題:
您創建真正可以記住的良好密碼的方法是什麼?
rsuarez
2010-11-19 22:29:15 UTC
view on stackexchange narkive permalink

使用您的語言使用一個長句子。破解一個短而難以辨認的密碼要比長一個“簡單”的句子容易。從喜歡的歌曲,報價等中選擇歌詞。

您可以用這種方式製作長密碼(即40個字符或更多),而不必考慮太多。

這種方法的唯一問題是,如果將其應用於多個站點,則可能會遇到一些站點,這些站點將密碼限制為少於句子的字符,然後您必須記住多個句子。
-1
@joshuahedlund並不是真正的問題,因為每個站點的密碼應該唯一。我的意思是不要兩次使用相同的密碼。我使用1Password來存儲密碼,通常隨機存儲30個字符,但如果站點將其限制為20個,我會生成一個較短的密碼。
38 答案:
gbr
2010-11-21 23:57:59 UTC
view on stackexchange narkive permalink

可以使用什麼方法來生成“人類”優質密碼?

它們必須確保強度高並且易於記憶。

創建一個非常好的,然後讓http://agilewebsolutions.com/onepassword完成其餘的工作。
由於沒有人回答,這不應該是社區Wiki嗎?
對於每個IT問題,都有一個相關的[xkcd漫畫](http://xkcd.com/936/)。
為什麼要求容易記住?如果容易記住,可能不夠強大。
lastpass密碼生成器,那麼您只需創建一個安全密碼即可生成所需數量的密碼,而無需記住大量不同的密碼。
我在密碼上看到的最佳建議http://xkcd.com/936/
我喜歡使用[1Password](http://agilebits.com/onepassword)的隨機密碼生成器,該生成器僅允許使用可發音的短語,例如“ wha-no-pirt-biqu-wu”。我認為這是隨機字符和能夠輕鬆記住密碼之間的良好結合。
paulmorriss
2011-08-11 16:05:00 UTC
view on stackexchange narkive permalink

此XKCD漫畫描述了一種生成良好密碼的方法。此類密碼短語的質量已在以下內容中進行了討論: XKCD#936:短複雜密碼或長字典密碼短語?

xkcd.com

這是一種相當不錯的方法,但是漫畫並沒有真正進入_how_來生成由隨機單詞組成的密碼。特別要注意的是,所選單詞必須“實際”是隨機的。“ thisismypassword”是由四個單詞組成的密碼,但由於選擇的單詞不是隨機的,因此可能不是很安全。為了確保您隨機選擇單詞,我建議使用[Diceware](http://world.std.com/~reinhold/diceware.html)。
AviD
2010-12-06 03:33:19 UTC
view on stackexchange narkive permalink

Ahem。
根據此密碼的用途,我將推荐一種加密技術,即使是密碼超群的Bruce Schneier也推薦該技術:

寫下來。

是的-為自己獲取一個REEAAAHEEELLYYY複雜的隨機密碼,該密碼您不記得了,然後將其寫下來。
當然,請將其寫在安全的地方,而不是附加到使用密碼的筆記本電腦外部。

+1同意。可以脫機攻擊數百萬次的任何內容都需要一個可笑的密碼,但是可以在不需要數千次嘗試的情況下將其發現為強密碼。
而這正是1Password,KeePass和LastPass等軟件旨在實現的目標。豎起大拇指。
如果您將其寫在紙上,請確保它是放在硬表面上的唯一紙。或者,使用軟尖筆。只是想一想...我發誓不是我家人看著_默德·她寫了_!老實說! :)
寫下密碼的問題是,每當您要使用這些網站時,都需要隨身攜帶該論文。如果您在旅途中,在旅途中工作,在某人的房屋等地方工作,您可能並不總是隨身攜帶該物品。可以使用公式來操縱單個強密碼,以使其適用於您所使用的網站。否則如上所述的LastPass是好的。
我的“作弊”方法是從一個鍵開始並沿對角線移動,以生成“顯然”複雜的密碼,這些密碼很容易記住。例如1qazSE $ rfv。您可以更改移動方式,鋸齒形變化等。只需避免水平滑行,因為鍵盤複雜度評估算法會嗅出並拒絕它們。
@HotLicks,的想法很糟糕,現在每個人都知道如何創建低熵密碼。
在紙上寫密碼通常不是一個好主意,原因是每次需要輸入密碼時,您都必須1)取出紙,2)仔細閱讀並輸入。通常,當您周圍的其他人(朋友,家人,同事)需要輸入密碼時,這些人最終會知道您將紙保存在什麼地方,並且也許還可以在您身邊時閱讀(甚至拍照)密碼。自己動手閱讀並輸入內容。
growse
2010-11-22 04:31:44 UTC
view on stackexchange narkive permalink

我用一個短語。一個適當的短語,包含多個單詞和空格,但我很容易記住。

“我最喜歡的月份是3號!”

您在哪裡使用它?您必須經常登錄的系統?恕我直言,大多數用戶都不想輸入42個字符的詞組。 ;-)
如果他們可以觸摸打字,那實際上並不是那麼困難。最大的問題是,大多數係統對長度都設置了荒謬的限制,否則它們將不接受空格。
您可以這樣做,並選擇每個單詞的第一個字母或最後一個字母。
這不比使用密碼安全嗎?假設您使用小寫和大寫字母以及8個字符,那麼您有52 ^ 8個組合,而我們在普通語音中使用的〜2000個單詞則提高到4/5的冪?
我還沒有完成數學運算,但是我可以想像,如果您包括一點點標記,數字和不規則單詞,那麼組合計數就很高。看到有人坐下來並正確解決問題會很有趣(我還不夠數學...)
實際上,52 ^ 8的收益為53,459,728,531,456,而2000 ^ 5的收益為32,000,000,000,000,000。對於僅5個單詞的“句子”,其大小要大3個數量級。另外,雖然我們大多數人通常只使用2000個單詞,但詞彙量卻大得多。加上原始帖子中的句子使用了9個單詞,其中一個甚至是一個單詞都無法在字典中看到的單詞。
某些密碼會被截斷:無論您的密碼有多長,密碼都將在用於身份驗證之前被截斷。 Linux和UNIX用戶密碼已成為罪魁禍首。其他密碼也可能與此有關。
選擇句子中的一個單詞並故意拼寫錯誤-“一年中我最喜歡的月份是第3個!”。仍然容易記住,並大大提高了安全性。
這種方法的唯一問題(除了對密碼大小的限制之外)是某人觀看您鍵入它的安全風險-唯一對您有意義而對其他人毫無意義的事情(例如,取每個單詞的第一個字母)應對這種特殊風險。再者,我上面的評論也有幫助。
@qbi,如果不麻煩用戶輸入長密碼,那麼該用戶就不安全。
“但是我不能費心把門鎖上!”好吧,小偷會來的,對我來說沒問題。
這是一種相當不錯的方法,但我寧願避免使用它,因為很難準確估計使用此方法生成的密碼的熵,因此很難確定密碼的實際安全性。Diceware密碼更容易獲得準確的熵估計值。
Mark Davidson
2010-11-22 02:21:41 UTC
view on stackexchange narkive permalink

我喜歡使用移開手指的方法。像“ stackoverflow”這樣簡單的密碼短語,在鍵入時將手指向右移動1個字符,您會得到“ dysvlpbtg; pe”,這很難猜測或破解。

儘管這樣做效果很好,但最好為此添加一些其他形式,例如令人難忘的數字和一些特殊字符,以使其成為真正的強密碼。

'dysvlpbtg; pe!1234 $'

使用此方法,很容易為您使用的每個站點使用不同且非常好的密碼,但仍然值得紀念。

更新:

@Larry & @AviD指出,如果這種方法變得更加普遍,則破解字典和其他攻擊方法將更可能考慮到這種方法。

很明顯,在難忘和超級安全之間是一個平衡。根據使用情況,應用其中一些技術將有助於使此方法更強大。

  • 不同的移位方式-不要僅向右移動1個字符。走不同的方式和/或移動不同數量的字符。再次使用“ stackoverflow”作為示例口令,向下移至“ xgz,l dfv.ls”,向右移2個字符,即獲得“ fudb; [ntyh'[r””。這開始改進了該技術,但顯然也可以被攻擊者採用。
  • 後綴和前綴-將後綴和前綴添加到組合中,“ @@ stackoverflow $$ ”為組合增加了其他可能性。
  • 與眾不同-建議使用許多不同的方法作為該問題的答案。對該問題的最佳答案可能是從每個問題中使用一點點,然後製定自己的方法。這樣,您將永遠記住它,並且如果它對其他所有人都是唯一的,則意味著它不會因為其他人沒有做相同的事情而變得脆弱。
請注意,如果這很普遍,則很容易對這種技術採用字典攻擊。
也已經有一些技巧將鍵盤放置考慮在內。
我確實同意你們,就像任何技術一樣,當它變得普遍時,它的安全性就會降低。改進此方法的一些建議是添加後綴和前綴。另外,不要只是向右移動1個字符,向另一個方向移動和/或移動不同的數量。
您應該考慮到存在不同的鍵盤佈局。
這種方法的問題是,一旦您忘記了它是“在前面添加@@,在後面添加$$,向左移動1並通過換行向下移動2”或“在後面添加##,在前面添加12,將2換行右移,將1換行右移”,您就有問題了:)有時您需要密碼才能訪問4年前上次訪問的地方...
當然,如果您更改為其他鍵盤佈局,可能會導致問題。但是,我們大多數人通常在旅行時只會遇到不同的佈局,因此無論如何都要在網吧計算機中輸入密碼並不是一個很聰明的主意,所以我猜測它可能被認為是疏忽大意的安全功能。 :)
Roger C S Wernersson
2010-11-22 12:00:45 UTC
view on stackexchange narkive permalink

我使用 Diceware。您需要一個六面骰子(或一個良好的隨機數生成器)和一個 Diceware單詞列表

擲骰子得到五個數字;例如34512。

在列表中查找單詞;例如 jinx

重複五次。

長度是密碼的最重要屬性。這將生成一個相當長的密碼。

/ Roger

長度不是最重要的屬性,例如與“ @#^(F3””相比,“ aaaaaaaaaaaaaaaaaaaaaaaaaaaa”被黑的速度更快,並且在不弄亂長度的情況下很難正確輸入。
我不同意。如果我編寫了一個使用蠻力查找密碼的程序,我將比長密碼更早地檢查短密碼。我也許可以在一天內破解六個字母的密碼。使用22個字母的a-password可能需要花費數年甚至數十年的時間才能使用蠻力。此外,我的確說過,MOST非常重要,不是唯一的屬性。您是否不鼓勵使用Diceware?
基本上,您的六個字母“所有ASCII可打印字符”密碼具有大約36位的熵。您的22個字符的不區分大小寫的拉丁字母密碼具有超過96位的熵。有關詳細信息,請參見Wikipedia(https://secure.wikimedia.org/wikipedia/en/wiki/Password_strength)
在長度和復雜性方面,一個並不比另一個更好。權衡取捨。您需要一定程度的複雜性和合理的長度。
@Roger,蠻力攻擊和字典攻擊之間存在區別。顯然,對較短的密碼進行暴力破解要比對較長的密碼進行暴力破解更快-但是字典攻擊可以在更長的時間內起作用,而對於較短的密碼攻擊您則被迫對整個密碼空間進行暴力破解。 Wrt熵,僅在使用整個空間的隨機密碼時才適用-不考慮熵或長度,更容易破解簡單密碼。
Diceware是一個很好的起點,因為它為您提供了一個隨機的廢話短語,您可以在自己認為合適的時候加以加強(隨機字符,多個單詞列表等)。
@Roger-diceware用於創建密碼短語,而不是密碼。因此,在上面給出的示例中,您將有6個單詞。當然,具有特殊字符的相同長度的隨機字母數字會更強,但更難記住和輸入。
我也推薦Diceware。不是因為_length_,而是因為_entropy_。Diceware會生成高熵密碼,這些密碼通常相對容易記住。長度本身僅是對最令人髮指的簡單暴力攻擊的有效防禦,而無論攻擊者採用哪種猜測策略,高熵密碼都可以抵禦暴力。
pkaeding
2010-11-22 08:01:26 UTC
view on stackexchange narkive permalink

我從喜歡的歌曲中選一行,然後從每個單詞中選出第一個字母。此密碼很可能在任何密碼詞典中都不存在。然後,您可以替換特殊字符。

例如,以貓王埃爾維斯·普雷斯利(Elvis Presley)的獵狗

您只不過是一隻獵狗,一直哭泣

這會變成:

  yanbahd,catt  

然後,撒上一些特殊的東西字符,彈奏箱子等。

  Y @ nBa!^ d,c @ Tt  

然後,如果您還記得這首歌詞,希望您能記住密碼。

將許多最常見的歌曲添加到密碼字典中是很容易的:那裡喜歡的歌曲的數量非常少(例如,與只有9個字母的單詞的數量相比)。同樣,單詞的首字母的熵也比一般字母的熵小。它有助於進行修改,但是人們往往會進行相同類型的更改(從a到@,從t到T,等等),從而不會將您帶到一個全新的水平。我更喜歡更隨機地連接大熵源的方法。將此與您第一次聽到這首歌的地方結合起來可能會更好。
我認為您在最終密碼中丟失了“ but”的“ b”。也許這就是避免字典攻擊的方法;-)
@tttppp啊,不錯!
@nealmcb好點了。我認為這是輸入密碼的一種聰明方法。我不太確定我是否同意“流行”歌曲的數量這麼少;什麼定義“受歡迎”?我同意貓王的歌曲是最受歡迎的歌曲,但是您可以選擇一首不太流行的歌曲,但對您來說有特殊的意義。您也不必從合唱中挑選一條線;你可以從詩句中選一條線。
@pkaeding儘管我猜想是一種針對性很強的攻擊,攻擊者可以從社交媒體上獲取您的音樂興趣,但只使用喜歡的歌曲將是毫無用處的。 :)
我強烈不同意@nealmcb:。攻擊者如何知道這是這首貓王歌曲的這兩行?攻擊者如何知道這些行中的“所有單詞”?取出所有流行歌曲,並以一種和兩種方式組合從這些歌曲中提取所有內容。現在,從每一行中刪除第一個和最後一個單詞。您的字典太大了,將毫無用處。
如果您在第500次嘗試之後就能檢測到攻擊,那麼密碼字典有什麼用?我想這取決於您對“好”的定義。如果您希望密碼永遠不會被破解,那麼將很難記住它。
我嘗試了這種方法一段時間,但是在4至5年中,您完全忘記了使用哪首歌去哪首歌以及在哪個位置使用特殊字符隨機生成它-您沒有機會記住它。至少我不知道。這就是為什麼我放棄這種方法的原因。
@StasM,是的,事實上,我也放棄了這種方法。現在,我忘記嘗試記住密碼了,因為擁有一個安全的密碼是不現實的,因此您不要在多個地方使用它。我現在使用一個密碼管理程序(我使用的是1Password,但是還有其他一些可能也一樣)。因此,我只記得一個安全密碼,然後將其輸入1Password。 1Password會記住我的所有密碼,並在需要新密碼時隨機生成新密碼。
-1
更重要的是,任何要求“我喜歡”的方案都可能會導致大多數人從偏頗的流行事物分佈中選擇,這使字典攻擊更加實用。相反,密碼方案需要良好的獨立熵源。
即使您上升到前40名,總行數也肯定少於一本像樣的字典,而且由於英語和音樂歌詞的構造規則,還會有很多重複。作為目前的群眾之一,這可能還不錯。但是,如果有人親自照顧您並且知道您的計劃,這將非常薄弱。如果此方案變得更流行,它將默認添加到JtR等中,此時它的遊戲結束了離線攻擊。
@JasonCoyne是的,這是一個很好的觀點,但是我認為這很可能是關於任何容易記住的密碼所造成的。如果某人專門針對您,那麼他們也可能會了解您在音樂中的品味,因此,即使是由晦澀的歌手在晦澀的歌曲中挑選晦澀的歌詞也可能不起作用。
好吧,骰子軟件等的要點是它們易於記住,但仍然具有很高的熵。對於您的方案,選擇3-4首不同的歌曲,然後從每首中選一個經文。
是的,我了解骰子背後的理論,但我懷疑它會導致容易記住的密碼短語。是“右腦電池吻合器”嗎?不,“正確的回形針”?
nealmcb
2010-11-29 12:17:14 UTC
view on stackexchange narkive permalink

http://www.schneier.com/blog/archives/2007/01/choosing_secure.html http://en.wikipedia.org/上有很好的建議Wiki / Password_strength

我認為關鍵是要結合至少兩個看似無關的非常大的熵源。例如。一個中等大小的單詞的一部分,與一個特質詞組開頭的字母結合在一起,中間帶有一些混合大小寫和數字/符號。這樣做的方式可以使您對這件事產生一個奇特而令人難忘的故事,並確保它足夠長,具體取決於這一切對您而言的重要性。練習一會兒,然後在一個相對私密的文件中對故事進行一些微妙的提示。

您還可以選擇一個長密碼或難以記住的密碼,以免煩惱: http:/ /www.schneier.com/blog/archives/2009/07/strong_web_pass.html

Steve
2010-11-25 23:54:09 UTC
view on stackexchange narkive permalink

我想到了一個謊言-一個不正確的謊言,然後把它變成一個恰當的句子,例如“天空真的是綠色的!”。 (這不是我以前使用過的)

它們很容易記住,因為它們很奇怪。

有四個燈!
Moshe
2010-11-22 00:11:00 UTC
view on stackexchange narkive permalink
  1. 我從一個密碼短語開始,例如 pancakes

  2. 接下來,我進行一些替換-添加數字,符號和大寫字母。 pAzc @ Kez

  3. 最後,我將為每個使用它的站點添加一個前綴或後綴,例如 pAzc @ KezStack

    PS:最好有一些基礎,並替換它們。

  4. ol>

    免責聲明:這不是我的任何密碼。 (是的,我在寫這篇文章時正在吃薄煎餅。)

是的煎餅!親愛的,現在*我想要一些煎餅...
這與Schneier所說的PRTK之類的工具非常成功地針對通用方法非常接近。 http://www.schneier.com/blog/archives/2007/01/choosing_secure.html我建議找到一種方法來令人難忘地結合兩個非常不同的熵世界。
erm ... http://security.stackexchange.com/questions/662/what-is-your-way-to-create-good-passwords-that-c​​an-actually-be-remembered/6124#6124
如果有人發現您的Stack Overflow密碼為“ pAzc@KezStack”,那麼他們將非常清楚您的Google,Apple,Facebook等密碼是什麼。此方案可防止自動跨站點密碼猜測,但不能手動進行。
無論如何,您如何還記得“ pAzc@Kez”?
user185
2010-12-03 00:08:15 UTC
view on stackexchange narkive permalink

我使用Mac OS X中的密碼生成器,將其設置為“可記憶的密碼”模式。

iivel
2011-02-07 21:57:43 UTC
view on stackexchange narkive permalink

我為該短語(替代密碼)使用了密碼短語和隨機數生成器。我每月重新生成我的鑰匙卡,並隨身攜帶一份副本。我發現它的偽隨機性質為準2因子身份驗證提供了強密碼。我所擁有的是我的鑰匙卡,我所知道的是我的關鍵詞。作為示例,我編寫了一個簡短的應用程序在此處構建它們:

例如:我的銀行密碼可以是“ banking”,並且會為我生成一個非常強的密碼,易於更改,並且我的密碼始終是銀行密碼。

http://levii.com/cipher.php

*編輯:就像一個註釋,我建議這樣做方法到/。社區早於2005ish,此後就沒有更新過。我一直打算將其作為MS-ISA程序的一部分進行一些真正的研究。

Thomas Pornin
2011-02-08 03:01:58 UTC
view on stackexchange narkive permalink

對於密碼,我使用以下命令:兩個字母,然後是兩個數字,然後是兩個字母,然後是兩個數字。字母為小寫。字母和數字是隨機生成的。

事實證明,生成的密碼很容易記住(至少,對我來說很容易;您的大腦可能不會像我的大腦那樣被佈線)。

此類密碼的一個優點是易於計算它們的熵:有26種 4 sup> x10 4 sup>可能的密碼具有這種格式,且概率均相同,因此熵約為32.09位(給定密碼的概率為1/2 32.09 sup>)。 32位熵對於 all 用法並不適用,但對於大多數(包括在線攻擊的所有用法)而言,它們已經足夠了。 在線攻擊是攻擊者必須針對每個猜測向“誠實”系統提出請求;例如SSH服務器。脫機攻擊(攻擊者可以根據自己的計算能力來限制猜測的“單獨”)更加恐怖,並且需要更強的密碼。

請記住,至少要了解自己的安全性才能獎勵:具有這種安全性很重要。

獎金:這是我用來生成那些密碼的C程序(在Linux和FreeBSD下編譯,應該在其他類似Unix的系統上工作):

  / * *用於生成密碼的小型實用程序。 * /#包括<stdio.h>#包括<stdlib.h>#包括<string.h>#包括<errno.h>#包括<sys / types.h>#包括<unistd.h>#包括<fcntl.h>static unsignedrandval(無符號最大值){靜態INT FD =  - 1;無符號字符x;如果(fd < 0){fd = open(“ / dev / urandom”,O_RDONLY);如果(fd < 0){perror(“ open”);退出(EXIT_FAILURE); }} for(;;){
無符號的val; for(;;){如果(read(fd,&x,1)< = 0){如果(errno == EINTR)繼續; perror(“ read”);退出(EXIT_FAILURE); }; } val =(unsigned)x;如果(val > = max *(256 / max))繼續;返回val%max; }}靜態intrandletter(void){返回“ abcdefghijklmnopqrstuvwxyz” [randval(26)];}靜態intranddigit(void){返回“ 0123456789” [randval(10)];} intmain(void){printf(“%c%c %c%c%c%c%c%c \ n“,randletter(),randletter(),randdigit(),randdigit(),randletter(),randletter(),randdigit(),randdigit());返回EXIT_SUCCESS;}  
您只有兩個類:數字和小寫。由於這麼多身份驗證需要大寫和特殊字符,您該如何處理?
非常奇怪,@pboin:,我在過去五年中生成的密碼都沒有大寫字母。可能有一些需要大寫字母和/或特殊字符的應用程序,但是根據我的經驗以及我對計算機的處理方式,它們一定很少見。
假設您說的是實話,那麼您剛剛揭示瞭如何構建經過調整的字典/算法,以大大減少針對您的登錄名的搜索空間。
@Andrew:是的,絕對如此。共有2個 32.09 密碼。假設攻擊者可以在自己的計算機上“驗證”猜測(這是“脫機”攻擊),這對於舒適而言太小了。一個好的協議將不允許這樣做(在Unix術語中:`/ etc / shadow`不能自由讀取)。
這是一個可怕的計劃。為什麼要對排列進行人為限制?知道這種方案,一個GPU每秒進行100億次無鹽md5嘗試的時間最多將花費**半秒**來覆蓋[az] [az] [0-9] [0-9] [az]的所有排列[az] [0-9] [0-9]。甚至咸密碼也會很容易受到攻擊。如果有人真的想使用該帖子,則應將其刪除。
如果使用單個MD5調用對密碼進行哈希處理,那麼您的弱點就是使用單個MD5調用。足夠的密碼存儲功能會調用哈希函數_millions_次,從而使攻擊成本成倍增長。您應該刪除的建議是使用普通MD5進行哈希處理;那是一個可怕的建議。適當的密碼哈希技術是bcrypt:http://en.wikipedia.org/wiki/Bcrypt
StasM
2011-01-01 06:46:21 UTC
view on stackexchange narkive permalink

對於中等安全性網站:

  1. 選擇一個您會記住的單詞,它的時間足夠長-假設它是豪豬
  2. 選擇您會記得的數字-不要使用您的出生年月日,也不要用於您的親戚等! -假設它是 28
  3. 當您需要密碼來保護站點安全性時。stackexchange.com-將其設置為 28-porcupine + SSC
  4. ol>

    此密碼可以記住,因為您只需要記住所訪問的所有站點的1個單詞和1個數字,並且可以輕鬆獲取任何站點的密碼。當然,您可以更改算法,但是想法是使用組合 f(n,w,s),其中 n w 是固定的和 s 是從站點名稱生成的。

    對於高安全性站點(又名“如果有人訪問此站點,我的生活就被毀了”)-生成長隨機密碼,將其寫下來,將本文放在安全的地方-例如護照,書名等等文件。

如果這些站點之一是惡意的,則它們可以看到您生成的密碼,並且可以輕鬆猜出您的算法,從而使它們可以在其他每個“中等安全性”站點中為您登錄。
@Paulo所提供的確實是一個站點,人們在仔細思考在那裡輸入的每個密碼(大概每天有數百人在註冊)中,然後猜測正在使用的算法(這些人很聰明,只用一個就可以猜測出來)實例)。我認為可以肯定地說發生這種情況的可能性很小。而且,如果該網站被證明是惡意的,給他們發送電子郵件的危害可能會更糟-我從某些我註冊的網站中收到大量垃圾,發現它們毫無價值,而且懶得尋找如何刪除我的帳戶。
正確的馬電池主食!
MattBianco
2011-02-08 22:05:06 UTC
view on stackexchange narkive permalink

不幸的是,許多系統對密碼設置了愚蠢的限制,因此生成“可記住”密碼的相同方法對我而言並不總是有效。

大多數時候,我不需要記住很多密碼。我將重要的代碼寫在 keepass 或PGP加密的文本文件中,或同時寫在這兩個文件中。

但是,我為unix系統選擇的大多數文件都是基於歌曲中的歌詞或只是愚蠢的短語或表達方式,我讓每個單詞成為一個字符,大小寫根據單詞的重音或語調或短語中具有更多“含義”的單詞而有所不同。最好在系統名稱/站點名稱之後加上前綴或前綴。

關於密碼長度:在網站上,我總是選擇超過8個字符的密碼。我的理由是,許多“笨拙”的系統設計人員僅存儲用戶密碼的MD5哈希值而不會產生任何鹽。網站要做被黑,即使我到處都使用不同的密碼,我仍然不希望腳本小子在預先生成的哈希表到純文本表中進行查找並找到我的“隨機數”那裡的密碼。

究竟。我鄙視所有密碼限制。有些網站要求8個或更多字符;他人的8歲以下(沒有意義);他人要求輸入數字或標點符號;其他人不允許標點符號。很難記住30個密碼,但是當所有站點都有不同的要求時,幾乎變得不可能。
Bradley Kreider
2011-02-09 09:56:12 UTC
view on stackexchange narkive permalink
  1. 隨機播放一副紙牌。
  2. 卡的順序是您的密碼。
  3. 為每個密碼購買新卡組。不要掉下甲板。
  4. ol>

    如果被脅迫,您可以放下甲板,或者在英國搜索房屋時,他們會分散您的甲板並刪除您的密碼/加密密鑰。

    ;)

然後您的孩子決定他們要玩紙牌.....
MasterZ
2011-04-05 04:27:15 UTC
view on stackexchange narkive permalink

密碼提示應該只是在不暴露實際密碼的情況下提醒您密碼的內容。

如果您使用基本密碼,但有時使用所有小寫或特殊字符,則可以使用

或者使用 LastPass,這是我最喜歡的密碼保存工具,幾乎可以用於所有內容。

>
Rory Alsop
2010-11-25 22:46:34 UTC
view on stackexchange narkive permalink

為避免彩虹桌受到攻擊,長度是關鍵。進行利用以獲取SAM文件或/ etc / passwd並在哈希上進行破解時並不少見。過去,我經常使用開膛手約翰(John Ripper)幾天,以查看哪些哈希可能被強行使用。這些天來,我會迅速將哈希散列到彩虹表上,並將所有密碼的95%設置為9個字符以內(如果我想檢查10個字符,我也可以下載該長度的表-它開始變得非常大...)

話雖如此,我使用的2種技術是:

  1. 像pkaeding-歌曲中的歌詞
  2. 舊的CVC CVC CVC CVC CVC方法(輔音,元音,輔音)與所需的熵程度無關
  3. ol>
Bill Weiss
2011-01-06 21:18:22 UTC
view on stackexchange narkive permalink

對於我的登錄密碼,我使用軟件(pwsafe或KeePass,無論我在哪裡)生成一個我需要的長度(9個字符?)的醜陋密碼。然後我把它寫在錢包裡的東西上。使用幾天后,我已經足夠記得了,並且切碎了紙張。那裡的備份將其保存在與密碼不同的其他計算機中的一個程序中:)

對於其他所有事情,軟件都會為我完成。讓程序記住您的密碼比自己做要好得多,我不太理解人們為什麼拒絕密碼。

有時人們會這樣做-例如,使用其Web瀏覽器中的密碼管理器來記住他們用於特定站點的幾個密碼中的哪個。更大的問題是“如果軟件出現故障,我的密碼是什麼?” -考慮到開玩笑的程度(可通過Google搜索/ Facebook個人資料找到),網站用於密碼恢復的“安全性”問題是多麼大。
Ventral
2010-11-22 01:04:16 UTC
view on stackexchange narkive permalink

我聽說過的一種方法是挑選一本書的書並在一行中使用每個單詞的第一個字母。如果您將單詞的大寫字母和奇數結合起來,則會得到一個不容易猜到的強密碼-您所要做的就是記住書和行!

JBirch
2010-11-29 16:37:05 UTC
view on stackexchange narkive permalink

根據我的需要,我將在一些隨機文件上計算MD5或SHA1,然後運行幾次。不過,這很弱,因為它只包含16個字符。

如果我需要更強大的功能,我將在 Tripcode搜索器中鍵入三個或四個字符,然後看看會拋出什麼回到我身邊。將其中兩個放在一起並運行幾次,您將獲得一個非常安全的密碼,因為它確實是隨機的。

Olivier Lalonde
2010-11-29 23:18:16 UTC
view on stackexchange narkive permalink

我在隨機頁面上打開一本大書,並使用〜8個第一個單詞/行的第一個字母。記住起來並不容易,但是很難完全“忘記”密碼。

Rory McCune
2010-12-03 16:19:54 UTC
view on stackexchange narkive permalink

與其他一些答案類似,對於某些密碼,它基於一個短語,我覺得很難忘,然後將其轉換為密碼。例如,

i;)@ 0dd ^的

是一個合理的密碼,我記得它是“我眨了眨眼”。通常,該詞或詞是基於詞組首字母的(通常帶有一些小人物的修飾詞和標點符號)。

pboin
2010-12-03 19:51:10 UTC
view on stackexchange narkive permalink

我使用perl模塊 Crypt:RandPasswd,該模塊可以創建由misc包圍的發音短語。特價商品和數字。我發現發音規則限制了鍵空間,但是它們使心理部分更加容易。即使必須查找密碼,我也可以記住它足夠長的時間才能首次正確輸入。

密碼可能看起來像這樣:Vorda#Capis%99 ^

>而是使用perl的內置rand()函數,該函數通常(是)基於基礎C庫的偽隨機數生成器函數構建的。
Andy Lee Robinson
2011-08-13 12:14:28 UTC
view on stackexchange narkive permalink

這是另一個針對音樂家的計劃:

  qiurtyuqytnreqwerwmqweqqqwnqqrtyyyttrrtyy7yytytrrtrqweqqweqerterttytreqtytreqqbqqbq32g5532g5532g5d5srr  cate> p 
Dracs
2011-09-18 22:07:18 UTC
view on stackexchange narkive permalink

我最近一直在看史蒂夫·吉布森(Steve Gibson)的 Off the Grid。這是一種基於紙張的加密,可以加密域名(或實際上的任何文本)並提供使用密碼。網站上有很多關於此的信息。

其基本知識是您使用26x26的字符表。該表遵循與數獨相似的規則(每行和每列中每個字符僅一個)。這從很多熵開始(最少1400位)。如何使用它的基礎知識非常簡單(我不會再為它們重新鍵入內容)。最大的風險是有人偷了您的電網。即使這樣,您也可以採取一些緩慢的步驟(應該足夠長的時間才能意識到有人偷了它)。這些方法包括

  1. 選擇其他起始位置
  2. 設置名稱(您可以通過在執行加密時預先添加/添加內容來實現此目的)
  3. 執行加密時(請閱讀相應的頁面),而不要選擇接下來的兩個字符。取而代之的是選擇接下來的三個字符,一個跨一個,左下兩個,等等。
  4. ol>

    我自己並沒有使用它,但是記住20個隨機字符並不困難我與 Passpack(在線密碼管理器)

    結合使用的字符
Vitaly Nikolaev
2011-11-29 20:58:13 UTC
view on stackexchange narkive permalink

改變您的生活:)所有密碼都極其複雜,無法記住其中的任何一個。獲取密碼管理器,我發現KeePass非常有用。

您可以將DB文件保存在保管箱上,並使用密碼+圖片(二進製文件)來訪問密碼,僅將圖片(文件)保存在可能使用的設備上可以從(不在保管箱上!)訪問密碼。

保持圖片可訪問但不太明顯。因此該系統仍然可以使用,但是如果黑客獲得了您的密碼數據庫文件,他們將無法通過蠻力對其進行訪問。

這樣,您將只需要記住一個密碼,這很容易。 / p>

定期更改它和文件,您就很安全。

DropBox會保留一個月的數據歷史記錄(?),因此在更改數據庫密碼時要記住它。 >

為KeepAss +1(我一直都在用這種方式拼寫錯誤。當我寫這篇文章時,*當然*是一個拼寫錯誤-那是我的故事,我堅持做; o))
Everett
2010-11-20 05:37:27 UTC
view on stackexchange narkive permalink

根據您在做什麼,帶有旋轉鍵的密碼又如何呢?示例:我的核心密碼是P4 $$ w3rdthati $ h4rd(是的,這確實是我使用的密碼)

我想將其用於GMail。我從P4 $$ w3rdthati $ h4rd開始並在末尾添加gm(P4 $$ w3rdthati $ h4rdgm)。這樣,我只需要根據自己的操作記住兩個或三個字母,因為我的密碼在各個服務(公共和私有)中相對一致。對於互聯網內容,我可以使用結尾修飾符(後綴),對於私人內容,可以使用開頭修飾符(前綴)。或將其插入中間。

如果您認為這是一種不好的做法,我很容易受到歡迎,但我從未遇到過有人猜測我的密碼,也不需要寫下任何密碼。

我們不再需要嘗試猜測您的密碼!
您無法猜測,啊,廢話……;)
真正的問題是,如果您使用此方案來註冊到不加密/哈希您的密碼的站點。該站點本身或該站點的攻擊者都可以讀取您的密碼-並根據此密碼找出您的方案,然後將其用於其他站點將非常簡單。雖然這是一個很大的風險,但我還是做了類似的事情... :)
我認為這是最好的答案,而不會使psw太長。
@AviD如果您認為“基本字” +“ gm”方案太簡單,則可以增加算法的複雜性。我有一個類似於Everett的基本詞,但是我的算法包括根據站點域中字符的數量替換某些位置的字母並在某些位置添加數字。 Voila,簡短而獨特的複雜密碼,易於記住。
August
2011-01-06 20:00:59 UTC
view on stackexchange narkive permalink

我通過隨機敲擊鍵盤上的按鍵以找到一種完全隨機,複雜的字符串,這種方式讓我的手指感覺舒適並且可以很快完成。我使用的技巧是:

  • 交替使用雙手之間的連續按鍵以提高速度,或使用鍵盤上彼此相鄰的小鍵盤組(2或3),使每隻手之間的組交替組成完整的密碼。僅僅用一隻手就很難快速輸入整個密碼
  • 從字面上講使密鑰隨機,並且不能拼寫任何東西甚至是其他形式的變體
  • 當您更改密碼時,請換一下手指模式足以擊打完全不同的鍵和鍵模式(並且同一模式不能沿任何方向移動1或2個鍵)

在我獲得隨機密碼後,我練習輸入新密碼幾次使我的肌肉記憶保持關鍵模式。設置密碼後,我將連續登錄幾個系統以進一步保留密鑰模式。

最後,您將獲得一個完全隨機的密碼,您很難忘記該密碼,因為您不是甚至都不會記住字符串,只是手指在鍵盤上所採取的一種模式,對任何人,甚至您,都沒有任何意義。有時,當我不小心在明文字段中鍵入密碼(每個人都在某個時候這樣做了……)時,它對我來說似乎完全陌生,因為我沒有想到字符串,只是我在鍵盤上敲擊的模式。

該方法也不會在不同用戶之間轉換為相似的密碼和模式,因為每個人的輸入方式不同。對於一個人來說,簡單快捷的輸入可能對另一個人來說更困難。

鍵入“隨機”很少會產生隨機字符。通常會有一些可識別的結構,因此也存在弱點。例如,左側字符,然後右側字符,雙音串,相鄰字符組。而是使用程序創建隨機字符串,然後練習將其提交給觸覺(肌肉)記憶。
l0b0
2011-02-07 22:14:18 UTC
view on stackexchange narkive permalink

創建一些新單詞:splur,bambile,egilomanifastic,spilomasilomagnitolistable。結合一些有趣的韻律和簡單的助記符。

user2382
2011-09-16 21:07:34 UTC
view on stackexchange narkive permalink

我過去常常用四個隨機詞,用一些字母代替數字,然後附加四個數字和一個特殊字符。問題是,這有點難以記住-現在,我從上個月閱讀的書中摘下了我最喜歡的那行,並做了類似的替換以及一些大寫的更改,例如:

“ A人的頭從沉睡中抬起頭來(編號9dream,David Mitchell)成為“ Ahum4nH34dR1s3sUpfR0mASw4mpOfSl33p!”

它具有可接受的熵,並且蠻力搜索的計算複雜性意味著這種攻擊是不切實際的。

George
2011-09-19 14:44:38 UTC
view on stackexchange narkive permalink

還有兩點:

a。與所有其他方法一起,增加熵的另一種方法是:

超越英語(普通)

如果我們結合(種子)來自多於一種語言,密碼猜測/搜索區域立即變為巨大。這肯定會使編寫密碼猜測規則的人感到困惑。

然後再次要求比“壞蛋”具有更廣闊的思維領域。也許可以歸結為 “我們”對“他們的”的理解 。也許,更廣泛的想法應該是:

不僅僅是CS方法

那麼,我們還能想到什麼其他方法來使密碼猜測更明智?

b。到目前為止,還沒有提到一個要點:從管理員的角度考慮,請不要忘記任何密碼生成規則也可能必須遵守組織的密碼策略。例如。我很難想到如何在企業環境(OK,解析器,字典等)中輕鬆實現和實施方法 words-by-spaces (使用不常見的單詞!)。 ...)

如何教育和說服用戶使用此方法或其他任何方法...?

iivel
2011-11-30 21:16:14 UTC
view on stackexchange narkive permalink

第一次推薦是類似lastpass或keepass的事情,但是我知道這些並不總是實用的,而且我的技術嫻熟的朋友當然也不想“再使事情變得複雜”,因此我發現替代密碼的工作原理相當有效並可以輕鬆記住您的密碼,同時使其不太可能被猜測或輕易被黑。

我在那裡舉了一個例子 http://levii.com/cipher.php...我至少使用4個字母的關鍵字(因此,“ BANK”代表我我的銀行卡“ WORK”用於我的工作),我不會費心找零-我將卡放在錢包裡,每隔幾個月就需要更改密碼來打印一張新卡。 (注意:這不是我用來生成卡的實際應用,但在概念上是相同的)

Shurmajee
2013-05-05 15:59:27 UTC
view on stackexchange narkive permalink

如果英語不是您的母語,那麼您很幸運。我建議您使用將英語單詞與您的母語或多種語言的單詞組合使用的密碼短語。這樣的密碼很難猜到。

當然,您應該選擇一個容易記住的密碼。我不是創建過於復雜的密碼的忠實擁護者,只是請記住,密碼不應該容易猜到,也不應該在字典中列出。

我還建議不要為您的所有密碼使用一個密碼帳戶。我維護了一小部分密碼(這將隨實踐而來)。您的網上銀行密碼不應再用於您的eBay或monster.com帳戶。一旦我單擊了工作站點的“忘記密碼”鏈接,他們就會以明文形式向我發送密碼。基本上,您不能信任那裡的每個隨機網站!

您假設攻擊者不了解您的母語。
-1
Paolo Perego
2010-11-20 04:03:34 UTC
view on stackexchange narkive permalink

讓您從歷史上或這段時間內從您喜歡的歌曲中選擇一首詩。

採用隨機句子,進行一些CamEl cAse排列,甚至可以使用腳本小子字符集替換

理想情況下,您寫了一個英語句子,例如:今天早上我很藍。實際上您的密碼可以是:Th1S M0rn1Ng I 4M s0 Blu3。

p>

易於記憶,並且在輸入一些內容後也易於鍵入。

sublimepua
2012-05-28 04:58:18 UTC
view on stackexchange narkive permalink

我的方式決不會牢不可破,這主要是因為它依靠模糊性來確保安全性,但是它比密碼重用更好,並且不依賴於記住太多。我使用所選擇的長密碼對重複的網址進行異或操作。這樣,您只記住一個密碼,而對一個站點的密碼存儲的損害不會對您其他登錄的損害。這具有無限變化的潛力。您可以輸入網址,然後輸入IP地址,網址反向,網址翻譯成西班牙語等,等等。

Lewis
2013-05-05 14:36:11 UTC
view on stackexchange narkive permalink

我使用的密碼很長,每次創建時都可以從內存中輸入密碼,方法是記住鍵盤上的一條特定的曲折路徑,該路徑通過字母,數字和符號,然後點按

這是一個不同的鍵,它們從我最喜歡的後dudstep音軌中以鼓型節奏的節奏構成該路徑,並根據網羅在該鼓型中的位置移動某些字符。

我使用的“路徑”,但是您可以看到此技術使您獲得密碼的複雜程度,並且通過一點點實踐就非常難忘:

  \] = {-p)o9I8u&y6T5r $ e3W2q  

然後針對不同的應用程序,我通常會在末尾添加我11歲時想出的舊Hotmail密碼,或者將出生日期倒退,或者類似我很容易記住的東西。

tasmaniski
2011-09-19 14:19:52 UTC
view on stackexchange narkive permalink

我的方法是更改​​一些具有相似數字的字母,每個新單詞都以大寫字母開頭。

例如:Th1sIsGreatPassw0rd!

i = 1,

0 = o

並在和!或其他的東西。

大多數密碼破解者(開膛手約翰等)會自動檢查常見的數字替換。如果我正確地記得統計信息,則此技術將使破解密碼所需的時間少於20秒。


該問答將自動從英語翻譯而來。原始內容可在stackexchange上找到,我們感謝它分發的cc by-sa 2.0許可。
Loading...