Un mot de passe WiFi plus long est-il plus sécurisé?
Aujourd'hui, j'ai dû taper plusieurs fois le même mot de passe pour me connecter à un réseau Wi-Fi sécurisé par WPA2, et j'ai été vraiment ennuyé par la longueur du mot de passe. D'autant plus que ce n'est qu'une phrase répétée deux fois.
Ainsi, lorsque vous utilisez WPA2 avec un routeur WiFi, est-il toujours plus sûr d'utiliser des mots de passe plus longs?
Un court paragraphe de ne autre réponse que j'ai ici couvre à peu près cela, mais pas trop en détail:
Le degré de protection offert par l'implémentation d'un mot de passe dans n'importe quel système variera toujours en proportion directe de la complexité du mot de passe et des efforts déployés pour protéger ce mot de passe. Les réseaux sans fil ne font pas exception.
Lorsqu'un mécanisme de hachage puissant est utilisé, des mots de passe plus longs et plus complexes vous mettront presque toujours dans une meilleure posture de sécurité. Je vous suggère fortement de lire certaines des autres mots de passe questions que nous avons ici. Un intérêt particulier est:
XKCD # 936: mot de passe complexe court ou longue phrase de passe du dictionnaire?
Il convient de noter cependant que le PSK d'un réseau WPA2 n'est efficace que lorsque le WPS est désactivé ou non pris en charge sur l'AP. Les récentes attaques latérales permettent à un attaquant de casser le WPS en un temps relativement court et de récupérer le WPA2 PSK directement à partir de l'AP sans avoir à casser le PSK lui-même.
Cela dépend, mais en général: oui.
Pour attaquer une clé WPA2 (et considérant que WPS est désactivé!), Vous devez la forcer brutalement, donc plus la clé est longue, plus elle prend de temps.
Suggérez-moi d'avoir une clé de trois lettres et je peux traiter environ 5 mots par seconde pour l'AP (fictif). Un mot peut comprendre 24 lettres et 10 chiffres. Vos possibilités sont donc (24 + 10) ^ 3 = 39304. Si nous ajoutons une lettre, nous obtenons: (24 + 10) ^ 4 = 1336336 possibilités. Il faudrait 37 fois plus de temps pour traiter ces possibilités.
Plus la phrase est longue, plus il y a de possibilités, plus il faut de temps pour attaquer un PA.
Remarque: TOUTEFOIS, si vous prenez des mots normaux, vous devez faire attention aux attaques par dictionnaire. Ils utilisent simplement un dictionnaire et testent tous les mots qui s'y trouvent, cela réduit considérablement les possibilités.
Est-ce toujours plus sûr? Non, bien que ce soit généralement le cas.
À titre de contre-exemple, 1234567890 est beaucoup plus faible que B9xZbA six caractères alphanumériques générés aléatoirement, bien qu'ils soient plus longs. La différence est le contenu entropique informationnel du mot de passe. Fondamentalement, lorsque l'espace échantillon d'un mot de passe créé de manière similaire est plus petit, le mot de passe est plus facile à déchiffrer. Ces sortes de calculs sont un peu difficiles à faire dans la pratique, mais quelques points généraux peuvent être tirés. Augmenter l'espace des éléments choisis au hasard est moins efficace que d'augmenter la longueur du mot de passe. Par exemple, un mot de passe minuscule de 10 caractères (26 lettres) de caractères aléatoires a 26dix ~ 1014 mots de passe possibles, tandis qu'un mot de passe à 8 chiffres qui mélange au hasard la casse (52 lettres majuscule-minuscule) a 528 ~ 5 x 1013 le mot de passe peut être craqué dans environ la moitié du temps.
Comme meilleur exemple de mot de passe wifi, vous voulez généralement une phrase de passe à haute entropie. Les mots de passe peuvent être plus faciles à retenir qu'un mot de passe équivalent. Diceware est un bon moyen de générer une phrase secrète. Je viens de générer glory pew golf iambic clip fee en quelques secondes avec un générateur de nombres aléatoires. Chaque mot a été généré par 5 lancers de dés (65 ~ 7776 choix), donc six mots (630 ~ 1023), la phrase de passe mettrait environ un milliard de fois plus de temps à la force brute qu'une minuscule de dix caractères. Un mot de passe minuscule équivalent serait de ~ 17 caractères minuscules vjdipotnbwpnzjvzr ou ~ 14 minuscules (tkydzwULzRzSFs) ou ~ 12 minuscules et caractères spéciaux (Unsv9[}[g2Pk).
Maintenant, quand vous avez un mot de passe qui tombe dans un schéma simple comme 1234567890, l'entropie est très faible; Par exemple, vous pourriez dire que vous avez le choix entre le caractère de départ (80 choix), la façon dont vous montez ou descendez les caractères (disons 4 possibilités) et la longueur du mot de passe (disons 1 à 30 caractères). Cela a 80x4x30 = 9600 ~ 103 est 10 milliards de fois plus facile à déchiffrer que dix chiffres aléatoires. Vous pouvez dire que cela ne serait craqué que si l'algorithme de craquage recherche ce type de mot de passe spécial, et c'est vrai. Mais ce n'est pas difficile de vérifier initialement quelques-uns de ces types de mots de passe (et il est beaucoup plus probable que ces types de mots de passe apparaissent dans les listes de mots de passe divulgués).
De même, si je choisis une phrase significative comme l'entropie est beaucoup plus faible, car il existe de petites listes de phrases significatives qu'un attaquant pourrait en principe utiliser dans ses attaques.
Vous devez également vous assurer qu'il n'y a pas d'autres attaques contre le système, par exemple, vous utilisez WEP ou WPS ou un autre système cassé, de sorte que la complexité de votre mot de passe n'est pas pertinente.
Cet article parle de forcer brutalement un mot de passe WPA. La réponse courte est: oui, il est plus sûr d'avoir un mot de passe plus long. La question est la commodité relative d'avoir un mot de passe plus court avec un plus sûr - si c'est votre wifi à la maison, vous n'avez probablement pas besoin d'un mot de passe long et fou, mais si c'est quelque chose de plus important, vous devriez y réfléchir à deux fois.
De manière générale, oui, mais je recommande de ne jamais utiliser de mots dans votre mot de passe et d'implémenter un filtre d'adresse MAC. Est-ce encore possible de pénétrer? Oui, mais dans la plupart des cas, qui voudrait se soucier d'un long mot de passe et d'un filtrage d'adresse MAC. Ensuite, il y a l'ananas WiFi: http://revision3.com/hak5/pineapples Les dongles 3G ou 4G sont beaucoup plus sécurisés, mais encore une fois tout dépend de l'application complète et du budget.
Les réponses ont déjà expliqué le plus. En pratique, combien de temps faut-il? Probablement plus long que ce que la personne moyenne utilise dans la pratique, mais moins que certaines des suggestions vues sur le Web. Je me suis mis à la recherche d'une taille raisonnablement sûre qui soit encore assez facile à manipuler. Pour moi, la sécurité serait qu'un adversaire ayant accès à 10 PC haut de gamme dans 5 ans (la durée de conservation du mot de passe) n'aura encore que 2% de chances de casser le mot de passe en 1 mois. Ajustez les chiffres à votre guise. Un adversaire très puissant peut avoir accès à plus de puissance de calcul, mais il est peu probable qu'il l'utilise pendant un mois entier.
Selon hashcat, un PC haut de gamme avec 8 cartes graphiques haut de gamme peut réussir à vérifier un peu plus de 2,2 millions de phrases de passe (en fait: des hachages) par seconde. Si nous supposons que les performances doublent chaque année, dans 5 ans, 1 PC supérieur pourra vérifier 71 millions de hachages par seconde. Ainsi, 10 de ces PC pourraient faire 714 millions de hachages par seconde, soit environ 1 879 149 888 000 000 de hachages en 1 mois. Étant donné que nous avons besoin d'une chance de seulement 2% que le mot de passe soit craqué, nous devons avoir une règle de création de mot de passe qui permet 93,957,494,400,000,000 possibilités.
Donc, si vous utilisez une phrase secrète vraiment aléatoire, vous pouvez vous en tirer avec 12 lettres minuscules ou 9 à 10 caractères alphanumériques (lettres majuscules et minuscules plus chiffres). J'aime les lettres minuscules, car vous pouvez les saisir facilement dans votre appareil mobile. Mais il n'est absolument pas nécessaire d'utiliser des phrases de passe trop complexes de 50 caractères qui utilisent toutes sortes de caractères spéciaux.
De plus, si vous n'êtes pas au courant: vous devez utiliser un ESSID qui n'est pas assez courant pour que quelqu'un ait déjà calculé une table Rainbow pour cela.