我的短密码到底有多不安全？

Question

使用像 TrueCrypt 这样的系统，当我必须定义一个新密码时，我经常被告知使用短密码是不安全的，并且“很容易”被蛮力破解。

我总是使用长度为 8 个字符的密码，这些密码不是基于字典单词，它由集合 AZ、az、0-9 中的字符组成

即我使用像 sDvE98f1 这样的密码

用蛮力破解这样的密码有多容易？即有多快。

我知道这在很大程度上取决于硬件，但也许有人可以给我一个估计在具有 2GHZ 或任何硬件参考框架的双核上执行此操作需要多长时间。

要对这样的密码进行暴力破解，不仅需要循环遍历所有组合，还需要尝试对每个猜测的密码进行解密，这也需要一些时间。

另外，是否有一些软件可以蛮力破解 truecrypt，因为我想尝试蛮力破解我自己的密码，看看它是否真的“非常容易”需要多长时间。

Answer 1

如果攻击者可以访问密码散列，通常很容易暴力破解，因为它只需要对密码进行散列直到散列匹配。

散列“强度”取决于密码的存储方式。生成 MD5 哈希可能比生成 SHA-512 哈希花费的时间更少。

Windows 过去（并且可能仍然，我不知道）以 LM 散列格式存储密码，该格式将密码大写并将其分成两个 7 个字符的块，然后进行散列。如果您有一个 15 个字符的密码，那没关系，因为它只存储前 14 个字符，而且很容易暴力破解，因为您不是暴力破解 14 个字符的密码，而是暴力破解了两个 7 个字符的密码。

如果您觉得有需要，请下载一个程序，例如 John The Ripper 或 Cain & Abel（链接已隐藏）并进行测试。

我记得能够为 LM 散列每秒生成 200,000 个散列。根据 Truecrypt 存储哈希的方式，以及是否可以从锁定的卷中检索它，可能需要更多或更少的时间。

当攻击者有大量散列要通过时，通常会使用蛮力攻击。在浏览普通字典后，他们通常会开始用普通的蛮力攻击清除密码。最多 10 个编号密码、扩展字母和数字、字母数字和常用符号、字母数字和扩展符号。根据攻击的目标，它可以导致不同的成功率。试图破坏一个帐户的安全性通常不是目标。