估计密码破解次数

Question

所以我最近一直在调查密码破解问题。我偶然发现了几个声称告诉你密码破解需要多长时间的网站。

真的，我想知道他们是怎么计算这个的。

据我所知，密码的可能组合是池大小^密码长度。例如，大写字母和小写字母的5个字母密码将是52^5 = 380204032个可能的组合，并且假设只使用强力方法，在密码破解之前只需要检查这些组合的50%。

那么，一个网站如何才能估算破解时间呢？当然，这取决于所使用的散列算法、处理能力等，还是它们只是假设每秒的猜测次数？

我想知道是否有一种确定/标准的方法来估计密码破解时间，如果有，它是如何计算的。

谢谢

Answer 1

假设只使用暴力手段

几乎从来没有这样的情况，所有半专业的饼干都使用一种组合的方法。然而，对于检查站点，实现可能不同..。通常，他们将实现一个简单的客户端基于JS的检查器，它可以使用所生成的统计信息(字典单词还是只略有不同？)长吗？->，这一切你都有答案)。

可能是最好的执行方式：

1. 密码(和散列)是否在最常用的密码列表或泄密上，因此通常由破解者进行测试？还有著名的xkcd 1和2。
2. 如果不是，复杂程度(字符集、特殊字符等)是什么？所以密码的熵？在密码( 复杂性 )和预先估计的开裂时间类别中，它是在哪里结束的？

最后，密码破解是便宜的，有服务出租，和2019年的成本估算在这里使用AWS和哈希猫。在hashcat或john the ripper中，您会看到它们实现的起始点，例如从您选择的字典开始(例如，使用特定语言的dict -例如，如果对手获得了西班牙语网站的散列密码数据库--而这些工具将使用典型的替换( o->0，a->4等)，在充分利用所有人类元素之前和之后添加短单词，添加数字(例如日期))。用户已经被限制(非常错误)选择一个单词，并通过添加少量的数字和在开头/结尾添加一些特殊的字符使其更加“复杂”。但很久以前就知道长于复杂性。

下面是来自一位著名的安全专家/研究员的另一个非常棒的解释，主题完全相同。

对于具体提到的站点，如果您检查网页的来源，目前有一个特定的JS资产，您可以将其放入美容器中。

view-source:https://howsecureismypassword.net/app.60d36fdc.js

它是12k行，所以我不能真正发布代码，但在一段时间内，这里是巴斯丁上的祝福版本。