Hur stark är lösenordet MAC genererar?

Trädvy Permalänk
Avstängd
Registrerad
Jan 2018

Hur stark är lösenordet MAC genererar?

MAC föreslår eget genererade lösenord, tror alla som har MAC känner till det. Typexempel som den genererar kan se ut så här:
WE2-Qws-2qA-aaW

Finns egentligen inget som är bombsäkert men skulle det inte vara ändå lite svårare med den andra tecken: ,;?!'#%&=.. ?

Nu vet jag att man kan välja eget också!

Trädvy Permalänk
Medlem
Plats
Örebro
Registrerad
Maj 2013
Skrivet av HabboCalle:

MAC föreslår eget genererade lösenord, tror alla som har MAC känner till det. Typexempel som den genererar kan se ut så här:
WE2-Qws-2qA-aaW

Finns egentligen inget som är bombsäkert men skulle det inte vara ändå lite svårare med den andra tecken: ,;?!'#%&=.. ?

Nu vet jag att man kan välja eget också!

Spelar ingen roll, hur ska angriparen veta att du har # eller %?
Dom lär vilket som testa alla.

Det är bättre att ha typ: "Din m4mma bakar bil däck-till fruk0st" än "j3^5#?1"

CPU: Intel i9 7900X @ 4.6Ghz Mobo: MSI X299 Sli Plus GPU: GeForce GTX 1080Ti Ram: G.Skill 64GB (8x8GB) DDR4 3600Mhz PSU: Corsair AX860i SSD: Samsung 950-series PRO 256GB M.2 SSD: Samsung 850-Series PRO 512GB Chassi: Fractal Design Define C Kylning: NZXT Kraken X62 Steam

Trädvy Permalänk
Avstängd
Registrerad
Jan 2018
Skrivet av Garderoben:

Spelar ingen roll, hur ska angriparen veta att du har # eller %?
Dom lär vilket som testa alla.

Det är bättre att ha typ: "Din m4mma bakar bil däck-till fruk0st" än "j3^5#?1"

Är det sant? Så hellre din syst3r usch än 135)(:;)7?

Skickades från m.sweclockers.com

Trädvy Permalänk
Medlem
Plats
Uppsala
Registrerad
Mar 2008
Skrivet av HabboCalle:

Är det sant? Så hellre din syst3r usch än 135)(:;)7?

Skickades från m.sweclockers.com

Nej, syst3r är för enkelt där emot är "m1n syst3r heter Anna, och är 55!" ett bra lösenord då det är långt men du kan komma ihåg det.

Göm hornen ko!

Trädvy Permalänk
Medlem
Registrerad
Mar 2006

Jag brukar leka lite med https://howsecureismypassword.net/ för att se hur starka olika lösenord är

När folk är överens med mig har jag ofta en känsla av att jag måste ha fel.

Trädvy Permalänk
Medlem
Registrerad
Jul 2017

För att räkna ut minst hur säkert ett lösenord är:

1. Anta att den som ska knäcka ditt lösenord vet hur lösenordet har genererats.

2. Räkna ut hur många möjliga lösenord som finns på den formen.

3. Ju större detta antal är, desto säkrare.

Jag vet inte hur "MAC" genererar lösenord, men jag har aldrig sett något verktyg som genererar lösenord i grupper av tre slumptecken med bindestreck mellan.

För bäst hjälp, försök att svara på alla frågor som ställs i ett inlägg. Då slipper vi fråga om samma sak fler gånger, och du får hjälp snabbare.

Trädvy Permalänk
Medlem
Registrerad
Aug 2016

'MAC' försöker göra samma sak som tumhjulen på låset på en resväska - där vare hjul har numrering från AAA - zzz + siffror, minustecknet är då 'skiljeväggen' mellan hjulen.

Det är ingen fel med detta, faktiskt alldeles utmärkt om det tillsammans (produkten av...) är tillräckligt stort antal hjul i kombination med tillräckligt stort 'alfabete' på varje hjul att välja mellan - men dessa långa slumptals-sekvensen är väldigt svår att lära sig utantill för de flesta och istället väljer väldigt dåliga passord som är lättgissade (alla ovanstående förslag med substituerade ord (byter ut tecken som liknar annan tecken som 3 för E etc. ) och meningsuppbyggnad i frasen räknas som lättgissade och är det första som provas vid angrepp)

Skall man erbjuda attacksvårighet så måste tecken i passordet eller orden i passfrasen vara sant utvalda av slumpen och _aldrig_ modifieras i efterhand i syfte att få det lättare att kunna läras utantill.

Om man räknar på styrka på TS 'MAC' så är varje 'tumhjul' på 3 alfanumeriska tecken och varje tecken i sin tur är från ett urval av 62 tecken (stora, små, numerisk - ej nationella tecken eller mellanslag inräknad) vilket ger att varje tumhjul har 62^3 lägen som är lika med 238328 lägen (17,86 bitar i entropi)

I exemplet TS visade hade man 4 'tumhjul' vilket då kan räknas som 238328^4 eller om man vill 62^(3*4) = 3.226e21 alternativ - räknat i bit entropi blir det då 71.45 bitar.

Om man nu skall ha passord eller snarare passfras som det blir med skiljetecken mellan grupperna så är Dicewares metod bättre (använder samma teknik som ovan med 'tumhjul') eftersom du får ord som är mycket lättare att lära sig utantill än slumpmässiga teckensekvenser. - 6 ord rekommenderas för 77.55 bits entropi (dvs. 2.45 bitar ifrån fullt ut i räknerymd av vad 160-bit hashalgoritmer (= 80-bit styrka effektivt pga. födelsedagsparadoxen) kan ge som RIPM160 och definitivt bra bit förbi styrkan som SHA1 (som är nedklassat från 80 till ca 63 bit styrka numera) och md5 (bit till under 63 bit och knäcks på regelbunden basis).

Här har man finessen dessutom att orden har olika antal tecken vilket gör att positionerna för skiljetecken inte är fixt placerade som i TS 'MAC' exempel i grupper om 3 utan varierar i position med framslumpande ord och ordlängd, vilket försvårar angreppet ytterligare en smula.

Man kan använda vilken skrivbar skiljetecken mellan orden som helst, men mellanslag avråds av flera skäl - detta att det är annat ljud på mellanslagstangenten när den knackas ned, men också att en del inmatningsrutiner kan klippa vid första 'whitespace' som slutet av inmatningen vilket gör att passordet blir bara 1 ord stark mot tänkta 4-6 ord.

En av flera 'online' generator för diceware inklusive ordlistor på flertal olika språk för detta är https://www.rempe.us/diceware/#swedish men körs lokalt på din dator mha. javascript (går att ladda ned och köra separat i en web-browser av tillräckligt modernt snitt)

passfras med 6 svenska ord i diceware kan då se ut liknande:

"skaft-dofta-ss-!-oviss-snava" för 77.55 bits entropi och tar genomsnittligt 3505 år att knäckas med dator som testar 1000 miljarder tester i sekunden, trots att angriparen vet att diceware-ordlista används och vilket språk av det, och vet hur många ord som används - information som normalt inte finns för en angripare.

medans TS exempel med 'MAC' med "WE2-Qws-2qA-aaW" har 71.45 bit entropi och tar det genomsnittligt 448092 timmar eller 51 år med dator som testar 1000 miljarder tester i sekunden.

(edit - Såg först nu att det var 4 tecken i sista gruppen i "WE2-Qws-2qA-aaW" - det ger 5.95 bit till och med 71.45 + 5.95 = 77.4 bit, vilket är samma nivå som ovanstående sekvens med diceware "skaft-dofta-ss-!-oviss-snava" och då ca 3000 år attack tid)

Dessa båda med minustecken som skiljetecken, och som skiljetecken man man välja vilken tecken som helst

Diceware baserar sina ordlistor på 7776 noga utvalda ord för olika språk (eftersom man anser att man kommer ihåg orden bättre på sitt modersmål) och antalet anpassad för att man skall kunna 'kasta' fram orden med upprepande tärningskast för att vara helt säker på att ingen mjukvara kan 'färga' urvalet till en lättare gissningsbar version via av några av olika underrättelstjänsters diskreta hack på slumptalsgeneratorer i datorer - (dom mest kända hacken är NSA:s elliptiska slumptalsgeneratorer man lurade in i olika standarder via NIST och tvingade företag som tillverkade routrar mm. att börja använda denna i TLS-protokollen och andra internetprotokoll - enkom för att kunna tjuvlyssna på krypterade internettrafiken (läs https:)- detta har redan hänt alltså!!) idag så används inte denna version även om stödet finns i alla libbar för detta.

Trädvy Permalänk
Avstängd
Registrerad
Jan 2018
Skrivet av pv2b:

För att räkna ut minst hur säkert ett lösenord är:

1. Anta att den som ska knäcka ditt lösenord vet hur lösenordet har genererats.

2. Räkna ut hur många möjliga lösenord som finns på den formen.

3. Ju större detta antal är, desto säkrare.

Jag vet inte hur "MAC" genererar lösenord, men jag har aldrig sett något verktyg som genererar lösenord i grupper av tre slumptecken med bindestreck mellan.

Så är det på MAC iaf.

Trädvy Permalänk
Medlem
Registrerad
Aug 2016

Det är inte så krångligt om man förstår exponenter - eller snarare vad de betyder

62^3 är samma sak 62 * 62 * 62 - du har säker en 'y^x' på din miniräknare om det är lite bättre än enklast möjlig.

om man skall omvandla antal valalternativ till antal bitar så gör man ett trix

ln(antal valmöjligheter) / ln(2) - 'ln' är då här naturliga logaritmen

dvs.:

ln(62) / ln(2) = 5.954 -> varje slumpmässig tecken vald ur en 'alfabete' av 62 tecken (stora och små tecken samt siffror ur ASCII-tabellen) är värt 5.954 bitar i entropi per tecken.

skall man ha minst 80 bit entropi så tar man 80 bit / 5.954 bit = 13.44 tecken

dvs. i praktiken minst 14 slumpvis valda tecken i sitt passord.

varje tecken som kan gissas i förväg - som skiljetecken mellan 3-teckens-grupper som i "WE2-Qws-2qA-aaW" - räknas inte som giltigt tecken, dom finns inte, helt enkelt i avseende passordet styrka.
----

Vet inte om din exempel är korrekt avskrivet med 3 eller 4 tecken på sista gruppen - är det 4 tecken på sista gruppen så har du plötsligen 3000 år i knäck-tid

Tror att > 95% av alla anser att de inte har data så viktig att det blir katastrof om det läcker ut - men det spelar ingen roll - fel folk skall inte tassa runt i saker de inte har med att göra, är man kriminell så läcker man så mycket annan information och medel (= spenderar pengar) att folk kan se att man inte har rent mjöl i påsen, men det tar lite mer tid att få fatt på dem

Är övervakning billig att utföra så blir det lätt missbrukat - att Hitler kom till makten berodde till stor del på att med stort företags försorg gjorde att folkbokföring blev billig att utföra med maskinell hjälp sortera och resultaten därefter bedömande av 'ekonomer' (med egen agenda och åsikter) kom fram till olika folkrupper som var 'närande' respektive 'tärande' på samhället - resten av historian vet vi.

Idag har vi motsvarande manipuleringar som med face-books blåögdhet och villighet att sälja information mot pengar (Just i det här fallet - nya varianter på samma tema kommer i framtiden), analys och sedan påverkan tillbaka genom samma kanaler på facebook - troligen hade en påverkan i USA-valet och presidenten där.

---

Och 50 år är något som kan tas ned i kanske enstaka månader om man har säg 100 välbestyckade datorer/riggar med flertal GPU-kort var av motsvarande klass som idag används för bitcoin mining - en myndighet som verkligen vill in kan skrapa ihop resurserna genom att hyra tid på Amazon tex.

Mitt exempel med diceware och 6 ord gav ca 3000 år knäcktid med rejäla resurser - sätter jag ett enda symbol/bokstav/siffra till (med skiljetecken mellan) så går det från 3000 år knäcktid till 27 miljoner år knäcktid, då hjälper det inte ens att hyra allt tänkbar beräkningsresurser på Amazon eller någon annan underrättelstjänsts datapark - eller hela jordens nuvarande datapark parallellt...

eller om man vill, det är annat tex. hash-rutinerna som kommer att visa svagheter innan passfrasen är knäckt

Trädvy Permalänk
Medlem
Plats
Norrköping
Registrerad
Jul 2015
Skrivet av Basse:

Jag brukar leka lite med https://howsecureismypassword.net/ för att se hur starka olika lösenord är

Enligt den så skulle mitt "vanliga" lösenord ta "4 miljarder år att knäcka". xD

Vad tusan baserar de informationen på?

Skrivet av pv2b:

Jag vet inte hur "MAC" genererar lösenord, men jag har aldrig sett något verktyg som genererar lösenord i grupper av tre slumptecken med bindestreck mellan.

Safari i kombination med iCloud keychain.

Trädvy Permalänk
Medlem
Registrerad
Aug 2016

https://howsecureismypassword.net/

ger jag inte mycket för i bedömningen, verkar baserad på ganska enkla regler på antal, hur slumpmässigt fördelning bokstäver det är (komprimerbarhet?), om det har siffror, stora/små tecken och symboler - sedan verkar den barka pipsvängen i antal om man går över 15 tecken.

en riktig test borde ta en del tid - jämförande med kända läckta och av-hashade passord från några av de stora läckta databaserna (vi pratar om många miljontals passord i klarspråk även i sorterad form) det är ett antal TB-med data att traska igenom.

och till slut vill man inte för livet prova sin kanske väldigt bra passord/passfras på en online-tjänst...

Trädvy Permalänk
Medlem
Registrerad
Okt 2001

Långa lösenord (minst 20 tecken imo) kommer alltid vinna i längden, oavsett special tecken och siffror,.. el har jag helt fel.

Hmm :thinking:

Trädvy Permalänk
Medlem
Plats
Mölndal
Registrerad
Okt 2013

Kan rekommendera dessa videor för att få en djupare inblick i hur lösenord knäcks.

Sällan används rena bruteforce metoder då dessa är ineffektiva beräkningsmässigt. Det är oftare man riktar sig mot läckta hashtables som kommit ut på nätet efter intrång mot olika företag och myndigheter. Det är därför är det är så viktigt att man har olika lösenord på alla hemsidor, för om man lyckas hitta hashen till ett lösenord behöver man aldrig spendera datorkraft på den hashen igen (förutsätter samma hashalgoritm). Videorna förklarar mycket bättre än vad jag lyckas göra, men det vikigaste att med sig från dem är att aldrig använda samma lösenord på mer än ett ställe.

Stationär Dator Intel Core i7 4790k 4.85 Ghz @1.3V, Kelvin S24, Gigabyte Windforce GTX 970, Kingston Hyper X 4x4 GB 1600 MHz, Samsung 840x3, Msi Z97 Gaming 7, Windows 10 Pro / Debian, Beyerdynamic DT 990 PRO, Asus PG279Q. Bärbar Dator Lenovo Yoga 720 Nas FreeNas 4 Tb

Trädvy Permalänk
Medlem
Registrerad
Dec 2015
Skrivet av Basse:

Jag brukar leka lite med https://howsecureismypassword.net/ för att se hur starka olika lösenord är

hehe:

Citat:

It would take a computer about

88,047,656,427,544 NONAGINTILLION YEARS
to crack your password

Why not create even stronger passwords with Dashlane?

Bäst att jag rådfrågar dashlane hur jag kan få det lite säkrare

Trädvy Permalänk
Medlem
Registrerad
Aug 2016
Skrivet av monoleg:

Långa lösenord (minst 20 tecken imo) kommer alltid vinna i längden, oavsett special tecken och siffror,.. el har jag helt fel.

Hmm :thinking:

Nja, över 12 tecken anses ganska säkert om det är maskinframslumpat och använder stora/små bokstäver, siffror och symboler helt slumpmässigt blandat och inte använder dumma lättgissade ord - men i de läckta och crackade hash-tabellerna finns det exempel på uppemot 30 tecken i rad och password liknande

"LFtLQvq8cv
lftnrjhjdfvjkjrj
lftoCOC995
Lftpo3q65E
lftqh3hc
LfTVtOtsOxkSjwJv
lftzhu19920529
lfu13967991323
LFUb7IRC7
lfybc01062011[.=\-.]"

bryts regelmässigt (ovanstående är autentiska passord från krackade hash-listor)

att ovanstående hackas beror på att dessa inte är tillräckligt slumpmässiga och några av dessa är knappturer runt vissa knappa eller finger eller knogrullning över tangentbordet

alla liknande tricks med att klappa/banka/kloa på tangentbordet på olika ställen, knog, armbågar, huvudet mot tangetbordet, spelsättning för favospelet - allt sådan finns redan i alla tänkbara kombinationer - chansen är extremt liten att hitta en ny variant som inte redan är tagen sas.

...

Det finns egentligen bara 2 alternativ om man skall klara en offline-attack med stora resurser över tiden.

Passord på minst 12 (alla skrivabar tecken och symboler enligt ASCCI-tabellen) till 16 tecken (stora, små och siffror), rena maskinframslumpade tecken och symboler - ingen hittepå av mänsklig hjärna...

passfraser över 16 tecken - minst 6 ord enligt lista och regler från diceware och motsvarande ordlistor enligt tekniken 'tumhjul på resväskans lås' med stora 'alfabeten', slumpmässigt olika ordlängd och skiljetecken mellan orden.

och slutligen - olika passord på olika ställen vilket innebär passord och passfras-manager program då det är helt omöjligt att hålla multipla starka passord i huvudet - speciellt dom man sällan använder.

var inte rädd att skriva ned passord/passfraser - blanda upp med nonsenspassord runt om så att det inte går att se vilken som används (med kanske ett utelämnat ord) eller använd metod liknande https://www.passwordcard.org/en i plånboken med eller utan hemligt extraord i sekvensen

Trädvy Permalänk
Medlem
Registrerad
Okt 2001
Skrivet av xxargs:

Nja, över 12 tecken anses ganska säkert om det är maskinframslumpat och använder stora/små bokstäver, siffror och symboler helt slumpmässigt blandat och inte använder dumma lättgissade ord - men i de läckta och crackade hash-tabellerna finns det exempel på uppemot 30 tecken i rad och password liknande

"LFtLQvq8cv
lftnrjhjdfvjkjrj
lftoCOC995
Lftpo3q65E
lftqh3hc
LfTVtOtsOxkSjwJv
lftzhu19920529
lfu13967991323
LFUb7IRC7
lfybc01062011[.=\-.]"

bryts regelmässigt (ovanstående är autentiska passord från krackade hash-listor)

att ovanstående hackas beror på att dessa inte är tillräckligt slumpmässiga och några av dessa är knappturer runt vissa knappa eller finger eller knogrullning över tangentbordet

alla liknande tricks med att klappa/banka/kloa på tangentbordet på olika ställen, knog, armbågar, huvudet mot tangetbordet, spelsättning för favospelet - allt sådan finns redan i alla tänkbara kombinationer - chansen är extremt liten att hitta en ny variant som inte redan är tagen sas.

...

Det finns egentligen bara 2 alternativ om man skall klara en offline-attack med stora resurser över tiden.

Passord på minst 12 (alla skrivabar tecken och symboler enligt ASCCI-tabellen) till 16 tecken (stora, små och siffror), rena maskinframslumpade tecken och symboler - ingen hittepå av mänsklig hjärna...

passfraser över 16 tecken - minst 6 ord enligt lista och regler från diceware och motsvarande ordlistor enligt tekniken 'tumhjul på resväskans lås' med stora 'alfabeten', slumpmässigt olika ordlängd och skiljetecken mellan orden.

och slutligen - olika passord på olika ställen vilket innebär passord och passfras-manager program då det är helt omöjligt att hålla multipla starka passord i huvudet - speciellt dom man sällan använder.

var inte rädd att skriva ned passord/passfraser - blanda upp med nonsenspassord runt om så att det inte går att se vilken som används (med kanske ett utelämnat ord) eller använd metod liknande https://www.passwordcard.org/en i plånboken med eller utan hemligt extraord i sekvensen

TLDR, sorry

Trädvy Permalänk
Medlem
Plats
Långtbortistan
Registrerad
Feb 2009

The Macintosh uses an experimental pointing device called a 'mouse'. There is no evidence that people want to use these things
John C Dvorak