Tre stycken engelskspr˚akiga databasdumpar anv¨ands f¨or att utforska de fr˚ age-st¨allningar som beaktas. Samtliga dataset ¨ar av liknande omfattning, omkring tiotusen anv¨andarl¨osenord. En f¨ordel i omfattningen hos dessa dataset ¨ar att de
¨ar av en storlek som hamnar inom ramarna f¨or detta arbete.
Var en av dessa h¨arstammar fr˚an internetapplikationer med ett specifikt anv¨andingsomr˚ade. Den f¨orsta av dessa, Spel-databasen, kommer fr˚an ett dis-kussionsforum f¨or tv- och dataspel. Den andra ¨ar ett diskussionsforum f¨or h¨alsa och motion. Den tredje, och sista, ¨ar fr˚an en bokaff¨ar med inriktning p˚a mi-lit¨arhistoria.
Det inneb¨ar att eventuella avvikelser i relation till m¨angden information ger en godtagbar chans att uppt¨ackas. Den tid det tar f¨or data att bearbetas h˚alls ocks˚a ner. Ett motargument vore att i en st¨orre datam¨angd, s˚a hade eventuella
avvikelser bleknat i relation till datam¨angdens omfattning.
S¨akerhetspolicyn f¨or dessa dataset ¨ar av liknande karakt¨ar: Minst tre tecken, inga krav p˚a specialtecken, versaler eller gemener. En f¨ordel med detta ¨ar att anv¨andare ges frihet att anv¨anda l¨osenord de tycker passar. Det har gjorts stu-dier som visar att en strikt l¨osenordspolicy inte n¨odv¨andigtvis h¨ojer s¨akerheten hos autentiseringen. Eventuellt ligger en av nackdelarna dock inte n¨odv¨andigtvis i valet, utan begr¨ansningens omfattning. Detta d˚a en anv¨andares val av l¨osenord vid mer strikt l¨osenordspolicy inte n¨odv¨andigtvis t¨acks upp av denna testdata.
5 Resultat
Nedan ˚aterfinns resultat och utdata fr˚an de olika experiment som genomf¨orts f¨or att utforska problemst¨allningen.
5.1 L¨ osenordsrymd
Tabell 4 visar hur l¨osenordsl¨angdens storlek p˚averkar l¨osenordsrymd, det vill s¨aga antalet m¨ojliga l¨osenord. Antalet m¨ojliga l¨osenord blir snart enormt. Anta-let blir s˚a stort att det blir sv˚art att presentera p˚a ett tydligt s¨att. I Tabell 4 be-skrivs d¨arf¨or inte enbart antalet m¨ojliga l¨osenord. Tabellen visar ¨aven hur m˚anga siffror som respektive l¨osenordsrymdens storlek best˚ar av, dvs 10-logaritmen av l¨osenordsrymdens storlek avrundat till n¨armaste mindre heltal:
log10(L) d¨ar L ¨ar l¨osenordsrymden.
I Figur 1 illustreras hur l¨osenordsrymdens storlek p˚averkas av l¨osenordsl¨angden.
Eftersom summorna snabbt blir s˚a stora att de ¨ar sv˚ara att hantera utg˚ar grafen ifr˚an antalet siffror som respektive l¨osenordsrymdens storlek best˚ar av, det vill s¨aga 10-logaritmen av l¨osenordsrymdens storlek avrundat till n¨armaste mindre heltal.
L¨ osenords-l¨angd
Alfabet Antalet m¨ojliga l¨osenord (L) log10 (L)
10 V,G,S 211392282015721 * 104 18
10 V,G,S,Sp 11046221254112 * 107 20
12 S 1012 12
12 V,G,S 977477912040694 * 107 22
12 V,G,S,Sp 112682503013197 * 1010 24
14 S 1014 14
14 V,G,S 451985786527617 * 1011 26
14 V,G,S,Sp 114947421323762 * 1014 28
16 S 1016 16
16 V,G,S 20899822769037 * 1016 29
16 V,G,S,Sp 11725786449237 * 1019 32
18 S 1018 18
18 V,G,S 966407804840271 * 1018 33
18 V,G,S,Sp 119614747568666 * 1022 36
20 S 1020 20
20 V,G,S 446866968958141 * 1022 37
20 V,G,S,Sp 122019003994797 * 1026 40
22 S 1022 22
22 V,G,S 206631286446245 * 1026 40
22 V,G,S,Sp 124471585975092 * 1030 44
24 S 1024 24
24 V,G,S 955463068527435 * 1029 44
24 V,G,S,Sp 126973464853191 * 1034 48
26 S 1026 26
26 V,G,S 441806122887086 * 1033 48
26 V,G,S,Sp 129525631496741 * 1038 52
28 S 1028 28
28 V,G,S 204291151222989 * 1037 51
28 V,G,S,Sp 132129096689825 * 1042 56
30 S 1030 30
30 V,G,S 944642283255099 * 1040 55
30 V,G,S,Sp 134784891533291 * 1046 60
Tabell 4: Hur l¨osenordsl¨angd p˚averkar antalet m¨ojliga l¨osenordskombinationer. Ta-bell 4 visar hur l¨osenordsl¨angd (n) och alfabet (A) p˚averkar antalet m¨ojliga l¨osenordskombinationer. Antalet m¨ojliga l¨osenord var ber¨aknat enligt ekvation |A|n, d¨ar A representerar l¨osenordsalfabet och n representerar l¨osenordsl¨angd. Antalet
6 8 10 12 14 16 18 20 22 24 26 28 30 10
20 30 40 50 60
L¨osenordsl¨angd log10(L¨osenordsrymdenstorlek)
Hur l¨osenordsl¨angd p˚averkar antalet l¨osenordkombinationer
Siffror
Versaler + gemener + siffror Versaler + gemener + siffror + sp tecken
Figur 1: Hur l¨osenordsl¨angd p˚averkar antalet l¨osenordkombinationer. I Figur 1 anv¨ands antal siffror som respektive l¨osenordsrymdens storlek best˚ar av, det vill s¨aga 10-logaritmen av l¨osenordsrymdens storlek avrundat till n¨armaste mindre heltal f¨or att illustrera hur l¨osenordsl¨angd p˚averkar l¨osenordsrymd. Figuren visar hur l¨osenordsl¨angd p˚averkar l¨osenordsrymd/antalet m¨ojliga l¨osenord f¨or alfabetet, siffror, versaler + ge-mener + siffror och versaler + gege-mener + siffror + specialtecken
Tabell 5 visar hur ett l¨osenords alfabet p˚averkar l¨osenordsrymden, det vill s¨aga antalet m¨ojliga l¨osenord. Tabellen visar ¨aven antalet siffror som respektive l¨osenordsrymdens storlek best˚ar av, det vill s¨aga 10-logaritmen av l¨osenordsrymdens storlek.
L¨osenordsl¨angd Alfabets-storlek
Antalet m¨ojliga l¨osenord (L) log10 (L)
6 10 1000000 6
Tabell 5: Hur alfabetsstorlek p˚averkar antalet m¨ojliga l¨osenordskombinationer. Antalet m¨ojliga l¨osenord var ber¨aknat enligt ekvation |A|n, d¨ar A representerar l¨osenordsalfabet och n representerar l¨osenordsl¨angd. Antalet m¨ojliga l¨osenord blir snart enormt. Antalet blir s˚a stort att det blir sv˚art att presentera p˚a ett tydligt s¨att. Tabellen visar ¨aven hur
I Figur 2 anv¨ands antal siffror f¨or att visualisera hur alfabet p˚averkar l¨osenordsrymdens storlek.
10 14 18 22 26 30
6 8 10 12 14
Alfabetets storlek log10(L¨osenordsrymdenstorlek)
Hur alfabetsstorlek p˚averkar antalet l¨osenordkombinationer
6 tecken 8 tecken 10 tecken
Figur 2: Hur alfabetsstorlek p˚averkar antalet m¨ojliga l¨osenord. I Figur 2 anv¨ands antal siffror som respektive l¨osenordsrymdens storlek best˚ar av, det vill s¨aga 10-logaritmen av l¨osenordsrymdens storlek f¨or att illustrera hur l¨osenordsl¨angd p˚averkar l¨osenordsrymd.
Eftersom summorna snabbt blir s˚a stora att de ¨ar sv˚ara att hantera utg˚ar grafen ifr˚an antalet siffror i respektive l¨osenord, ist¨allet f¨or sj¨alva summan. Figuren visar hur al-fabet p˚averkar l¨osenordsrymd/antalet m¨ojliga l¨osenord f¨or ett l¨osenord med 6 tecken, 8 tecken och 10 tecken.
Figur 3 demonstrerar hur en ¨okning av l¨osenordsl¨angd eller alfabetet ¨okar antalet m¨ojliga l¨osenord. Start positionen var alfabetets (A) storlek lika med 10 och l¨osenordsl¨angd (n) lika med 6. Antalet m¨ojliga l¨osenord var ber¨aknat enligt sambandet |L| =|A|n, d¨ar L ¨ar l¨osenordsrymden.
10 12 14 16 18 20 22 24 26 28 30 5
10 15 20 25 30
Alfabetsstorlek / l¨osenordsl¨angd log10(L¨osenordsrymdenstorlek)
J¨amf¨orelse om hur en ¨okning i l¨osenordsl¨angd eller alfabet p˚averkar l¨osenordsrymd
Alfabet L¨osenordsl¨angd
Figur 3: J¨amf¨orelse av hur en ¨okning i l¨osenordsl¨angd eller alfabet p˚averkar antalet m¨ojliga l¨osenord. Figur 3 demonstrerar hur en ¨okning av l¨osenordsl¨angd eller alfabe-tet ¨okar antalet m¨ojliga l¨osenord. Start positionen var alfabetets (A) storlek lika med 10 och l¨osenordsl¨angd (n) lika med 6. Antalet m¨ojliga l¨osenord var ber¨aknat enligt sambandet |L| = |A|n, d¨ar L ¨ar l¨osenordsrymden.
En modern dator bearbetar 109l¨osenord per sekund, se Brumen och Cernezel [1]. Tabell 6 visar tiden som kr¨avs att kn¨acka vissa l¨osenord. Moores lag anger att datorkraft f¨ordubblas ungef¨ar var artonde m˚anad. Detta inneb¨ar att hastigheten inom 10 ˚ar kommer att vara 100 g˚anger h¨ogre ¨an idag, se Brumen och Cernezel [1]. Tabell 6 visar ocks˚a tiden som kr¨avs att kn¨acka samma l¨osenord om tio ˚ar.
L¨
6 68 98867482624 1 min 38 sek 0,98 sek
6 101 1061520150601 17 min 42 sek 10,6 sek
8 10 108 0,1 sek 0,001 sek
8 68 457163239653376 5 dgr 7 tim 12 min 12 tim 43 min
8 101 10828567056280800 125 dgr 7 tim 12 min 1 dag 6 tim
10 10 1010 10 sek 0,1 sek
10 68 211392282015721 * 104 67 ˚ar 244 dgr 17 tim 5 min
10 101 11046221254112 * 107 3503 ˚ar 35 ˚ar
12 10 1012 16 min 40 sek 10 sek
12 68 977477912040694 * 107 309956 ˚ar 3099,6 ˚ar
12 101 112682503013197 * 1010 35731387 ˚ar 357313,9 ˚ar
16 10 1016 115 dgr 16 tim 48 min 1 dag 3 tim 46 min
16 68 20899822769037 * 1016 6627290325037 ˚ar 66272903250,4 ˚ar 16 101 11725786449237 * 1020 3718222491513500 ˚ar 37182224915135,0 ˚ar
Tabell 6: Tiden som kr¨avs f¨or att ber¨akna alla hashar f¨or en l¨osenordsrymd. Den rapporterade hastigheten f¨or att bearbeta ett klartextl¨osenord till ett hashv¨arde ¨ar 109 kombinationer per sekund, se Brumen och Cernezel [1]. Det inneb¨ar att en dator be-arbetar 8.64 * 1013 l¨osenord per dag och 2.6784 * 1015 efter 31 dagar. Tabell 6 visar tiden som kr¨avs att kn¨acka vissa l¨osenord. Moores lag anger att datorkraft f¨ordubblas ungef¨ar var artonde m˚anad. Detta inneb¨ar att hastigheten inom 10 ˚ar kommer att vara 100 g˚anger h¨ogre ¨an idag, se Brumen och Cernezel [1]. Tabell 6 visar ocks˚a tiden som kr¨avs att kn¨acka samma l¨osenord om tio ˚ar.
Den rapporterade hastigheten f¨or att bearbeta ett klartext l¨osenord fr˚an ett hashv¨arde ¨ar 109 kombinationer per sekund, se Brumen och Cernezel [1]. Det inneb¨ar att en dator bearbetar 8.64 * 1013 l¨osenord per dag och 2.6784 * 1015 efter 31 dagar.
Tabell 7 visar antalet tecken som kr¨avs f¨or att skapa l¨osenord som i genom-snitt tar 31 dagar att kn¨acka med brute force kn¨ackning.
F¨or att ett l¨osenord ska ta minst 31 dagar att kn¨acka kr¨avs att alfabetet in-neh˚aller en viss teckenupps¨attning. Till exempel kr¨aver ett l¨osenord som ¨ar ˚atta tecken l˚angt ett alfabet med 85 olika tecken. Ett s˚adant alfabet kan skapas med 10 siffror, 29 gemener, 13 versaler och 33 specialtecken eller med 5 siffror, 29 gemener, 29 versaler och 22 specialtecken. B˚ada dessa teckenupps¨attningar resul-terar i ett alfabet i samma storlek (85). Forskning har dock visat att anv¨andare
L¨osenordsl¨angd Alfabetsstorlek Antalet m¨ojliga l¨osenord
Tid att kn¨acka l¨osenord
6* 101 1061520150601 0,009 dagar (13
minu-ter)
8 85 2724905250390620 31 dagar
10 35 2758547353515620 31 dagar
12 20 4096000000000000 47 dagar
16 10 10000000000000000 115 dagar
20 6 3656158440062980 43 dagar
25 5 298023223876953000 3450 dagar
30 4 1152921504606850000 13344 dagar
Tabell 7: Antalet tecken som kr¨avs f¨or att skapa ett l¨osenord som tar i genomsnitt 31 dagar att kn¨acka med brute force. Tabell 7 visar antalet tecken kr¨avs f¨or att skapa ett l¨osenord som ta minst 31 dagar att kn¨acka med brute force kn¨ackning. *Obser-vera att det ¨ar om¨ojligt att skapa ett s˚adant l¨osenord med bara sex tecken, givet den processorhastighet och alfabetsstorlek som testas.
har tydliga preferenser n¨ar det g¨aller teckenupps¨attningen, se Tupsamudre et al [23]. Anv¨andare v¨alja sm˚a bokst¨aver, sen siffror, sen versaler och i sista hand specialtecken. Figur 4 nedan presenterar antalet tecken som kr¨avs utifr˚an de h¨ar preferenserna. Det vill s¨aga gemener ¨ar valt f¨orst, d¨arefter siffror, sedan versaler och till sist specialtecken.
6* 8 10 12 16 20 25 30
Figur 4: Teckenupps¨attningen f¨or ett l¨osenord som tar i genomsnitt 31 dagar att kn¨acka med brute force. Figur 4 presenterar teckenupps¨attningen efter anv¨andare preferenser.
Det vill s¨aga gemener ¨ar valt f¨orst, d¨arefter siffror, sedan versaler och till sist special-tecken
5.2 L¨ osenordsparadoxen
Tabell 8 visar sannolikheten f¨or en krock f¨or vissa l¨osenord, det vill s¨aga sanno-likheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombi-nation av l¨osenordsl¨angd och l¨osenordsalfabet. Det finns tre olika alfabet kom-binationer i Tabellen. D¨ar S representerar siffror, V representerar versaler, G st˚ar f¨or gemener och Sp st˚ar f¨or specialtecken.
L¨
-Tabell 8: Sannolikheten f¨or en krock. Det vill s¨aga sannolikheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombination av l¨osenordsl¨angd och l¨osenordsalfabet. Det finns tre olika alfabet kombinationer i Tabellen. S representerar siffror, V, G, S representerar versaler, gemener och siffror. V,G,S,Sp st˚ar f¨or versa-ler, gemener, siffror och specialtecken. Bindesstreck antyder att ber¨akningen ej hunnit slutf¨oras vid rapportens inl¨amning.
Risken f¨or en krock ¨ar visualiserad i graf 5. Grafen presenterar informationen fr˚an Tabell 8.
0 0.5 1 1.5 2 2.5 3 3.5 4 4.5
·109 0
20 40 60 80 100
Antalet l¨osenord
Sannolikheten
f¨or
enkrock
L¨osenordsparadox
6 tecken Alfabet = S 6 tecken Alfabet = V+G+S 6 tecken Alfabet = V+G+S+Sp
8 tecken Alfabet = S 8 tecken Alfabet = V+G+S 8 tecken Alfabet = V+G+S+Sp
10 tecken Alfabet = S 10 tecken Alfabet = V+G+S
Figur 5: Sannolikheten f¨or en krock. Det vill s¨aga sannolikheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombination av l¨osenordsl¨angd och l¨osenordsalfabet. Grafen presenterar informationen fr˚an Tabell 8.
figuren nedan presenterar risk f¨or en krock med de tre olika alfabetet. De demonstrerar informationen i Tabell 8.
Figur 6 presenterar risk f¨or en krock med en alfabetet som inneh˚alla siffror.
Figur 7 visar risk f¨or en krock med alfabetet versaler, gemener och siffror. Figur 8 visar risk f¨or en krock med alfabetet versaler, gemener, siffror och specialtecken.
0 0.5 1 1.5 2 2.5 3
·105 0
20 40 60 80 100
Antalet l¨osenord
Sannolikheten
f¨or
enkrock-Siffror
L¨osenordsparadox. Alfabetet = Siffror
6 tecken 8 tecken 10 tecken
Figur 6: Sannolikheten f¨or en krock med en alfabetet som inneh˚alla siffror. Det vill s¨aga sannolikheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombination av l¨osenordsl¨angd och l¨osenordsalfabet.
0 0.5 1 1.5 2 2.5 3 3.5 4 4.5
L¨osenordsparadox. Alfabetet = Versaler, gemener och siffror
6 tecken 8 tecken 10 tecken
Figur 7: Sannolikheten f¨or en krock med alfabetet versaler, gemener och siffror. Det vill s¨aga sannolikheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombination av l¨osenordsl¨angd och l¨osenordsalfabet.
0 0.5 1 1.5 2 2.5 3
L¨osenordsparadox. Alfabetet = Versaler, gemener, siffror och specialtecken
6 tecken 8 tecken
Figur 8: Sannolikheten f¨or en krock med alfabetet versaler, gemener, siffror och speci-altecken. Det vill s¨aga sannolikheten att vid minst tv˚a anv¨andare har samma l¨osenord inom en viss kombination av l¨osenordsl¨angd och l¨osenordsalfabet.
5.3 Semantik
De olika databaserna inneh˚aller i stort underh˚allningsrelaterade tj¨anster, och inte s¨akerhetskritiska anv¨andningsomr˚aden som banktj¨anster.
Tabell 9 visar de vanligast f¨orekommande l¨osenorden i den anv¨anda testda-tan.
Tabell 9: De 20 mest frekvent f¨orekommande l¨osenorden i den testdata arbetet omfattar.
Detta ¨ar ber¨aknat genom frekvensen av identiskt ˚aterkommande l¨osenord fr˚an skilda anv¨andare i en och samma databas.
Tabell 10 visar de mest f¨orekommande segmenten i testdatan.
Plats Spel H¨alsa Bokaff¨ar
1 eater xxx man
2 man cat tan
3 cool therapy jan
4 poop rose love
5 bo healing pass
6 killer healers i
7 life angel blue
8 owned tigg art
9 connor harry abc
10 king man mine
11 don bear pit
12 bin dog password
13 kid jessica nicole
14 boy bowen master
15 josh premium lynx
16 love angels sam
17 ball massage crean
18 nigger tan security
19 law master rut
20 hit elizabeth mar
Tabell 10: De 20 mest frekvent f¨orekommande segmenten i den testdata arbetet omfat-tar. Detta ¨ar ber¨aknat genom att analysera samtliga l¨osenord i testdata och dokumen-tera vilka segment l¨osenorden ¨ar uppbyggda av. Segment listas i tabellen rangordnat efter mest f¨orekommande frekvens.
Tabell 11 visar de vanligaste semantiska kategorierna f¨or segment i testda-tan. Semantik i det h¨ar fallet avser ett samlingsnamn f¨or ett antal synonymer, matchat fr˚an ett ordn¨at. n.01 antyder ett samlingsset av substantiv och v.01 ett av verb.
Plats Spel H¨alsa Bokaff¨ar
1 male names female names male names
2 last names male names female names
3 cities cities lastnames
Tabell 11: De 20 mest frekvent f¨orekommande semantiska generaliseringarna i den test-data arbetet omfattar. Detta ¨ar ber¨aknat genom att analysera samtliga segment i test-data och dokumentera vilka semantiska kategorier som ¨ar mest frekvent f¨orekommande.
Tv˚a segment kan tillh¨ora samma semantiska generalisering. Semantiska kategorier listas i Tabellen rangordnat efter mest f¨orekommande frekvens. Semantik i det h¨ar fallet avser ett samlingsnamn f¨or ett antal synonymer, matchat fr˚an ett ordn¨at. n.01 antyder ett samlingsset av substantiv och v.01 ett av verb.
5.4 Procedur f¨ or att ¨ oka l¨ osenordsstyrkan
Arbetet har unders¨okt l¨osenordsval och l¨osenords s˚arbarhet f¨or brute force kn¨ackning och kn¨ackning med hj¨alp av ordlistor. Det finns n˚agra enkla ˚atg¨arder som en anv¨andare eller ett f¨oretag kan implementera f¨or att st¨arka ett l¨osenord.
• Undvik vanliga l¨osenord.
Det snabbaste s¨att att kn¨acka ett l¨osenord ¨ar med hj¨alp av ordlistor.
modern dator bearbetar enorma antal kombinationer varje sekund och da-torer kommer att bli ¨annu snabbare i framtiden. Det ¨ar d¨arf¨or bra att inte anv¨anda ett ord fr˚an ett lexikon f¨or att f¨orhindra s˚arbarhet mot en s˚a kallad “dictionary attack”.
• “Mangling” av ett l¨osenord ¨ar inte tillr¨ackligt
“Mangling” inneb¨ar att f¨or¨andra en del av l¨osenord med n˚agot annat.
“iloveyou” skulle exempelvis f¨or¨andras till “1loveYou” d¨ar i ¨ar ers¨attas med 1 och y med Y. Leet ¨ar en annan version av mangling d¨ar varje bokst¨av kan ers¨attas med n˚agon annat, till exempel “a” kan ers¨attas med en av “4”, “/\”, “/–\”, “ˆ” eller “aye”, se Flamand [7]. Problemet ¨ar att l¨osenordskn¨ackningsmjukvara som Hashcat och John the Ripper erbjuder funktioner som generar en ”manglad” version av en ordlista. Mangling hj¨alper d¨arf¨or inte om ursprungsl¨osenordet finns i en ordlista.
• ¨Oka l¨osenordsrymden
En st¨orre l¨osenordsrymd inneb¨ar att det finns flera m¨ojliga l¨ osenords-kombinationer. En anv¨andare kan ¨oka l¨osenordsrymden genom ¨okning av l¨osenordsl¨angden eller till¨agg av tecken i alfabetet, se Tabell 8. En ¨okning i l¨osenordsl¨angd resulterar i betydligt fler m¨ojliga l¨osenord ¨an en motsva-rande ¨okning i ett l¨osenords alfabet, se Figur 3.
– ¨Oka l¨osenordsl¨angden
Ett bra s¨att att ¨oka l¨osenordsrymd ¨ar att kombinera tre eller fler ord till ett l¨osenord. Det ¨ar dock viktigt att orden inte ¨ar relaterade till varandra. Till exempel ¨ar “halmstadbollklubb” ett l˚angt l¨osenord (17 tecken), med en ganska l˚ang l¨osenordsrymd 2917. Men orden
“halmstad”, “boll” och “klubb” anv¨ands ofta ihop, vilket medf¨or en risk att l¨osenordet kan finnas med i en ordlista. Det ¨ar viktigt att kombinera minst tre ord eftersom datorer idag bearbetar s˚a m˚anga l¨osenordskombinationer att det finns risk att datorer snart kommer att klara av att ¨aven kombinera alla ord med varandra.
– ¨Oka l¨osenordsalfabetet
Ett annat s¨att att ¨oka l¨osenordsrymd ¨ar att ¨oka l¨osenordsalfabetet.
Det vill s¨aga l¨osenord best˚ar av en viss kombination av versaler, gemener, siffror och specialtecken. P˚a det h¨ar s¨attet kan en anv¨andare
skapa ett starkt l¨osenord som ¨ar kortare ¨an ett l¨osenord som best˚ar av bara ett alfabet. Ett l¨osenord med mindre ¨an 10 tecken ¨ar dock s˚arbart f¨or brute force kn¨ackning oavsett inneh˚all, se Tabell 6.
• Anv¨and utl¨andska bokst¨aver
Brute force kn¨ackning och kn¨ackning med hj¨alp av ordlistor fungera of-ta p˚a samma antagande. N¨amligen att l¨osenord har skapats med tecken fr˚an det lokala spr˚aket. I Sverige inneb¨ar det svenska, som inneh˚aller la-tinska bokst¨aver. Ett l¨osenord som inneh˚aller en utl¨andsk bokstav (som exempelvis ryska eller thai) kommer att bli mycket sv˚arare att kn¨acka.
• Anv¨and en annan eller kompletterande typ av autentisering
Arbetet visar att det finns tydlig s˚arbarhet i anv¨andandet av l¨osenord. Ett s¨att att ¨oka l¨osenords¨akerhet ¨ar att kombinera l¨osenord med en annan typ av autentisering. Banker ¨over hela v¨arlden anv¨ander nu tv˚astegsverifiering innan en anv¨andare f˚a tillg˚angar till tj¨anster. Tv˚astegsverifiering ¨ar ett bra s¨att att ¨oka s¨akerhet om konsekvenser av ett IT-brott ¨ar allvarliga, till exempel stor ekonomisk f¨orlust. Dock kan det finnas ett v¨arde i att anv¨anda r¨att verktyg f¨or jobbet. En sk¨armsl¨ackare beh¨over n¨odv¨andigtvis inte en tv˚astegsverifiering.
Framf¨orallt handlar det om att anv¨andare v¨aljer ett l¨osenord som ¨ar otippat och att l¨osenordsrymden ¨ar s˚a stor att det blir sv˚art att kn¨acka med brute force kn¨ackning.
6 Diskussion
Denna sektion avser reflektera ¨over resultaten, och s¨atta dem i sitt sammanhang.
6.1 L¨ osenordsrymd
En ¨okning i l¨osenordsl¨angd resulterar i betydligt fler m¨ojliga l¨osenord ¨an en motsvarande ¨okning i ett l¨osenords alfabet. Tabell 4 visar att ett l¨osenord med 6 tecken vars alfabet inneh˚aller enbart siffror, det vill s¨aga tio olika tecken, re-sulterar i 1 000 000 (106) m¨ojliga l¨osenord. En ¨okning i l¨osenordsl¨angd till ˚atta tecken resulterar i 100 000 000 (108) m¨ojliga l¨osenord. ¨Okningen av l¨angd med tv˚a tecken har d¨arf¨or resulterat i en ¨okning av 99 000 000 m¨ojliga l¨osenord. En
¨
okning av tv˚a tecken i l¨osenordsalfabet ist¨allet f¨or l¨osenordsl¨angd resulterar i 2 985 984 m¨ojliga l¨osenord, en ¨okning med bara 1 985 984. Det ¨ar 97 014 016 f¨arre m¨ojliga l¨osenord ¨an en motsvarande ¨okning av l¨osenordsl¨angd. Figur 1 och 2 visularserar hur en ¨okning av l¨osenordsl¨angd eller alfabetet ¨okar anta-let m¨ojliga l¨osenord. Figur 3 visar hur en ¨okning i l¨osenordsl¨angd eller alfabet p˚averkar antalet m¨ojliga l¨osenord. Den linje som representerar l¨osenordsl¨angd stiger betydligt mer ¨an den linje som representerar l¨osenordsalfabet.
Detta st¨oder Tupsamudres et al [23] arbete som p˚ast˚ar att l¨osenordsl¨angd ¨ar den viktigaste faktorn n¨ar det g¨aller l¨osenordss¨akert. Det st¨oder ocks˚a logiken bakom att m˚anga webbsidor idag kr¨aver en viss l¨osenordsl¨angd.
I det h¨ar arbetet var ett delmoment att uppskatta hur snabbt en modern dator kunde kn¨acka ett l¨osenord med brute force-kn¨ackning, samt hur l¨ osenords-rymdens storlek p˚averkar den m¨angd tid som kr¨avs. En modern dator var defini-erad som en dator som uppfyllde specifikationen i Brumen och Cernezels arbete [1], det vill s¨aga en desktop som hade ett AMD Radeon HD 7970 Graphical Processing Unit (GPU) installerad. Systemet anv¨ande mjukvaran Hashcat f¨or att matcha hashar och l¨osenord. Det ¨ar v¨art att notera att specifikationen inte
¨ar avancerad. Ett AMD Radeon HD 7970 GPU kostar cirka $500 och Hashcat
¨ar open source mjukvara, s˚a den ¨ar gratis. Moores lag [16] anger att datorkraft f¨ordubblas ungef¨ar var 18:e m˚anad. Detta inneb¨ar att hastigheter inom 10 ˚ar kommer att vara 100 g˚anger snabbare ¨an idag, vilket i sin tur inneb¨ar att datorer om 10 ˚ar kommer att kn¨acka l¨osenord 100 g˚anger snabbare ¨an idag.
Den tid som kr¨avs f¨or att kn¨acka vissa l¨osenord finns i Tabell 6. Den visar att ju l¨angre ett l¨osenord ¨ar desto l¨angre tid kr¨avs f¨or att kn¨acka ett l¨osenord.
Det ¨ar om¨ojligt att skapa l¨osenord som aldrig kan kn¨ackas, se Egelman et al
Det ¨ar om¨ojligt att skapa l¨osenord som aldrig kan kn¨ackas, se Egelman et al