Quale lunghezza della password è sufficiente nel 2020?
Cosa dice il titolo: assumi caratteri alfanumerici. Alcuni anni fa ricordo vagamente che 8 caratteri non erano davvero una protezione sufficiente contro la forza bruta, ma altri personaggi arrivavano a un punto di ragionevole sicurezza (?)
Se trovassi questa risposta che afferma che nel 2018 una singola GPU potrebbe decifrare una password di 8 caratteri con hash SHA-256 in ~ 26 giorni.
Nel frattempo sono passati alcuni anni e la presunta potenza di calcolo è aumentata. Qual è la lunghezza della password ragionevolmente sicura nel 2020? O, in altre parole, quanto in alto nel frattempo i ricercatori della sicurezza hanno messo la barra sulla forza bruta?
Risposte
Se trovassi questa risposta che afferma che nel 2018 una singola GPU potrebbe decifrare una password di 8 caratteri con hash SHA-256 in ~ 26 giorni.
Questo benchmark è irrilevante per determinare la forza necessaria di una password, almeno se viene utilizzato un hash della password appropriato . Il benchmark è più utile per mostrare che SHA-256 non è un algoritmo utile per l'hashing delle password.
Quale lunghezza della password è sufficiente nel 2020?
Anche la lunghezza non è molto rilevante. Se scegli da un set piccolo ma noto di password facili da ricordare ma lunghe, ciò che conta è la dimensione del set, non la lunghezza della password.
Se invece usi un generatore di password per creare password alfanumeriche casuali, 8 è ancora sufficiente, assumendo un corretto hashing della password (cioè hash lenti con sale imprevedibile). Naturalmente, nessuno può davvero ricordare password così casuali, quindi è meglio usare un gestore di password. E se utilizzi comunque un gestore di password, puoi anche utilizzare password più lunghe senza sforzi aggiuntivi e quindi ridurre il rischio nel caso in cui sia stato utilizzato un hashing della password errato.
Quale lunghezza della password è sufficiente nel 2020?
Tieni presente che il contesto fa la differenza.
Le misure di velocità di un muro di GPU overcloccate raffreddate in un bagno criogenico incandescente con una luce blu eterea dedicata a uno scopo sono interessanti, ma ciò presuppone una forzatura bruta completamente off-line non vincolata dove il successo è determinato dal confronto con un breve elenco di possibili decodificare le intestazioni.
D'altra parte, l' ipotesi di una password online sarà limitata come minimo dal tempo di risposta del server di molti ordini di grandezza più lento del muro luminoso della GPU. Inoltre, se il server è ragionevolmente configurato, dovrebbe bloccarsi dopo troppi tentativi. In questo contesto, è probabile che sia sufficiente una password ragionevolmente piccola che eviti le password più comuni.
In entrambi i casi, considera cosa stai cercando di proteggere e non riutilizzare le password.
La lunghezza non è l'unica misura. Considera anche la complessità della password . Se usi una password relativamente breve che è abbastanza casuale e contiene caratteri "speciali" (non alfanumerici), un attacco di forza bruta richiederà anni perché la password non verrà trovata nei dizionari. L'unico modo per risolverlo è provare tutte le combinazioni nella più ampia gamma di caratteri, non solo az o 0-9.
Ma usare caratteri speciali non è abbastanza buono, ad esempio P @ ssword non è una buona password perché molte persone la usano, quindi è presente nei dizionari di cracking. Una password lunga non andrà bene se è presente nei dizionari. Ho dato un'occhiata ad alcuni dizionari sul mio disco rigido e ci sono molte password "lunghe" come administrator123 elencate (16 caratteri).
D'altra parte una passphrase abbastanza lunga potrebbe compensare la mancanza di complessità pur essendo più memorabile. Anche se anch'io sono convinto che l'utilizzo di un gestore di password sia la soluzione migliore.
Dipende anche da altri parametri. Supponi di avere l'hash della password di qualcuno e vuoi invertire la password. I fattori rilevanti sono: come è stata hash (e salata ) la password , mentre un vecchio hash come MD5 non salato renderebbe probabilmente più facile il lavoro dell'hacker. Non è solo la password, ma come viene memorizzata ed elaborata nel tuo sistema.