问XKCD #936:短复合密码，还是长字典密码？

EN

我认为这幅漫画最重要的部分，即使它是数学错误(但它并没有)，是视觉上强调有两个同样重要的方面选择一个强大的密码(或实际上，密码政策，一般)：

• 难以猜测
• 难记

或者，换句话说：

• 计算机方面
• 人性方面

通常，在讨论复杂密码、强策略、过期等(以及泛化--所有安全性)时，我们往往过于关注计算机方面，而忽略了人的方面。

特别是在密码方面(特别是对普通用户来说更是如此)，人的方面通常应该是首要考虑的问题。

例如，IT (如one 显示在XKCD中)强制执行的严格密码复杂性策略多久会导致用户写下密码并将其录制到屏幕上？这是一个直接的结果，过多地集中在计算机方面，而牺牲了人的方面。

我认为这是XKCD的核心信息-是的，容易猜测是不好的，但是很难记住也是一样的。

这个原则是正确的。我们应该更经常地记住，AKA的可用性规则：

以可用性为代价的安全性是以安全性为代价的。

我同意，长度往往比复杂性更好。但我认为争议不是围绕这一点，而是围绕着你想要多少熵。漫画说，“合理的攻击”是1000个猜测/秒：

对弱远程web服务的合理攻击。是的，破解被盗的散列更快，但这不是普通用户应该担心的。

但我看到了更多的共识，即网站运营商无法长期保持他们的哈希数据库免受攻击者的攻击，因此我们应该设计密码和哈希算法，以抵御窃取散列以进行离线攻击。离线攻击可能是巨大的，正如如何安全地破解密码？所描述的

这使得问题变得更加困难，网站除了要求用户为每个网站记住自己的密码之外，还应该考虑其他选项，例如通过OpenID和OAuth。这样，用户就可以获得一种很好的身份验证方法(甚至涉及硬件令牌)，并利用它进行web访问。

但是，好的密码散列也可以通过好的算法、更长的长度和书签工具来完成。使用服务器上上述问题(即bcrypt、scrypt或PBKDF2)中描述的技术，以及有没有一种方法可以生成特定于网站的密码，可以在我自己的头脑中执行？上关于在用户/客户端使用SuperGenPass (或SuperChromePass)的建议。

我认为这里的大多数答案都没有抓住重点。最后一个框架是讨论记忆的易用性。正确的马电池短钉(从记忆打字！！)消除密码安全的根本危险

使用第一个密码，我的钱包(如果我聪明的话)或我的抽屉里(如果我是哑巴)有一个邮政-IT便条，这是一个巨大的安全风险。

让我们假设pass选项与已处理的基本word选项一样安全，那么我已经更好了，因为我已经消除了密码存储中的人为错误。

即使我写下密码，它也不像密码。这可能是购物清单-面包牛奶蛋糖浆。但是5t4ck3xCh4ng3显然是一个密码。如果我遇到这种情况，那将是我第一次尝试。