पासवर्ड वितरण

दूसरे दिन मैं सोनी सर्वर से हाल ही में लीक खातों के विश्लेषण से दिलचस्प निष्कर्ष पर आया था। मुझे लगता है कि ये निष्कर्ष दिलचस्प और प्रासंगिक होंगे।

जैसा कि आप जानते हैं, हाल ही में, सोनी हैकर्स के बीच एक सचेतक लड़का रहा है। सोनी के लिए धन्यवाद, कई खाते और पासवर्ड इंटरनेट पर प्रसारित होते हैं। हाल ही में, ट्रॉय हंट ने इन पासवर्डों का एक छोटा विश्लेषण किया। यहाँ उनके पोस्ट का एक अंश है:

• लगभग चालीस हजार पासवर्डों में से, एक तिहाई में एक सरल शब्दकोश हमले का खतरा है।
• केवल एक प्रतिशत पासवर्ड में गैर-अल्फ़ान्यूमेरिक वर्ण होते थे।
• 6 और 10 वर्णों के बीच 93 प्रतिशत पासवर्ड सम्‍मिलित हैं।

इस पोस्ट में, हम शेष 24 हजार पासवर्डों का पता लगाएंगे, जिन्होंने डिक्शनरी हमले को रोक दिया है।

चरित्र वितरण

ट्रॉय नोट्स के रूप में, अधिकांश पासवर्डों में केवल एक प्रकार का चरित्र होता है - या तो सभी निचले मामले में या ऊपरी मामले में। हालांकि, अगर हम वर्णों की आवृत्ति पर विचार करते हैं तो सब कुछ और भी बुरा है।

पासवर्ड डेटाबेस में 78 अद्वितीय वर्ण हैं। यदि ये पासवर्ड वास्तव में यादृच्छिक थे, तो प्रत्येक वर्ण 1/78 = 0.013 की संभावना के साथ होना चाहिए। लेकिन, जब हम पात्रों की वास्तविक आवृत्ति की गणना करते हैं, तो हम स्पष्ट रूप से देखेंगे कि वितरण यादृच्छिक नहीं है। निम्न ग्राफ़ शीर्ष 20 पासवर्ड वर्णों को दिखाता है, और लाल रेखा अपेक्षित 1/78 वितरण दिखाती है।




यह आश्चर्य की बात नहीं है कि स्वर "ई", "ए" और "ओ" बहुत लोकप्रिय हैं, साथ ही संख्या "1", "2" और "0" (उस क्रम में)। अपरकेस अक्षर शीर्ष बीस में नहीं हैं। हम प्रतीकों के लिए कुल संभावना की साजिश भी कर सकते हैं। इस ग्राफ में, लाल डॉट्स वास्तविक यादृच्छिक पासवर्ड (बड़े ग्राफ से लिंक ) का उपयोग करते समय अपेक्षित पैटर्न दिखाते हैं।


यह स्पष्ट है कि पासवर्ड उतने यादृच्छिक नहीं हैं जितने हम चाहेंगे।

चरित्र आदेश

आइए एक पासवर्ड में वर्णों के क्रम को देखें। सादगी के लिए, हम केवल 8-वर्ण पासवर्ड लेते हैं। पासवर्ड में सबसे लोकप्रिय संख्या "1" है। यदि इसका स्थान यादृच्छिक था, तो हम एक समान वितरण की अपेक्षा करेंगे। लेकिन इसके बजाय हमें मिलता है:
##Distribution of "1" over eight character passwords
0.06 0.03 0.04 0.04 0.13 0.13 0.22 0.34
इस से यह इस प्रकार है कि 84 प्रतिशत पासवर्डों में "1" नंबर होता है, यह आंकड़ा केवल पासवर्ड के दूसरे भाग में होता है। यह स्पष्ट है कि लोग पासवर्ड के अंत में एक इकाई लगाना पसंद करते हैं।

संख्या "2" के साथ एक ही तस्वीर:
0.05 0.05 0.04 0.05 0.13 0.11 0.30 0.27
और एक "के साथ!"
#Small sample size here
0.00 0.00 0.00 0.00 0.00 0.11 0.16 0.74
हम बाकी अल्फ़ान्यूमेरिक वर्णों के साथ समान पैटर्न का पालन करते हैं।

पासवर्ड का अनुमान लगाने के लिए आवश्यक वर्णों की संख्या

मान लीजिए कि हम पहले एन सबसे लोकप्रिय पात्रों का उपयोग करके सभी संभव पासवर्ड एकत्र करते हैं। हम अपने नमूने में कितने पासवर्ड कवर करेंगे? निम्नलिखित ग्राफ पहले N वर्णों का उपयोग करके हमारी सूची में शामिल पासवर्डों का अनुपात दिखाता है:

सूची में 50% पासवर्ड को कवर करने के लिए, हमें पहले 27 अक्षरों की आवश्यकता थी। दरअसल, केवल 20 वर्णों का उपयोग पासवर्ड के लगभग 25% को कवर करता है, और 31 वर्णों का उपयोग करने से 80% पासवर्ड को कवर किया जाता है। याद रखें कि ये पासवर्ड डिक्शनरी हमलों के आगे नहीं झुकते ।

परिणाम

आमतौर पर, जब हम पासवर्ड का अनुमान लगाने की संभावना की गणना करते हैं, तो हम मानते हैं कि प्रत्येक वर्ण को उसी संभावना के साथ चुना गया है, अर्थात "ई" चुनने की संभावना "जेड" चुनने के बराबर है। यह स्पष्ट रूप से गलत है। इसके अलावा, हाल के वर्षों में, कई प्रणालियों ने उपयोगकर्ताओं को पासवर्ड में विभिन्न प्रकार के पात्रों का चयन करने के लिए मजबूर किया है। और अंत में एक संख्या जोड़ना बहुत आसान है। मैं प्रभावी पासवर्ड अनुमान लगाने की तकनीकों पर विचार नहीं करना चाहता, लेकिन यह स्पष्ट है कि ब्रूटफोर्स सही तरीका नहीं है।

निजी तौर पर, मैंने बहुत समय पहले पासवर्ड याद रखने की कोशिश की और पासवर्ड मैनेजर का इस्तेमाल किया। उदाहरण के लिए, मेरा वर्डप्रेस पासवर्ड 12 अक्षरों से अधिक लंबा है और इसमें पूरी तरह से यादृच्छिक संख्या, अक्षर और विशेष हैं। अक्षर। बेशक, आपको बस अपने पासवर्ड मैनेजर को सुरक्षित रखना होगा ...

एक अनुवादक से: हाँ, मैंने लोगों की श्रेणी में आते हुए लोगों को समझा और कष्टप्रद स्थलों को दरकिनार करने के लिए विस्मयादिबोधक अंक दिए। दुख की बात है लेकिन सच है ।