Сложность пароляСложность пароля в компьютерной индустрии обычно оценивают в терминах информационной энтропии (понятие из теории информации), измеряемой в битах. Вместо количества попыток, которые необходимо предпринять для угадывания пароля, вычисляется логарифм по основанию 2 от этого числа, и полученное число называется количеством «битов энтропии» в пароле. Пароль со, скажем, 42-битной сложностью, посчитанной таким способом, будет соответствовать случайно сгенерированному паролю длиной в 42 бита. Другими словами, чтобы методом полного перебора найти пароль с 42-битной сложностью, необходимо создать 2^42 паролей и попытаться использовать их; один из 2^42 паролей окажется правильным. Согласно формуле при увеличении длины пароля на один бит количество возможных паролей удвоится, что сделает задачу атакующего в два раза сложнее. В среднем атакующий должен будет проверить половину из всех возможных паролей до того, как найдет правильный.
Если в качестве алфавита для генерации пароля используются все печатные символы ASCII (арабские цифры, строчные и заглавные буквы латинского алфавита: a-z, A-Z, 0-9, спецсимволы и знаки препинания) то число таких символов (алфавит) 95, а энтропия на 1 символ оценивается как 6,5699 бит. Тогда для 6-символьного пароля энтропия ~39 бит, а 8-символьного — 53 бит, а числа полного перебора составят, соответственно, 239 = 550×10⁹ и 253 = 9×10¹⁵. Рост сложности пароля от длины будет, как понятно, экспоненциальный.
Возникло такое ...
смешное соображение
: в качестве пароля использовать его набранным на
русской раскладке, в кодировке UTF-8, которая принята сейчас повсеместно в Linux:
[olej@dell ~]$ sudo passwd stupid
[sudo] пароль для olej:
Изменяется пароль пользователя stupid.
Новый пароль :
Повторите ввод нового пароля :
passwd: все данные аутентификации успешно обновлены.
[olej@dell ~]$ su - stupid
Пароль:
[stupid@dell ~]$ whoami
stupid
(я даже в качестве пароля здесь установил тоже "stupid", но набранное на русской раскладке клавиатуры - я даже не знаю что там я набирал)
Это будет большим сюрпризом для того, кто попытался бы
подобрать такой пароль.
То, что кирилическая 'К' (болшая) будет 2 байта D0 9A - для малолетних сопливых "хакеров" может быть большим откровением ... тем более, что они дальше Windows ничего не слышали, а про UTF-8 не догадываются.
P.S. Тем более, что даже
зная пароль к Linux системе они там у себя, в вынь-де, при удалённом доступе просто не смогут его
набрать в UTF-8 ... в своих окошках ввода.
Хотелось бы выслушать мнения и возражения по этому поводу.
И попутно
вот такой вопрос:
[olej@dell ~]$ ssh stupid@192.168.1.103
stupid@192.168.1.103's password:
Permission denied, please try again.
stupid@192.168.1.103's password:
Permission denied, please try again.
stupid@192.168.1.103's password:
Permission denied, please try again.
stupid@192.168.1.103's password:
Permission denied, please try again.
stupid@192.168.1.103's password:
Permission denied, please try again.
stupid@192.168.1.103's password:
Received disconnect from 192.168.1.103 port 22:2: Too many authentication failures
Connection to 192.168.1.103 closed by remote host.
Connection to 192.168.1.103 closed.
Что мешает SSH-клиенту или SSH-серверу воспринимать такой пароль?
