当前位置:首页 > 问答百科 > 正文内容

密码强度怎么达到强(谈谈网页产品该如何评估密码强度)

福瑞号2022-11-21 16:30:17问答百科250
编辑导语:在互联网时代下,各种网页和软件都需要设置密码,那么网页产品如何评估密码强度呢?本篇文章介绍了5种进行密码强度的评估方法,感兴趣的一起来看一下。
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图1
最近因为在做网页端产品中接触到密码强度设置问题,找了不少解决方案。发现大多基于google提出的以密码长度,英文大小写以及符号组合计分来进行密码强度评估。
什么是密码强度?
指一个密码对抗猜测或是暴力破解的有效程度。
一般来说,指一个未授权的访问者得到正确密码的平均尝试次数。
密码的强度和其长度、复杂度及不可预测度有关。
强密码可以降低安全漏洞的整体风险,但并不能降低采取其他安全措施的需要。
攻击者可以提交猜测到的密码的速率是衡量一个系统安全性的重要因素。
有的系统在多次尝试失败后会暂停登入一段时间,在没有其他安全缺陷时,这种系统可以用相对简单的密码保护。
但是系统必须以某种形式存储用户密码,而当这些数据被盗时,就有极大的危险(via.百度百科)。
根据NordPass 2020年的研究,五个最常见的密码是123456、123456789、picture1、密码和12345678。
我们先来看看破解这些密码需要多少时间。
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图2
经过搜集整理了以下5种进行密码强度评估方法,你可以根据产品的数据风控程度选择匹配版本投产使用。
一、简易版
1. 规则
密码长度至少8位;密码含有数字&字母;密码含有符号;密码同时含有大小写字母。2. 验证
符合2项()以上允许账号注册;密码不符合规则进行针对性提示。3. 示例
1种组合→guofu→ 拒绝,提示原因;2种组合 → guofu1024→通过;3种组合→ guofu1024?→通过;4种组合→ Guofu1024?→ 通过。
二、常规版
1. 规则
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图3
2. 分数区间
x ≥90: 非常安全;90 > x≥80: 安全(Secure);80 > x≥70: 强(Strong);70 > x≥ 60: 一般(Average);60 > x≥25: 弱(Weak);25 > x≥0: 非常弱。3. 验证
允许得分为70分以上的密码进行账号注册;密码不符合规则进行针对性提示。4. 示例
Guofu1024?→ 25+20+20+10+5=80分→安全。
三、专业版
1. 符号
Flat:均一的加/扣分比例;Incr:出现次数越多,加/扣分比例越大;Cond:根据增加的字元数调整加/扣分比例;n:出现次数;len:密码字串长度。2. 规则
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图4
3. 计算方式
最后的分数为加分条件和减分项目的条件;分数的范围为0~100分;分数不需达到最低字元即可计算。4. 分数区间
60 > x > 0:未达标准;70 > x ≥ 60:警告;80 > x ≥ 70:已达标准;x ≥ 80:优秀(100为上限)。5. 验证
允许得分为60分以上的密码进行账号注册。
6. 示例
Aa123 → 43分→未达标准;Aa12L3→64分→警告。
四、HACK版
在彩虹表之前,已经出现了对哈希函数的破解算法,被称为“预计算的哈希链集”(Precomputed hash chains)。
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图5
密码彩虹表——示例有关防御彩虹表攻击,开发者在编码时请勿在密码散列函数中使用MD5或SHA1,在密码散列例程中使用密码盐来帮助应用程序“防虹”的编码。
另外,不在彩虹表中的密码强度较高。它是一个庞大的、针对各种可能的字母组合预先计算好的哈希值的集合。
不一定是针对MD5算法的,各种算法的都有,可以快速破解各类密码。在彩虹表中的密码给予提示。
比如,A12345 →此密码安全性低,请修改。
五、Fuzzy版
汪定教授团队对中国网民进行了密码习惯调查和比对先行密码强度模式后,提出了一种更为准确的评估模式。
密码强度怎么达到强(谈谈网页产品该如何评估密码强度)-图6
Google 密码强度反馈选取了10个领域共50个流量排名靠前的网站,借助网站曾经泄露的密码数据库,先利用离线漫步攻击分析得到密码最常用的结构和使用频次的字典表。
测量核心公式:Nmin*log2Cmin,具体解释可参照论文解释。
作者提出从6个维度评估密码的强度,分别是:
长度要求密码不小于8位;强制执行强制最小字符类型要求;允许使用符号,带符号的密码通常比不带符号的密码安全得多;使用常用弱密码的黑名单表(彩虹表),禁止使用;禁用账户名或个人名;向用户提供明确的密码建议和指导。另外,中国用户喜欢把名字放在密码中,作者在破解过程中充分利用名字信息,对算法进行改进,用于度量密码强度测试。
彩虹表需要集成“中式密码”,比如,“woaini”、“5201314”、“zhangsan2022”和“longguofu123”之类的密码。
六、总结
在真实的世界,对于普通用户来说有没有办法可以设置真正意义上高强度的密码呢?
参照专家们给出的建议,你可以试试这样做。
1) 不要在密码中包含用户名、真实姓名、生日或公司名称,也不要包含任何与登录信息相关的信息。
例如,地址或电话号码。最好也不要包含任何可以在社交媒体上访问的信息,例如孩子或宠物的名字。
还有,比如在银行网站让你设置3个安全登录问题的时候,不要如实回答。
2) 研究发现45%的人使用8个字符或更少字符的密码。如果可能的话,密码的长度至少应为16个字符。
相较于在密码中加入非字母字符而言,增加长度可以更简单地使密码变强。
例如,12个字母的密码比12个数字的密码的破解难度仅大8倍。
但由16个仅字母字符组成的密码比由12个各类字符组成的密码的破解难度大800万倍。
3) 密码应包括字母、数字和字符的组合,不应包含任何连续的字母或数字,不应是“密码”一词或重复的相同字母或数字。
例如,guofu8888、mima777、password111。
4) 密码不应是在键盘上经常连续敲击的字符串。例如,asdfghjkl。
5) 密码不应与任何其他帐户共享。可以使用专业的密码管理器和定期修改密码(虽然很难),可以用密码强度工具帮忙生成密码。
密码的存在笔者一直认为是反人性的设计,但是它的存在对鉴权、保护隐私又有其必要性。
选择哪种密码强度取决于设计者对于“便捷”与“安全”的平衡对于金融级别的产品,毫无疑问需要高强度或多重验证。
而对于轻应用,更多可把方便为主要考虑
此外,笔者一直有种感觉,或者没有密码,使用生物生命特征才是更人性化的设计。
次之,用社交账号授权、手机动态验证码进行验证,对于安全性较低的产品也是不错的解决方案。
最后,没有一个密码是“最安全的”,如果有的话,把它写出来就会变得不安全,因为有成千上万的人会在他们的账户上使用它。
作者:龙国富,:龙国富,分享用户研究、客户体验、服务科学等领域资讯,观点和个人见解。
本文由@龙国富 原创发布于人人都是产品经理,未经授权,禁止转载。
题图来Unsplash,基于CC0协议。

扫描二维码推送至手机访问。

版权声明:本文由福瑞号发布,如需转载请注明出处。

本文链接:http://furui.com.cn/3410.html

“密码强度怎么达到强(谈谈网页产品该如何评估密码强度)” 的相关文章

造型艺术类是什么专业(专业介绍丨艺术类专业之造型艺术专业介绍)

造型艺术类是什么专业(专业介绍丨艺术类专业之造型艺术专业介绍)

法国一直是个艺术之都,每年也有很多学子跑到法国深造艺术,其实不乏大量的中国美院毕业的中国学生。今天我们就来了解一下法国留学艺术类热门专业——造型艺术专业。 造型艺术专业包含什么? 说起Art plastique(造型艺术)专业,大概每个读纯艺专业的童鞋都熟悉这个词。这个专业其实包含的范围很广,创作...

dnf心愿礼盒怎么得到(dnf1到12期自选礼盒哪里获得)

dnf心愿礼盒怎么得到(dnf1到12期自选礼盒哪里获得)

dnf1到12期自选礼盒获得有三种方式: 1、自己购买次元玄晶,次元玄晶有几率直接开出来。但概率极低。 2、打开拍卖行直接搜索1到12期自选装扮礼盒。可以直接购买。 3、在第三方网站譬如dd373、5173网站进行购买。 dnf1到12期自选礼盒是游戏里面一种极其稀有的道具。玩家可以任意一套选择...

黄山COSER的学历(清华美女cos玩出学霸感)

黄山COSER的学历(清华美女cos玩出学霸感)

学渣才去玩花里胡哨的cosplay,coser全是低学历? 大错特错了!这简直就是一种世俗和偏见。 以前在家长和路人眼里,总觉得玩cosplay需要花费大量时间和金钱,因为要整日研究怎么戴假发、做造型、学化妆;毕业了不好好工作,天天花钱买一些没用且昂贵的手办以及服装道具。所以玩cos是那些不好好学习...

刘邦之后是哪个皇帝(刘邦之后谁继位排序表)

刘邦之后是哪个皇帝(刘邦之后谁继位排序表)

按照继位顺序,刘邦之后继位的有刘盈、刘恭、刘弘、刘恒、刘启、刘彻、刘弗陵、刘贺、刘询、刘奭、刘骜、刘欣、刘衎、刘婴、王莽、刘玄、刘圣、王昌、刘永、刘盆子、卢芳、刘秀等。汉朝(公元前202年-公元220年)是继秦朝之后的大一统王朝,分为西汉、东汉时期,享国四百零七年。 扩展: 刘邦是在历史课本的内容...

房地产泡沫意思是什么(房地产泡沫是什么意思)

房地产泡沫意思是什么(房地产泡沫是什么意思)

房地产泡沫: 我们所说的泡沫是指一种资产在连续交易过程中突然暴涨,价格严重偏离价值,此时经济中充斥着无法反映物质财富的货币泡沫。 1、房地产泡沫指的是房价非常高,空置率很高,房价已经远离了市场和个人的需求,果果房价会使空置远离经济和社会支撑,实际上并不单单是高房价,而是过高的房价,已经超过了普通老百...