security - 通过键空间而不是使用的字符类检查密码复杂性的好处？

Question

问题:

检查 key 空间密码而不是仅检查所使用的长度和字符类会有什么缺点？

详细信息:

我已经开始使用短语作为密码，但我常常在用户友好性方面遇到困难，因为密码要求阻止了我的密码。更糟糕的是，我遇到过有密码长度限制或不接受空格等的系统。

例如，以标准密码检查器为例，它至少需要 8 个字符、1 个数字、1 个大写字母、1 个小写字母和 1 个符号。如果我希望我的密码是“stackoverflow 是有史以来最好的网站”，检查器会抛出错误，但我的密码的 key 空间明显大于基本要求。

"C0mplex?"                               => 6.0956893 × 10^15
"stackoverflow is the best website ever" => 2.4650347 × 10^54

由于我必须自己设计这样的系统，所以我开始探索检查密码的 key 空间大小并需要最小 key 空间而不是特定特征(以及常见/明显的密码检查)的想法类(class))。这样，无论您使用 8 个字符的混合符号密码还是 12 个字符的不区分大小写的字母数字密码，它们都可以通过复杂性检查。

你们有什么想法/警告吗？

Answer 1

除了编写检查键空间要求的代码比检查字符类更困难之外，没有其他缺点，因此大多数网站(让我们面对现实，不是由出色的安全专家或编码人员构建的)不这样做不用打扰。

更糟糕的是 - 限制最大长度的密码通常是因为它们将您的密码以明文形式存储在数据库中，并且具有固定长度的存储列，任何对安全性有简要了解的人都会知道这一点这是 Not Acceptable ，因为密码应该在服务器上进行加盐和散列处理。