Lösenordsstyrka Checker & Entropy Estimator

Den kryptografiska matematiken för lösenordsentropi: varför längden överväger komplexiteten

I decennier har företagets IT-policyer tvingat anställda att skapa obekväma, oförglömliga lösenord som innehåller godtyckliga kombinationer av versaler, siffror och speciella symboler – bara för att kräva obligatorisk rotation var 90:e dag. Modern beräkningskryptografi och empirisk forskning av National Institute of Standards and Technology (NIST) har visat att detta paradigm inte bara är föråldrat, utan aktivt försämrar kontosäkerheten.

Claude Shannons informationsentropiformel ($H = L \log_2 N$)

I informationsteorin kvantifieras den grundläggande styrkan hos en hemlighet ibitar av entropi($H$), uppkallad efter matematikern Claude Shannon. Den råa entropin för en slumpmässigt vald sträng bestäms av formeln:

Eftersom de totala kombinationerna skalas som $N^L$,längd ($L$) fungerar som en exponent, medan poolstorleken ($N$) bara är basen. Genom att bara lägga till 4 extra tecken till ett lösenord utökas sökutrymmet med brute-force med flera storleksordningar mer än att ersätta ett 'a' med ett '@' eller ett 'e' med en '3'.

NIST Special Publication 800-63B: Modern Digital Identity Standards

InNIST SP 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management), federala säkerhetsforskare demonterade systematiskt äldre företagslösenordsdogm:

• Avskaffande av periodiskt utgångsdatum:Att tvinga användare att byta lösenord var 30:e till 90:e dag resulterar i förutsägbara inkrementella ändringar (t.ex.Winter2025!bliSpring2026!). Lösenord bör endast ändras när det finns bevis på en kompromiss.
• Eliminering av kompositionsregler:Att kräva specifika kombinationer av versaler, gemener, siffror och symboler leder till att användarna antar förutsägbara strukturella mönster (t.ex. versaler den första bokstaven och lägger till ett utropstecken och år i slutet).
• Granskning av svarta listan (revisioner av överträdda legitimationsuppgifter):System måste screena nya lösenord mot listor över komprometterade referenser, vanliga ordbokstermer och upprepade sekvenser snarare än att genomdriva godtyckliga komplexitetsregler.

Diceware-lösenordsarkitekturen: Användbarhet möter kryptografisk styrka

Ursprungligen uppfanns av Arnold Reinhold 1995Tärningsgodsmetoden genererar lösenfraser genom att rulla fysiska sexsidiga tärningar för att välja slumpmässiga ord från en 7 776-ords ordbok ($6^5 = 7,776$).

Eftersom varje ord ger ungefär12,9 bitar av entropi($log_2(7776) cirka 12,92$), en lösenfras på fyra ord ger ungefär52 bitar av ren entropi, och en lösenfras på 5 ord levererar65 bitar. Människor kan utan ansträngning memorera en levande narrativ fras somcrystal-falcon-harbor-orbit, medan en angripares offline-cracking-kluster måste uttömma miljarder kombinationer över ordbokspermutationer.

Hur moderna angripare knäcker hash: Maskattacker och minneshårda KDF:er

Verkliga hotaktörer sällan brute-force-lösenord tecken för tecken över ett inloggningsformulär; hastighetsbegränsande, webbapplikationsbrandväggar (WAF) och CAPTCHA stoppar onlineattacker efter en handfull försök. Istället99 % av lösenordsknäckningen sker offlineefter att en angripare bryter mot en applikations databas och exfiltrerar lagrade lösenords-hashar.

Verktyg somHashcatochJohn the Ripperanvända massiva kluster av konsument-GPU:er (som NVIDIA GeForce RTX 4090s) för att beräkna miljarder kandidat-hashar per sekund.