Palavra do dicionário como Substring da senha?

Question

Eu sei que ter um dicionário como sua senha é considerado inseguro. Acredito que isso se estenda até as senhas do formato password123 ou p@ssw0rd . Isso se aplica se alguma subseqüência da senha for uma palavra do dicionário? Por exemplo, fghpassword123 obviamente não está no dicionário, mas a substring password é.

Eu não sei muito sobre segurança de senhas, mas acredito que a entropia é muito importante. No entanto, não sei se esse padrão negaria o benefício adicional da entropia de senha.

    

Answer 1

Em minha experiência pessoal trabalhando como um pentester, a menos que eu estivesse segmentando especificamente sua conta, os dicionários que eu geralmente uso quando as listas de usuários de brute forçando geralmente cobrem uma lista de palavras de dicionário comuns, substituições de números comuns em 1337 (3 para E, por exemplo) e algumas frases comuns.

Hackers e grupos de segurança realmente fazem análises estatísticas de senhas reais (como aquelas divulgadas a partir de violações de dados) e usam os resultados para adicionar novas senhas à lista de senhas a serem usadas.

Se eu estiver segmentando especificamente sua conta, usei opções de gerador de senha mais complicadas, como dicionário simples, dicionário composto (colocando 2 ou mais palavras do dicionário juntas), substituição 1337 ou outros truques comuns, como tem cada senha tentada com um! no final, como este é o local mais comum para colocar caracteres especiais, e este é o caractere especial mais comum.

Eu vejo a palavra do dicionário como substring como um problema menor do que as mais comuns. As três maiores coisas que você pode fazer para aumentar a segurança da sua senha são:

1. misture em várias classes de caracteres (superior, inferior, número, caracteres especiais)
2. COMPRIMENTO !! (min. 9 caracteres)
3. Não use senhas seguras em sites inseguros (para que wellsfargo! = sony :-))

Answer 2

Tudo depende do tipo de cracker de dicionário que o hacker está usando. Não seria muito difícil codificar palavras como substring, mas também não é amplamente feito.

Não faça isso, mas não é o fim da palavra em outras palavras.