考虑到摩尔定律的密码强度检查器？ [关闭]答案

【问题标题】：Password strength checkers that take into account Moore's Law? [closed]考虑到摩尔定律的密码强度检查器？ [关闭]
【发布时间】：2013-06-21 12:00:23
【问题描述】：

我打算对我的帐户进行年度密码更改，并尝试了各种网站（微软、lastpass 等）来尝试假设的密码。有些网站在评估密码强度方面似乎比其他网站更彻底，但这让我想知道是否有任何网站考虑了摩尔定律。也就是说，有人听说“破解 X 密码需要 130,000 年”，但这是否考虑到计算机的速度大约每两年翻一番？

我真的很想知道这些网站是否考虑到这一点，或者是否有任何网站有人可以建议这样做？

【问题讨论】：

而且他们可能没有考虑到计算机网格越来越大，并且利用云计算（和 GPU）来加速这些计算变得越来越容易。
您的问题是什么？您是否错过了随着时间的推移可视化密码强度的功能？通常，这些密码强度检查器只运行基本指标并检查位强度 - 这些通常独立于摩尔定律，例如位强度保持不变。此外，如果您能提供一个密码检查器的链接，该链接会在几年内将其写出来，那就太好了。我从未见过，我想知道它可能基于哪些经验法则。
看似完整（但与时间无关）passwordmeter.com 似乎不太彻底，但给了时间 est howsecureismypassword.net 我知道还有一些其他的但不记得了。
摩尔定律很快就会失效，但很难预测何时。所以考虑到几年以上计算能力的提升，真的很难。
密码强度计旨在通过从候选池中删除最糟糕的、非常容易猜测的密码来防止在线密码猜测尝试。因此，当与速率限制和锁定等猜测限制措施结合使用时，它们是有效的，这些措施不受客户端处理能力增加的影响。摩尔定律只会帮助对破解数据库进行离线攻击，对此有不同的缓解措施。

标签： security encryption passwords cracking

【解决方案1】：

这些计算都没有真正考虑到道德法则。但是让我们看看我们是否可以说明为什么我们不必这样做：

摩尔定律指出，处理能力每 18 个月翻一番（不完全是，但足以满足我们的目的）。

也就是说，今天是 13 万年，18 个月后将是 6.5 万年。在 36 个月内达到 32.5k，依此类推。

我们可以为此想出一个方程式！

cost-at-time = cost-today * 0.5 ^ (months / 18)

所以今天插入成本，我们可以看到这个不错的pretty graph（x 是年）：

y = 130000 * .5 ^ (x / 1.5)

那么，让我们看看 13 万年密码在 50 年后的成本是多少：

y = 130000 * .5 ^ (50 / 1.5)
y = 130000 * .5 ^ 33.3333
y = 0.000012 years (~6.3 minutes)

这很快！

10 年怎么样？

y = 130000 * .5 ^ (10 / 1.5)
y = 130000 * .5 ^ 15
y = 1279 years

还是蛮强的……

但是。它还忽略了 bcrypt 和 scrypt 等旨在能够击败摩尔定律的可调算法的要点。

因此，如果您使用 bcrypt、scrypt 或 PBKDF2，并不断调整成本以使其在恒定时间内运行，那么您今天需要 13 万年才能破解（估计）的密码，在 50 年内仍然需要 13 万年才能破解.

当然，这并不能解决攻击者今天窃取密码哈希，并在接下来的 50 年中对其进行攻击的情况......但我不得不问，你的密码是什么来保护那个加密书呆子会在接下来的 50 年里试图攻击它吗？

via XKCD

【讨论】：

谢谢，这涵盖了它！（我不知道 bcrypt、scrypt 和 PBKDF2，不错的奖励）。干杯！