如果一个密码重复一个字符序列，它会变得更容易破解吗？

Question

我认为，如果您在密码中重复了一系列字符，密码就会变得更容易破解。我试过其中一个网站，它能让你估计用暴力攻击破解密码需要多长时间(可靠性令人怀疑的网站，但无论如何)，它似乎没有表现出任何软弱的迹象，它多次重复20个字符(密码增加了30个数量级)，那么我的问题是，如果密码重复一个字符序列，是否会变得更容易破解？

Answer 1

不完全同意。更确切地说：

• 对于任何给定的人工生成的密码(基于已知的单词或字符序列)，从该基单词中重复字符序列以创建更长的密码，使得特定的密码比底层的基本单词稍难破解.
• ..。但由此产生的更长的密码将本质上比其他相同长度的密码弱，这些密码是使用更强的长度扩展方法创建的.
• ..。密码强度计很难分辨这两者的区别。

要理解其中的原因，我们需要了解人类的密码记忆策略，以及密码强度计的局限性。

像复制字母这样的人工密码策略是满足密码长度要求的常见方法，因为用户的增量认知负担很低(只需要用户记住更多的信息)。例如，如果最小密码长度要求为12，则密码paaaaassword满足该要求，用户只需记住两件事：

1. 我的密码以单词password作为基础。
2. 然后，我只需重复a四次。

使用“诡计”增加密码长度只会略微提高攻击的抵抗力。虽然新密码的原始Shannon熵更高，但新密码的有效熵仅略高于基本单词本身--因为它实际上只是另一条附加信息--这意味着攻击者可以很容易地使用它。许多密码延长策略(添加数字、添加几个常见的特殊字符、加倍单词等等)都是众所周知的密码破解者。大多数破解软件可以在非常高的速度下尝试这些策略。

因此，向人工生成的密码中添加重复字符这样的策略在密码攻击中很容易实现.但在密码强度计中实现它们要困难得多。

这就是为什么密码强度表是出了名的不准确。一个米可以使用广泛的一般力量测量(复杂性，合成规则)，和近似一些基本的攻击(面具，简单的文字列表，等等)。但是一米不可能模仿数百万个基本单词和人类密码生成规则的组合.没有开始表现得越来越像密码破解引擎。为了给用户提供实时反馈，这样的计量器需要更快的速度。

因此，重复字符的策略只会略微增加有效熵，这将导致高速攻击.但是密码强度计不能用相同的攻击策略来区别。

Answer 2

如果你说的是一个经典的蛮力攻击，那么重复一个序列也不会有什么不同。每个字符组合都会依次尝试，因此密码的长度与破解的时间成正比。

一个10个字符的典型英语密码有大约70^10种可能的组合，或2.8与18个额外的零

一次字典攻击可能会使用20,000个单词，所以重复一个单词两次可能会增加你的长度，但它仍然很容易受到这种攻击。

Answer 3

我要说是的，你的密码不应该有共同的模式。我将试图解释为什么，但首先请允许我给出一些历史背景。

传统上，暴力攻击是一种攻击，它试图通过每一个可能的组合，直到找到正确的组合。这种方法今天大体上已经过时了。

它被字典攻击所取代，字典攻击会取一个单词列表并尝试尝试该列表中的每个单词，直到找到正确的单词为止。这些单词通常是常见的密码，其名称来源于它最初只是尝试字典中的每个单词，因为大多数密码都是单个单词。

今天，我们有相同的单一单词密码，但大多数人在结尾加数字，或试图以某种方式使其复杂化。大多数针对密码的攻击仍在使用字典方法，但其中许多现在也使用规则列表。这些列表从单词列表中提取每个单词，然后将其置于规则中，生成相同密码的几个变体，通常在末尾添加数字，并将特定字符替换为其他字符，这些字符是试图增强密码的人可能采取的典型行为。

所以简而言之，是的。您正在为您的密码创建模式。有些规则将包括这种类型的行为。尽量让它变得不可预测。