sto sostenendo). Sono stato vago anche sulle "password ben codificate". Di nuovo, sono molto conservatore riguardo all'hashing della password in 1Password. (Per il nostro nuovo formato di dati, gli aggressori sono stati tenuti a meno di 20.000 tentativi al secondo e per il nostro vecchio formato di dati hanno raggiunto 300.000 tentativi al secondo per macchine multi-GPU. Nelle mie stime qui, ho scelto 1 milione di tentativi per secondo per una "password con un hash ragionevolmente corretto".)

Qualche altra nota storica

L'idea generale per le password "simili a XKCD" risale almeno al S / Key password una tantum dei primi anni '80. Questi utilizzavano un elenco di 2048 parole da una a quattro lettere. Una password S / Key di sei parole ti ha portato a 66 bit. Non so se questa idea di utilizzare parole selezionate a caso da un elenco per una passphrase sia precedente a S / Key.

Nel 1995 Arnold Reinhold ha proposto Diceware. Non so se all'epoca fosse a conoscenza di S / Key. Diceware è stato proposto nel contesto dello sviluppo di passphrase per PGP. È stato anche prima che la maggior parte dei computer avesse generatori di numeri casuali crittograficamente appropriati. Quindi in realtà si tratta di tirare i dadi. (Anche se mi fido dei CSPRNG sulle macchine che uso, mi piace ancora "creare una nuova password").

Nel giugno 2011, ho ravvivato l'interesse per Diceware in Toward Better Master Passwords con qualche modifica aggiuntiva. Ciò ha portato ai miei 15 minuti di fama. Dopo l'uscita del fumetto XKCD, ho prodotto una edizione geek che trattava un po 'di matematica.

Nel luglio 2011, Randall Monroe aveva ripreso schemi simili a Diceware e pubblicato il suo ora famoso fumetto. Dato che non sono l'inventore dell'idea, non mi dispiace affatto essere messo in ombra dal fumetto. Infatti, come ho detto nel mio articolo di follow-up

Ciò che mi ci sono volute quasi 2000 parole per dire in termini non tecnici, Randall Monroe è stato in grado di riassumere in un fumetto. Questo mostra solo il potere della matematica ...

Ma c'è una cosa su come il fumetto è stato interpretato che mi preoccupa. È chiaro a me e alle persone che hanno già compreso lo schema che le parole devono essere scelte attraverso un processo casuale uniforme e affidabile. Scegliere parole "a caso" dalla tua testa non è un processo uniforme e affidabile .

Lo schema delle password di XKCD è più che mai valido. La sicurezza non deriva dall'essere sconosciuto, ma dal fatto che è un buon modo per generare password memorabili da un ampio spazio di ricerca. Se selezioni le parole da usare invece di generarle casualmente, però, questo vantaggio viene perso: gli esseri umani non sono bravi a essere casuali.

La parte sulla memoria è mal definita, ma è un problema: se il malware che ruba la password arriva sul tuo computer, spazzerà via tutto ciò che è simile al testo dalla RAM e dal disco rigido per utilizzarlo in un attacco diretto ai tuoi account.

Come altri hanno detto, l'attacco descritto da Bruce Schneier è efficace quando l'utente sceglie più parole da solo, senza utilizzare uno strumento. Schneier di solito scrive a un pubblico generale, che è improbabile che cogli la differenza tra parole "casuali" auto-scelte e parole casuali scelte dal programma.

Aggiungerò che anche se usi uno script o altro strumento per scegliere a caso le parole da un dizionario, devi usare la prima sequenza che ti dà . Se decidi "Non mi piace" e lo esegui di nuovo finché non ti piace, non è più una passphrase casuale , è scelta dall'uomo.

Inoltre, anche se usi uno script, e anche se non danneggi la casualità scegliendo la tua preferita tra più sequenze, c'è ancora la possibilità che un attaccante possa sfruttare il tuo PRNG (generatore di numeri pseudo-casuali). Se l'attaccante può apprendere quando hai creato la password e quale PRNG hai utilizzato, e forse altre informazioni sul tuo PRNG come il traffico di rete che è stato prodotto utilizzando il tuo PRNG nello stesso periodo, ciò potrebbe ridurre l'entropia effettiva della tua passphrase casuale.

Forse un po 'esoterico, ma se il tuo PRNG è sfruttabile, la cifra 2 ^ 44 non sarà completamente realizzata. (E se presumi "nessuno tenterà di sfruttare il mio PRNG", perché ti interessa usare una passphrase veramente sicura?)

Dipende. Una cosa che devi capire è che non si tratta di sicurezza per oscurità: i valori di entropia utilizzati nel fumetto presumono che l'aggressore sappia già che stai utilizzando questo metodo . Se l'attaccante non sa come stai generando la passphrase, l'entropia aumenta enormemente.

Il trucco per il metodo XKCD è che devi effettivamente utilizzare un generatore di numeri casuali e una buona parola elenco: non scegliere mai le parole da solo, nemmeno "a caso" (tra virgolette perché gli esseri umani sono davvero pessimi nel scegliere le cose a caso, motivo per cui non dovresti farlo). Diceware ha strumenti che ti aiutano a farlo e porta anche l'elemento casuale fuori dalla portata del computer usando dadi ordinari.

Contro un attacco di vasta portata, il genere di cose dove un utente malintenzionato ha ottenuto un elenco di password da un sito Web e non sa nulla delle password presenti nell'elenco: questo è più sicuro che mai. Proprio come dici tu, la sua forza deriva dalla potenza degli esponenti (e da un buon elenco di parole).

L'attacco di Schneier può funzionare, ma solo in un contesto completamente diverso. Il suo attacco presuppone che tu sia stato preso di mira specificamente da un attaccante che sa già molto su di te . All'inizio questo potrebbe non sembrare particolarmente preoccupante, perché l'attaccante determinato e stereotipato è un agente dell'intelligence dietro uno schermo, e la maggior parte di noi non deve preoccuparsi così tanto di quelli: ce ne sono solo così tanti, e ognuno può solo permettersi di prendersi cura di così tante persone. Ma in realtà è più un problema di quanto possa sembrare a prima vista, grazie all'avvento di malware sofisticati. Un'installazione di malware può permettersi di prendersi cura di te anche se l'attaccante non lo fa, e così finisci comunque per affrontare un aggressore estremamente determinato. In effetti, anche più determinato di quanto potrebbe essere un essere umano, sebbene molto meno creativo.

Il malware che raccoglie informazioni su di te darà alle parole che ti sembrano importanti una priorità molto alta nell'elenco delle parole. Lo fa perché la maggior parte delle persone sceglie da sé le parole "casuali", ma così facendo, in realtà si orienta piuttosto fortemente verso le parole che sono più importanti per loro: può ancora "sembrare" casuale, ma alcune parole hanno molte più probabilità di venire su rispetto ad altri. Per questo motivo, dare a queste parole alta priorità spesso si traduce in risultati relativamente rapidi, e questo è il "trucco" di cui parla Schneier.

Tuttavia, puoi ancora contrastare l'attacco di Schneier usando casualità . Il problema è che questo richiede disciplina: tutte le decisioni su quali parole usare nella passphrase (a parte la scelta di un buon elenco di parole) devono essere prese completamente dalle tue mani. È qui che cose come Diceware possono aiutarti.

La matematica della forza è abbastanza semplice se la scelta della parola è casuale: (numero di parole nel dizionario) ^ (numero di parole nella frase), supponendo che l'attaccante conosca il numero di nel dizionario. Quindi una frase di 5 parole che utilizza un dizionario Diceware 7776 noto ( dall'attaccante !): Ha 7776 ^ 5 = 2.8E19 o 64 bit di entropia.

C'è un elemento ciò non è menzionato nello schema: aggiungendo solo 1 carattere (casuale) in un punto casuale dell'intera frase, la forza aumenta di circa 10 bit, vedi Diceware, elementi opzionali.

Anche la matematica sopra non tiene conto del simbolo separatore tra le parole. Ciò può aggiungere altri 5 bit.

Vorrei anche aggiungere una risposta sì , ma per altri motivi. Non è un buon consiglio [in generale] a causa dei vincoli di lunghezza:

• Siti come Skype, ING, eBay e nel mio paese Binckbank e KPN limitano le password a 20 caratteri. (Quel limite di banca è 15, ma utilizzava l'autorizzazione a 2 fattori)
• Con una lunghezza media di 4,5 caratteri / parola per un breve dizionario di 3000-8000 parole, che consente di utilizzare solo frasi di 3-4 parole.
• Quando si utilizzano dizionari di grandi dimensioni la media può essere 6-7: solo 3 parole
• Se il sito insiste nell'usare un simbolo e un numero nella password, sono disponibili solo 18 caratteri per la frase.

Queste lunghezze proteggono solo dagli attacchi online. Per gli attacchi offline, dipende dalla derivazione della chiave e dalla funzione di hash, dal numero di iterazioni e dall'hardware di cracking utilizzato dal sito dell'app, se una frase di 3-4 parole offre una protezione sufficiente.

No, non credo.

Il vero consiglio in quel fumetto di xkcd è quello di usare mnemonici facili da ricordare e generare la password finché riesci a ricordarli . Questi sono consigli di base sulla password ovunque e rimarranno sempre veri (anche il metodo di Schneier citato utilizza questi due fatti di base). In effetti, il fumetto fa uso di parole inglesi comuni, ma la tua implementazione non deve esserlo, né il fumetto implica che dovresti.

Ovviamente, le password più sicure sono stringhe totalmente casuali come l'aspetto di una stringa MD5, e probabilmente puoi usare un gestore di password per memorizzare tutte quelle password, ma poi quale password stai andando utilizzare per quel gestore? ¯ \ (ツ) / ¯

È importante avere il contesto giusto. Il fumetto xkcd confronta Tr0ub4dor&3 con una presunta entropia a 28 bit (anche se la calcolo come 34,6) con correcthorsebatterystaple e si presume 44 bit di entropia (un codice diceware di quattro parole è 51,7 bit ... ma una di quelle parole non è diceware. Usando un semplice dizionario ortografico di 100k parole, ho calcolato che sia 66,4 bit) .

Per prima cosa, rendiamolo più facile da capire. Sono disponibili 94 caratteri stampabili. Una password di un carattere ha log₂ (94) = 6.55 bit di entropia. Due caratteri hanno log₂ (94²) = 13.10 bit di entropia. È possibile dividere l'entropia finale di uno schema di password per 6,55 al fine di determinare la complessità equivalente di una password puramente casuale misurata in caratteri.

Pertanto:

• 28 bit di entropia ≈ password di 4,3 caratteri (pessima!)
• 44 bit di entropia ≈ password di 6,7 caratteri (anche cattiva)
• 66,4 bit di entropia ≈ password di 10,1 caratteri (ok per il 2016)

Fidandosi dei numeri di xkcd, puoi capire perché Schneier era preoccupato. Questo sembra un po 'esagerato, poiché la maggior parte degli aggressori si arrenderà ancora dopo una decina di caratteri ^{[citazione necessaria]} : dovrebbero essere necessari alcuni anni perché un grande cluster rompa una password con hash MD5 di 10 caratteri— anche se ovviamente se un buon attaccante conosce il tuo schema, la lunghezza assoluta dei caratteri non è un problema.

La complessità totale dello schema è la più importante. Devi presumere che il caso peggiore ( che l'attaccante conosce il tuo schema esatto). È un'ottima idea assicurarsi inoltre che la password contenga più di 11 caratteri ( quando consentito), ma questa è una priorità secondaria (e viene fornita gratuitamente con le passphrase).

Crea passphrase con quattro parole più un passcode

Ecco il mio consiglio per la creazione di passpharse (con stime di entropia):

• Crea una "frase" senza senso di 4+ parole di 4+ caratteri ciascuna (100.000⁴)
• Nessuna di queste parole può essere collegata a te, o l'una all'altra, in alcun modo
• Usa maiuscolo e minuscolo, spazi e almeno due simboli o segni di punteggiatura (32²)
• Almeno una parola dovrebbe fallire il controllo ortografico (es. leetspeak, parole straniere, 64 ciascuna)
• Includere almeno un altro "errore" (ortografia / grammatica / sintassi, entropia sconosciuta)
• Tra due parole, aggiungi un passcode tradizionale "casuale" di 7+ caratteri (92⁷)

Questo dovrebbe essere almeno log₂ (100000 100 × 32 × 3 × 64 × 92⁵) = 112 bit di entropia (che è molto forte, ≈17 caratteri). Ho saltato le maiuscole (presumo che solo il primo carattere sia maiuscolo) e un simbolo (presumo che termini con . , ! o ? , quindi il secondo simbolo ha una complessità di 3) e ho anche ipotizzato che "casuale" non sia del tutto casuale e ho calcolato il codice come un equivalente di cinque caratteri (la stretta aderenza alla formula sopra ti darebbe 128+ bit di entropia a ≈20 caratteri).

Vale la pena ripetere questo punto finale:

Gli esseri umani sono molto cattivi nel generare casualità

Pochissimi umani- ha generato codici di accesso "casuali" anche si avvicina alla vera casualità. Ci saranno schemi nel codice relativi alla tastiera della persona, ai numeri preferiti e / o al presupposto che una certa parola oscura sia indovinabile.

Ho progettato questo schema per essere robusto contro la mancanza intrinseca di casualità delle persone; assumendo un vocabolario limitato (diciamo le 2600 parole in Inglese di base), l'uso di parole correlate (penalizzate contando solo tre parole) e un passcode limitato all'entropia di sei caratteri alfanumerici, log₂ (2600³ × 62⁶) in sé è ancora forte a 70 bit (≈10,6 caratteri).

Non lasciare che questa annacquare la tua passphrase! Questa sezione è presente per dimostrare che questo schema ha una certa resistenza alla limitata entropia delle scelte umane, non per incoraggiare scelte sbagliate.

L'unico vero problema viene dalle persone che prendono citazioni o testi come quattro parole. Queste passphrase sono banalmente sconfitte se la citazione o il testo possono essere indovinati (ad esempio guardando i tuoi Mi piace di Facebook) o altrimenti avrebbero un'entropia di circa 6 caratteri casuali in un tempo di crack da 30 secondi (MD5) a 17 giorni (PBKDF2) .

Puoi utilizzare la mia tabella di entropia per calcolare l'entropia del tuo schema di passphrase.

_{(Don ' Non preoccuparti del fatto che le password risiedono brevemente nella memoria a meno che tu non sia uno sviluppatore)}