Parola Entropisinin Kriptografik Matematiği: Uzunluk Neden Karmaşıklıktan Ağır Basıyor?
Onlarca yıldır kurumsal BT politikaları, çalışanları büyük harfler, sayılar ve özel simgelerin rastgele kombinasyonlarını içeren garip, akılda kalıcı olmayan şifreler oluşturmaya zorladı; ancak her 90 günde bir zorunlu rotasyon talep etti. Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından yapılan modern hesaplamalı kriptografi ve ampirik araştırmalar, bu paradigmanın yalnızca geçerliliğini yitirdiğini değil, aynı zamanda hesap güvenliğini de etkin bir şekilde bozduğunu kanıtladı.
Claude Shannon'ın Bilgi Entropi Formülü ($H = L \log_2 N$)
Bilgi teorisinde bir sırrın temel gücü şu şekilde ölçülür:biraz entropi($H$), adını matematikçi Claude Shannon'dan almıştır. Rastgele seçilen bir dizenin ham entropisi aşağıdaki formülle belirlenir:
Shannon Bilgi Entropi Denklemi
H = L × günlük2(N)
NeredeLtoplam karakter uzunluğunu temsil eder veNkarakter havuzunun boyutunu temsil eder (örneğin, küçük harfler için 26, alfanümerik için 62, yazdırılabilir ASCII karakterler için 95).
Toplam kombinasyonlar $N^L$ olarak ölçeklendiğinden,uzunluk ($L$) üs görevi görür, havuz boyutu ($N$) yalnızca temeldir. Bir parolaya yalnızca 4 ekstra karakter eklemek, kaba kuvvet arama alanını 'a'yı '@' veya 'e'yi '3' ile değiştirmekten birkaç kat daha fazla genişletir.
| Şifre Deseni | Havuz Boyutu (N) | Uzunluk (L) | Shannon Entropisi | RTX 4090 Çatlama Süresi |
|---|---|---|---|---|
Tr0ub4dor&3 | 95 sembol | 11 karakter | ≈ 42,4 bit | ≈ 4,2 dakika |
correct-horse-battery-staple | 26 harf | 28 karakter | ≈ 78,5 bit | ≈ 3.400 yıl |
k9#mP$2vL!9xQ@4z | 95 sembol | 16 karakter | ≈ 105,1 bit | ≈ 2,8 trilyon yıl |
NIST Özel Yayını 800-63B: Modern Dijital Kimlik Standartları
içindeNIST SP 800-63B (Dijital Kimlik Yönergeleri: Kimlik Doğrulama ve Yaşam Döngüsü Yönetimi), federal güvenlik araştırmacıları eski kurumsal şifre dogmasını sistematik olarak ortadan kaldırdı:
- Periyodik Sona Ermenin Kaldırılması:Kullanıcıları her 30 ila 90 günde bir şifreleri değiştirmeye zorlamak, öngörülebilir artımlı değişikliklere (örneğin,
Winter2025!olmakSpring2026!). Parolalar yalnızca bir tehlikenin kanıtı mevcut olduğunda değiştirilmelidir. - Kompozisyon Kurallarının Ortadan Kaldırılması:Büyük harf, küçük harf, sayı ve simgelerin belirli kombinasyonlarını zorunlu kılmak, kullanıcıların öngörülebilir yapısal kalıpları benimsemesine yol açar (örneğin, ilk harfi büyük harfle yazmak ve sonuna bir ünlem işareti ve yıl eklemek).
- Kara Liste Taraması (İhlal Edilen Kimlik Bilgisi Denetimleri):Sistemler, keyfi karmaşıklık kuralları uygulamak yerine, yeni şifreleri, tehlikeye atılmış kimlik bilgileri, ortak sözlük terimleri ve tekrarlanan dizilerden oluşan listelere göre taramalıdır.
Diceware Parola Mimarisi: Kullanılabilirlik Kriptografik Güçle Buluşuyor
İlk olarak 1995 yılında Arnold Reinhold tarafından icat edilenZar takımıyöntem, 7.776 kelimelik bir sözlükten (6$^5 = 7.776$) rastgele sözcükler seçmek için fiziksel altı yüzlü zarları atarak parolalar oluşturur.
Çünkü her kelime yaklaşık olarak sağlar12,9 bit entropi($log_2(7776) yaklaşık 12,92$), 4 kelimelik bir parola kabaca52 bit saf entropive 5 kelimelik bir parola şunu sağlar:65 bit. İnsanlar aşağıdaki gibi canlı bir anlatım ifadesini zahmetsizce ezberleyebilirler:crystal-falcon-harbor-orbitSaldırganın çevrimdışı kırma kümesinin ise sözlük permütasyonlarında milyarlarca kombinasyonu tüketmesi gerekir.
Modern Saldırganlar Hash'leri Nasıl Kırar: Maske Saldırıları ve Hafızası Zor KDF'ler
Gerçek dünyadaki tehdit aktörleri, bir oturum açma formu üzerinde nadiren karakter karakter kaba kuvvet kullanarak şifreler kullanır; hız sınırlayıcı, Web Uygulaması Güvenlik Duvarları (WAF'ler) ve CAPTCHA'lar, birkaç denemeden sonra çevrimiçi saldırıları durdurur. Bunun yerine,Şifre kırma vakalarının %99'u çevrimdışı gerçekleşiyorBir saldırganın bir uygulamanın veritabanını ihlal etmesinden ve depolanan şifre karmalarını dışarı sızdırmasından sonra.
Gibi araçlarHaşcatveKarındeşen JohnSaniyede milyarlarca aday karmayı hesaplamak için devasa tüketici GPU kümelerini (NVIDIA GeForce RTX 4090'lar gibi) kullanır.
Hash Algoritma Seçimi Güvenliği Neden Belirtiyor?
Bir uygulama, parolaları aşağıdaki gibi hızlı genel amaçlı şifreleme karmalarını kullanarak saklıyorsa:MD5veyaSHA-256tek bir RTX 4090 üzerinden hesaplama yapabilirSaniyede 15 milyar tahmin. Bunun tersine, modern hafızaya dayanıklı Anahtar Türetme İşlevleri gibiArgon2idveyaşifreözel RAM gerektirir (örneğin karma yineleme başına 64 MB), GPU paralelleştirmesini azaltır ve kırma hızlarını saniyede milyarlarca karmadan yalnızca birkaç bine düşürür.