[校园] 计中密码的长度与安全性问题 (问卦)

楼主: newversion (海纳百川)   2014-09-21 22:29:57
刚去修改密码
https://web3.cc.ntu.edu.tw/p/s/login3/cc/chpass/password.php 道:
长度介于 8 至 12 个字符内
请勿使用任何特殊字符,例如:' or " or / 等等
密码范例:Azw8744bck or Yes0603Hey or 99880Hi702aac
是什么原因,上限要设12字符? (是因为要存明码在database?)
若是存 hash 的话,长度可以无上限吧!
密码不是越长、再参杂特殊字符,越安全吗?
(虽说禁用特殊字符,我测试了少数字符还是可以用的XD 如:$,.)
用 https://blog.kaspersky.com/password-check/ 测试爆力破解密码范例
使用 Conficker botnet 做个比较,所需时间:
Azw8744bck (10字符) 2 days
Yes0603Hey (10字符) 1 second
99880Hi702aac (13字符??) 5 hours
99880Hi702aa (12字符) 5 minutes
只添加了三个 "/" 字符
Az/w87/44b/ck 53 centuries
Ye/s06/03H/ey 10000+ centuries
99/880H/i70/2aac 26 centuries
的确差限大!
作者: EdwardCG   2014-09-21 22:47:00
1.使用明码可以还原的加密(e.g. base64)很危险,服务器一挂点资料就全看光了2. 就算用hash也要加盐(salted),不然也可以用rainbowcode大猜特猜,其实差不多
作者: york13468 (York)   2014-09-22 00:16:00
推 帮高调 支持可用特殊字符并提高上限
作者: starsnight (星宴)   2014-09-22 02:17:00
JMC表示:
作者: lan1994   2014-09-22 09:42:00
应该是怕输入特殊指令,造成密码外泄吧
作者: RSChiang (键盘蒟蒻的RS)   2014-09-22 20:36:00
推原po,有考虑一起推动学校改进吗?XD
楼主: newversion (海纳百川)   2014-09-22 22:59:00
推楼上开源社 XD
作者: tw0517tw (无冬夜)   2014-09-23 02:56:00
所以可以多写几次阿

Links booklink

Contact Us: admin [ a t ] ucptt.com