[校園] 計中密碼的長度與安全性問題 (問卦)

[newversion (海納百川天下歸心)]

剛去修改密碼
https://web3.cc.ntu.edu.tw/p/s/login3/cc/chpass/password.php 道：
長度介於 8 至 12 個字元內
請勿使用任何特殊字元，例如：' or " or / 等等
密碼範例：Azw8744bck or Yes0603Hey or 99880Hi702aac


是什麼原因，上限要設12字元？ (是因為要存明碼在database？)
若是存 hash 的話，長度可以無上限吧！

密碼不是越長、再參雜特殊字元，越安全嗎？
(雖說禁用特殊字元，我測試了少數字元還是可以用的XD  如：$,.)


用 https://blog.kaspersky.com/password-check/ 測試爆力破解密碼範例
使用 Conficker botnet 做個比較，所需時間：

Azw8744bck (10字元)  2 days
Yes0603Hey (10字元)  1 second
99880Hi702aac (13字元??)  5 hours
99880Hi702aa (12字元)  5 minutes

只添加了三個 "/" 字元
Az/w87/44b/ck  53 centuries
Ye/s06/03H/ey  10000+ centuries
99/880H/i70/2aac   26 centuries


的確差限大！



--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.251.86
※ 文章網址: http://www.ptt.cc/bbs/NTU/M.1411309800.A.DC4.html
推 reling      : centuriesXDDDD
推 FTICR       : 確實很討厭有上限@@
推 tw0517tw    : 校務建言GO
早就有了....
建議者身份      學生
建議議題類別    計資中心
主旨    密碼更改系統缺陷

回覆內容:
根據我們專業判斷，符合上述條件的密碼，應具備足夠
強度，抵禦一般「暴力式破解法」的威脅。
1 second vs 10000+ centuries   顆顆

回覆時間        2012/8/21   兩年過去了~~~~
推 EdwardCG: 1.使用明碼可以還原的加密(e.g. base64)很危險，伺服器
→ EdwardCG: 一掛點資料就全看光了
→ EdwardCG: 2. 就算用hash也要加鹽(salted)，不然也可以用rainbow
→ EdwardCG: code大猜特猜，其實差不多
推 york13468: 推 幫高調 支持可用特殊字元並提高上限
推 starsnight: JMC表示：
→ lan1994: 應該是怕輸入特殊指令，造成密碼外洩吧
※ 編輯: newversion (140.112.251.86), 09/22/2014 13:42:03
→ RSChiang: 推原po，有考慮一起推動學校改進嗎？XD
→ newversion: 推樓上開源社 XD
推 tw0517tw: 所以可以多寫幾次阿