Pregunta ¿Cuánto tiempo debe durar una frase clave de PuTTY (es decir, cómo PuTTY cifra las claves privadas)?


Me gustaría saber cuál es la longitud de una buena contraseña mínima para una frase de contraseña PuTTY. Esto depende de la cantidad de entropía que debe tener la frase de contraseña, que a su vez depende de la duración de un intento, que a su vez depende del algoritmo utilizado para cifrar la clave privada.

Suponiendo una configuración suficientemente lenta de PBKDF2, solo 6 caracteres alfanuméricos aleatorios serían casi 36 bits en la entropía, y llevaría mucho tiempo a la fuerza bruta. Pero si el cifrado es trivial, podría ser posible intentar miles de millones (o en trillones paralelos) de intentos por segundo, y me gustaría más de 64 bits de entropía como mínimo, al menos 11 caracteres.

Entonces, ¿qué es? ¿PuTTY usa algo agradable y lento como PBKDF2 / bcrypt / scrypt / lo que sea o tengo que preocuparme por asegurarme de que las fases de paso sean largas?


5
2018-02-20 17:15


origen


Por cierto, espero que este sea el lugar adecuado para publicar, ¿o sería mejor el superusuario? - Eamon Nerbonne
Esto puede ser más apropiado para seguridad.SE, pero consulte las preguntas frecuentes y las preguntas anteriores antes de preguntar allí. - mgorven
Agradecería si alguien responde a la pregunta real. ¿PuTTY usa el estiramiento de la clave para cifrar las claves privadas o no? - Attila Szeremi


Respuestas:


Esto debe proporcionar toda la información que necesita: correct horse battery staple  de XKCD


11
2018-02-20 18:11



+1 - Hay una razón por la que se llama "clave SSH frase de contraseña"- una línea oscura de un libro favorito es lo que a menudo aconsejo a la gente que use. Tengo un amigo que usa palíndromos largos. - voretaq7
Ese cómic está retrasado. Use KeyPass y es irrelevante porque entonces tiene contraseñas largas Y caracteres especiales, mayúsculas, etc. Sin tener que recordar cada una de sus contraseñas, mi corazón. - gparent
Los 3 upvotes hablan por sí mismos. - Tom O'Connor


Solo sigue esto asesorar o leer esta y siga los enlaces ... al menos 8 caracteres, no solo letras, ni en ningún diccionario, sin l337, ... Asegúrese de que sus máquinas limiten la velocidad de intentos desde una dirección IP determinada. La potencia de procesamiento disponible para los malhechores es asombrosa.


1
2018-02-20 17:39



La mayoría de sus consejos son acertados (si son un poco anticuados, vea la caricatura de XKCD en La respuesta de Tom), pero no l337 speak no lo es: Acabas de reducir sustancialmente tu potencial entropía. Si alguien quiere usar 1 en lugar de l o 0 en lugar de o Deberías dejarlos. Regla general para las contraseñas: nunca eliminar opciones. - voretaq7
@ voretaq7 Sí, pero muchas de esas "transliteraciones" están en los diccionarios utilizados, por ejemplo, Jack el destripador. - vonbrand
Eso no cambia el hecho de que agregan entropía (es decir, Jack necesita buscar un mas grande espacio clave). Cualquier restricción de "No puede hacer eso" en una contraseña reduce el espacio de búsqueda, y la mayoría del software es bueno para decirle estos requisitos de reducción de alcance para que pueda recortar su diccionario ... - voretaq7
La entropía impredecible es más entrópica ;-) [Los ataques de "fuerza bruta" intentan contraseñas / frases predecibles, y o -> 0, e -> 3, t -> 7 es predecible, quizás o -> z3r0 es mejor. ..] - vonbrand
Te estás perdiendo por completo o ignorando deliberadamente lo que te estoy diciendo: el punto no es "¿puedes hacerlo mejor" (porque la respuesta es "¡Corta la batería de caballo!"), El punto es "No restringas tu opciones de contraseña de los usuarios, porque usted hará sus contraseñas menos seguro. - voretaq7