Quanto è davvero insicura la mia password breve?

Usando sistemi come TrueCrypt, quando devo definire una nuova password, sono spesso informato che l'uso di una password breve è insicuro e "molto facile" da rompere con la forza bruta.

Uso sempre password di 8 caratteri di lunghezza, che non sono basate su parole del dizionario, che consiste di caratteri dell'insieme AZ, az, 0-9

Cioè io uso la password come sDvE98f1

Quanto è facile decifrare una tale password con la forza bruta? Cioè quanto velocemente.

So che dipende fortemente dall'hardware, ma forse qualcuno potrebbe darmi una stima di quanto tempo ci vorrebbe per farlo su un dual core con 2GHZ o qualsiasi altra cosa per avere un quadro di riferimento per l'hardware.

Per attaccare con forza tale password è necessario non solo scorrere tutte le combinazioni, ma anche provare a decifrare con ogni password indovinata che richiede anche un po 'di tempo.

Inoltre, esiste un software per hackerare TrueCrypt a forza bruta perché voglio provare a forzare la mia password di sicurezza per vedere quanto tempo impiega se è davvero "molto facile".

Se l'aggressore può accedere all'hash della password, è spesso molto facile forzare la forza poiché implica semplicemente password di hashing fino a quando gli hash corrispondono.

La "forza" dell'hash dipende da come è memorizzata la password. Un hash MD5 potrebbe richiedere meno tempo per generare un hash SHA-512.

Windows era solito (e forse non lo so) archiviare le password in un formato hash LM, che metteva in maiuscolo la password e la divideva in due blocchi di 7 caratteri che venivano poi sottoposti a hash. Se avessi una password di 15 caratteri non avrebbe importanza perché memorizzava solo i primi 14 caratteri ed era facile forzare la forza perché non eri costretto a forzare una password di 14 caratteri, eri costretto a forzare due password di 7 caratteri.

Se ne senti la necessità, scarica un programma come John The Ripper o Cain & Abel (link trattenuti) e testalo.

Ricordo di essere riuscito a generare 200.000 hash al secondo per un hash LM. A seconda di come Truecrypt memorizza l'hash e se può essere recuperato da un volume bloccato, potrebbe richiedere più o meno tempo.

Gli attacchi di forza bruta sono spesso usati quando l'attaccante ha un gran numero di hash da attraversare. Dopo aver eseguito un dizionario comune, spesso iniziano a eliminare le password con comuni attacchi di forza bruta. Password numerate fino a dieci, simboli alfa e numerici estesi, simboli alfanumerici e comuni, simboli alfanumerici ed estesi. A seconda dell'obiettivo dell'attacco, può condurre con percentuali di successo variabili. Tentare di compromettere la sicurezza di un account in particolare spesso non è l'obiettivo.

La forza bruta non è un attacco praticabile , praticamente mai. Se l'aggressore non sa nulla della tua password, non la sta ottenendo attraverso la forza bruta da questa parte del 2020. Questo potrebbe cambiare in futuro, man mano che l'hardware avanza (ad esempio, si potrebbe usare tutto comunque-molti-esso-ha- ora core su un i7, accelerando enormemente il processo (comunque parlando anni)

Se vuoi essere -super- sicuro, inserisci un simbolo ASCII esteso (tieni premuto alt, usa il tastierino numerico per digitare un numero maggiore di 255). Fare questo assicura praticamente che una semplice forza bruta sia inutile.

Dovresti essere preoccupato per potenziali difetti nell'algoritmo di crittografia di TrueCrypt, che potrebbe rendere molto più facile la ricerca di una password e, naturalmente, la password più complessa al mondo è inutile se la macchina su cui la stai utilizzando è compromessa.

È possibile utilizzare questo strumento online per una stima http://lastbit.com/pswcalc.asp

EDIT: Altri hanno dato buone risposte per la parte della tua domanda riguardante "Quanto è facile decifrare una tale password con la forza bruta? Cioè quanto velocemente"

Per rispondere a questa parte della tua domanda:

Inoltre, esiste un software per hackerare TrueCrypt a forza bruta perché voglio provare a forzare la mia password di sicurezza per vedere quanto tempo impiega se è davvero "molto facile".

Ecco una varietà di opzioni per TrueCrypt bruteforcing

Eccone un altro della Princeton University.

La password:

Questa è una password semplice, ma lunga.

è molto più resistente alla forza bruta, inclusi gli attacchi basati su dizionari, rispetto a:

sDvE98f1

Quindi usare una password breve ma difficile è controproducente. È più difficile da ricordare e meno sicuro.

Usa una frase semplice ma lunga.

Il pagliaio di GRC ha detto che ci vorrebbero 36,99 minuti per decifrare la tua password in un attacco offline. https://www.grc.com/haystack.htm