如果我们要判断一个密码是强还是弱，首先要考虑影响密码强度的因素：复杂度和长度，因为我们在输入密码时只有这尚力财经小编2022两个维度的选择：要么输入更多的特殊字符来增强复杂度，要么输入更多的混合字符/字母来增加密码长度。在不考虑拖库、社工等密码获取方式的情况下，一般情况下只能选择暴力密码破解方式，包括字典攻击和彩虹表破解。
在纯暴力破解中，攻击者需要逐一尝试密码的可能组合，无论是像ATM机那样的纯数字组合，还是像12306那样的纯数字字母组合，还是像正常电商那样的数字、字母和特殊字符混合输入。假设一个密码P的长度为L，可选组合形式的范围长度为S，即使在“暴力破解”这个残酷的词里，在运气不好的情况下，仍然需要最多尝试s L次。密码是否安全，取决于攻击者能否在可容忍的时间内破解真实密码，而他是否有耐心暴力破解，往往取决于攻击者的目的和效果：一个只破解电子书和小说压缩包的宅男，不太可能浪费一天以上的时间等待密码“出现”。
由于暴力破解最多需要SL尝试破解出口单，所以破解密码的速度是破解效果的约束条件。很多时候，破解速度取决于CPU的计算能力，尚力财经小编2022但更多时候，攻击者面临的是网络破解甚至密码系统设计者的各种保护措施。这时候网络、I/O、计算能力甚至系统保护措施都要在破解速度之内考虑。如今，许多电子邮件地址的密码破解防范措施仅限于在一定时间内进行几次登录尝试。如果考虑到类似的措施，相信破解密码的速度一定会让你更加失望！
在比特币挖矿需要专业挖矿机和高GPU的时代，密码破解自然不会沿用过去原有的CPU运算。现在，一年前，来自狭窄商业咨询公司的Jeremi Gosney公布了他们用一组GPU集群暴力破解密码的结果：
常见的MD5将破解速度加速到每秒1800亿次，SHA1每秒破解630亿次，NTLM每秒破解3480亿次，LM encrypted每秒破解200亿次。可以看出，密码的强度是随着计算能力的逐渐提高而降低的。10年前的高强度密码，对于今天的GPU集群破解来说，可能已经算是“不堪一击”了。不考虑UNICODE编码中电脑键盘上没有标注的特殊字符，在构造密码时，我们通常可以选择组合范围：
数字：0~9？一共10个字母：a~z？A~Z？共52个特殊字符：“？'#$%'()* ,-https://www.baoguzi.com/:@[]^_`{|}~"?共33位(含空格)不含引号如果我们以SL作为密码强度的评价标准，很明显，在相同的密码长度下，我们可以选择的组合和范围越大，密码强度越强，也就是s越大，SL的值就越大。
另一方面，在组合和范围有限的情况下，密码长度越长，密码强度越强，即L越大，SL值越大。
因为SL是指数增长的，所以密码的高复杂度并不意味着密码的高强度。比如16位的密码有1.0e 16种组合，而8位/字母/特殊字符的密码只有6.634e 15种组合左右。从暴力破解的难度来说，前者比后者高一个数量级。
鉴于GPU的计算能力越来越强，笔者在设计密码强度划分时，不得不参考上述文章中GPU集群的破解速度。上面文章提到的GPU集群的暴力破解速度至少可以达到每秒100亿次，那么以每秒100亿次的破解速度为参考，假设破解时间小于一天的密码为低强度，大于一天但小于一年的密码为中等强度。 在不同密码组合的情况下，不同密码强度的密码长度范围如下：
低组合和范围、低强度、中强度、高强度、纯数字(10位)0=15(位)=18(位)、纯字母(52位)0=9(位)=11(位)、纯特殊字符(33位)0=10(位)=12(位)、数字和字母的组合(62位))=10(位)字母数字字符的特殊组合(95位)0=9(位据相关报道，如果使用Jeremi Gosney的GPU集群，6-8位密码“在暴力破解面前几乎无法幸免”。接下来我们来看看微软的“密码检查器”。从这个页面的JS脚本中你很容易看到密码强度的划分标准：密码长度小于8位；弱密码长度大于或等于8位数；中密码长度大于或等于14位数字；强密码长度大于等于14位并包含数字、大小写字母和特殊字符：彩虹表
彩虹表是一个特殊的字典，由加密密码组成，通过与系统中的加密密码进行比较来检测明文密码。大多数情况下，彩虹表的构成是由程序自动生成的。尽管数据量巨大，但仍然按照弱密码或穷举密码组合进行加密。除此之外，还包括人工添加的已知明文/密文的彩虹表数据。所以彩虹表破解和弱密码猜测，最终都是为了缩小破解密码的范围，从而节省破解时间。你可以把彩虹表和弱密码想象成一个巨大的散点图，离焦点越远，密码被彩虹表/弱密码收录的概率就越小。可见，密码的强度不仅需要考虑复杂程度和长度，设置密码的陌生程度也影响着密码的安全性，就像女人不想撞衫，安全的密码也不想千篇一律。英特尔的“硬件后门”英特尔酷睿博锐大家都不陌生。它是通过英特尔的主动管理技术(AMT)实现的。此功能开启后，即使关机也可以远程管理电脑，可以查看状态、安装、更新软件或系统、浏览磁盘文件等。如此强大便捷的管理技术也留下了巨大的安全威胁。英特尔酷睿博锐处理器包含远程访问功能，即使在电脑关闭时也能准确访问电脑。酷睿博锐包含一个独立的物理处理单元ME，并嵌入在CPU中。ME有独立的操作系统。只要电源充足，ME就可以使用系统的幻像电源运行，并访问任何硬件。而NSA更喜欢这种技术。如果他们得到了英特尔的特权账号，就相当于拥有了全世界PC的后门。这些电脑即使关机，也能畅通无阻。文章还指出，在Sandy Brige之后，英特尔CPU将使用防盗3.0技术，该技术将为每个CPU嵌入3G通信模块。这意味着即使你的电脑关机断网，也有可能被入侵。即使您的内存被拔掉，博锐仍然可以访问您的硬盘，因为ME有自己的内存。即使你加密了硬盘，博锐还是可以解密的，因为它在你加密的时候就抓取了硬盘的加密密钥。Intel的ME功能真的很强大。除上述功能外，它还具有动态加载和执行代码的功能。它可以加载和执行英特尔签名的Java应用程序，这些应用程序可以存储在磁盘甚至网站上。试想一下，如果Intel授权某些NSA的应用进行签名，后果会是这样的：
当然，上面的报道并没有直接的证据，目前还没有针对这个架构的漏洞，但是IntelME的机制确实给黑客留下了很大的空间和价值。
33543354-
来自：FreebuF。COM
微信咨询
