security - 考虑摩尔定律的密码强度检查器？

Question

就目前情况而言，这个问题不太适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、民意调查或扩展讨论。如果您觉得这个问题可以改进并可能重新开放， visit the help center以获得指导。

已关闭 10 年前。

我打算对我的帐户进行年度密码更改，并尝试了各种网站(microsoft、lastpass 等)来尝试假设密码。有些网站在评估密码强度方面似乎比其他网站更彻底，但这让我想知道是否有任何网站考虑了摩尔定律。也就是说，人们听说“破解 X 密码需要 13 万年”，但这是否考虑到计算机速度大约每两年翻一番？

我真的很想知道这些网站是否考虑到了这一点，或者是否有任何网站可以建议这样做？

Answer 1

这些计算都没有真正考虑到道德法则。但让我们看看是否可以说明为什么我们不必这么做:

摩尔定律规定，处理能力每 18 个月就会增加一倍(不完全是，但足以满足我们的目的)。

这意味着今天的 13 万年，18 个月后将是 6.5 万年。 36 个月内达到 32.5k，依此类推。

我们可以为此提出一个方程式!

cost-at-time = cost-today * 0.5 ^ (months / 18)

所以今天插入成本，我们可以看到这个很好的pretty graph (x 是年份):

y = 130000 * .5 ^ (x / 1.5)

那么，让我们看看 50 年后我们的 13 万年密码的成本是多少:

y = 130000 * .5 ^ (50 / 1.5)
y = 130000 * .5 ^ 33.3333
y = 0.000012 years (~6.3 minutes)

这速度真快!

10年怎么样？

y = 130000 * .5 ^ (10 / 1.5)
y = 130000 * .5 ^ 15
y = 1279 years

还是很强大的...

但是。它还忽略了像 bcrypt 和 scrypt 这样的可调算法的要点，这些算法的设计目的是能够击败摩尔定律。

因此，如果您使用 bcrypt、scrypt 或 PBKDF2，并不断调整成本，使其在恒定时间内运行，那么您的密码(预计)今天需要 13 万年才能破解(估计)，50 年后仍然需要 13 万年才能破解.

现在，当然，这并不能解决攻击者今天窃取密码哈希，并在接下来的 50 年里攻击它的情况......但我不得不问，你的密码保护什么密码 Nerd 会在接下来的 50 年里尝试攻击它吗？

via XKCD