Aiuto con il calcolo (e l'utilità) di password di entropia

Question

Questa è una domanda in due parti:

Parte 1

In primo luogo, si tratta di calcolare l'entropia di una password in PHP. Non sono stato in grado di trovare esempi di codice che siano empiricamente validi e vorrei davvero un aiuto nel trovare il modo "giusto" per calcolare un numero finale. Un sacco di persone in rete hanno il loro algoritmo di ponderazione casalingo, ma sono davvero alla ricerca della risposta scientifica all'equazione.

Userò la password entropy come parte di un sistema di sicurezza più grande e come un modo per analizzare la nostra sicurezza generale dei dati basata su informazioni accessibili se la password di un utente è compromessa e con quale facilità una password può essere violata vigore.

Parte 2

La seconda parte di questa domanda è: quanto sia utile sarà questo numero davvero? Il mio obiettivo finale è generare un "punteggio" per ogni password del sistema che possiamo usare per monitorare la nostra sicurezza generale del sistema come entità dinamica. Probabilmente dovrò lavorare su un altro algoritmo o due per gli attacchi di dizionario, l33t password di sostituzione, ecc., Ma ritengo che l'entropia svolgerà un ruolo importante in una valutazione del sistema "globale". Comunque, accolgo con favore suggerimenti per altri approcci.

Lo que

Ho visto qualche accenno di equazioni logaritmiche per calcolare detto entropia, ma devo ancora vedere un buon esempio che non è in realtà scritto come un'equazione matematica. Potrei davvero usare un esempio di codice (anche se non strettamente in PHP) per farmi andare avanti.

estensione

Nel fare un commento mi sono reso conto che posso spiegare meglio l'utilità di questo calcolo. Quando sto lavorando su sistemi legacy in cui gli utenti hanno password estremamente deboli devo avere qualche prova concreta di tale debolezza prima di poter dimostrare che obbliga tutti gli utenti a cambiare le loro password con una nuova password (forzata) forte. Memorizzando un punteggio di rafforzamento della password per ciascun account utente nel sistema, è possibile creare diverse metriche per mostrare la debolezza complessiva del sistema e creare un caso per password più forti.

TIA

Answer 1

Entropia di una stringa è una definizione formale specificato qui: http://en.wikipedia.org/wiki/Entropy_(information_theory)

Quanto è utile che il valore sta per essere? Dipende. Ecco un metodo (in Java) per calcolare l'entropia che ho fatto per un incarico:

public static double entropy() { 
    double h = 0, p; 
    for (int i = 0; i < count.size(); i++){ 
     p = count.get(i)/(totalChars*1.0); 
     h -= p*Math.log(p)/Math.log(2); 
    } 
    return h; 
} 

count è una mappa in cui (key, value) corrisponde a (char, countForChar). Questo ovviamente significa che devi elaborare la stringa prima di chiamare questo metodo.

EDIT 2: Ecco lo stesso metodo, riscritto in PHP

function entropy($string) { 
    $h=0; 
    $size = strlen($string); 
    foreach (count_chars($string, 1) as $v) { 
     $p = $v/$size; 
     $h -= $p*log($p)/log(2); 
    } 
    return $h; 
} 

EDIT 3: C'è molto di più per la sicurezza della password di entropia. L'entropia riguarda l'incertezza; che non necessariamente traduce in maggiore sicurezza.Ad esempio:

entropia della "akj@!0aj" è 2,5, mentre l'entropia "password" è 2.75

Answer 2

forzando un certo livello di entropia è un requisito di CWE-521.

(1) Lunghezza minima e massima;
(2) Richiede set di caratteri misti (alfa, numerico, speciale, caso misto);
(3) Non contengono nome utente;
(4) Scadenza;
(5) Nessun riutilizzo della password.

Answer 3

Per utilizzare l'entropia non è necessario ottenere l'Entropia di Shannon di una singola password, ma come un elemento in un elenco di password comuni. Se una password è molto simile ad altre password, la sua entropia sarà bassa rispetto ad altre password. Se è davvero unico, sarà più alto.