Jag har gjort ett litet lösenordsprogram

Intressant! Dock känner jag också att jag hade föredragit att exekvera koden själv. Inte för att jag misstänker dig för något, men bara för att det känns som en onödig potentiell risk, när det är enkelt att undvika.

Jag hade tänkt fråga om du kände för att dela med dig av källkoden, men du skriver att den är fritt tillgänglig. Hur kommer man då åt den? Kanske jag som är dum, men jag förstår inte hur...

Tack!

En fråga, vad syftet är med rad 44 är i pwdhash.py? ( prehash = prehash[0:passlen] )
Om du trunkerar resultatet från den förra hashningen innan du hashar det hela igen så minskas väll säkerheten på det slutgiltiga lösenordet? Om du vill se till att olika lösenordslängder ger helt olika resultat så hade det väll varit bättre att lägga till data baserad på lösenordslängden innan nästa hashning, i stället för att minska datamängden som går till nästa hashning? Hade inte exempelvis prehash = prehash + str(passlen) gett ett bättre resultat?

Och denna kommentar är absolut inte negativ kritik från min sida. Jag har hunnit glömma en hel del av mina datalogi-studier, och jag kan mycket väl ha missat något uppenbart.
I övrigt tycker jag det ser vettigt byggt med snygga lösningar!

Du har ingen plan på att släppa en iphone app ;>

Nja, antalet tecken är ju det viktigaste. Så länge man inte vart dum och använt typ SAOL och enbart hela ord ur denna som giltiga saker att stoppa i lösenordet. Om grunden är säg, 10-40 tecken inkl specialtecken(och blanksteg) så är ju "Jag har dåligt minne" faktiskt säkrare än "1am!di0t" även om det senare ser svårare ut.

edit**
Blanda sedan in flera olika språk m.m. så blir det ännu värre.

En korrekt mening blir ju ändå ett ganska svagt lösenord.

Ingenting spöar ju slumpen. Frustrerande, men också en styrka förstås.

Jo, fler tecken
6 slumpmässigt utvalda tecken är i alla lägen sämre än säg, 16 tecken. Så länge reglerna för hur dessa tecken väljs är desamma.
Det är ungefär som att "0005" är en lika säker pinkod som "6549" under förutsättning att man bara har 3 försök på sig.

Så har du en regel som säger t.ex. 6-48 tecken i spannet a-z och 1-9 samt specialtecken så är "Kokosnöt" lika slumpmässigt som "B4n4n3r!". Det handlar bara om vilken typ av attack som används. Att använda ordlister som attackmetod kringås genom att byta ut tecken och använda sig av specialtecken. Men då detta idag är vanligt beteende så är även det lätt att förutsätta vilket då inte heller egentligen bidrar till säkerheten. Att då använda flera delar av detta gör dock det hela mycket svårare. Att t.ex. då använda "Meu cyklar bleu beer" ger oss specialtecken (mellanslag) plus att eftersom lösenordet lika gärna kan vara lika många helt slumpmässiga tecken. Det är då alltså omöjligt att gissa vilken typ av attack som kommer vara mest effektiv. Och även om man gissar rätt på detta, så har man alla ord ur portugisiska, svenska, franska och engelska ordlistor att jämföra inte bara med sig själv, utan med varandra. Och det är förutsatt att inga slangord eller annat som ofta inte finns med i ordlistor använts.

Så visst, vanliga och korrekta meningar är inte så säkra om en ordliste-attack används. Men rena nonsens-lösenord är inte mycket bättre dem heller. Att byta t.ex. en 20-teckens mening mot ett 8-teckens nonsens-lösenord skulle troligen inte ge så mycket även om det ena SER mycket krångligare ut.

Hmm, problemet man försöker lösa är väl ngt i stil med:

Vilket är starkast av följande två alternativ?
1. Det längsta slumpmässiga lösenord du kan komma ihåg.
2. Det längsta "regelbundna"(uppbyggt efter ngt slags system, en korrekt mening är ju ett enkelt exempel) lösenord du kan komma ihåg.

Precis, med tillägget att de är lika säkra under förutsättning att den som försöker knäcka det inte vet vilken typ av lösenord som används och att man undviker de vanligaste varianterna.

Jag skulle säga att en viss "typ" av lösenord bara förtjänar att användas om den medger en så pass stor ökning av lösenordets längd att det är starkare trots att det är känt vilken typ det är av.

Annars är ju säkerheten beroende av om man vet typen. Som om "jaha, RSA *knäckt* ".