Как я измеряю силу пароля?

Это превратилось в мою общую мозговую свалку лучших практик работы с паролями в PHP / MySQL. Представленные здесь идеи, как правило, не мои собственные, но лучшее из того, что я нашел на сегодняшний день.

Вы можете устранить большинство атак, просто ограничив количество разрешенных неудачных попыток входа в систему.

Разрешите использование относительно слабых паролей, но сохраните количество неудачных попыток входа в систему для каждого пользователя и потребуйте проверки пароля или пароля по электронной почте, если вы его превысите. Я установил максимальное количество сбоев равным 5.

Необходимо тщательно продумать представление пользователю сбоев входа в систему, чтобы не предоставлять информацию злоумышленникам. Неудачный вход из-за несуществующего пользователя должен возвращать то же сообщение, что и неудачный вход из-за неверного пароля. Предоставление другого сообщения позволит злоумышленникам определить допустимые входы пользователей.

Также убедитесь, что вы возвращаете точно такое же сообщение в случае сбоя слишком большого количества входов с действующим паролем и сбоя со слишком большим количеством входов в систему и неверным пароль. Предоставление другого сообщения позволит злоумышленникам определить действительные пароли пользователей. Изрядное количество пользователей, вынужденных сбросить свой пароль, просто вернет его к прежнему состоянию.

К сожалению, ограничение количества входов в систему на один IP-адрес нецелесообразно. Некоторые провайдеры, такие как AOL, и большинство компаний прокси-сервером свои веб-запросы. Установление этого лимита эффективно устранит этих пользователей.

Проверка на наличие слабых паролей без словарных слов ЯВЛЯЕТСЯ практичной клиентской стороной с помощью простого javascript.

После отправки я проверяю словарные слова и имя пользователя, содержащее пароль, и наоборот на стороне сервера. Легко загружаются очень хорошие словари, и их легко проверить. Одна из проблем заключается в том, что для проверки словарного слова вам нужно отправить запрос к базе данных, которая снова содержит пароль. Я решил заранее зашифровать свой словарь с помощью простого шифрования и SALT с конечной точкой, а затем проверить зашифрованный пароль. Не идеально, но лучше, чем обычный текст, и только по проводам для людей на ваших физических машинах и в подсети.

Когда вы будете довольны паролем, который они выбрали, сначала зашифруйте его с помощью PHP, а затем сохраните. Следующая функция шифрования паролей тоже не является моей идеей, но решает ряд проблем. Шифрование в PHP не позволяет людям на общем сервере перехватить ваши незашифрованные пароли. Добавление чего-то для каждого пользователя, которое не изменится (я использую электронную почту, поскольку это имя пользователя для моих сайтов), и добавление хеша (SALT - это короткая постоянная строка, которую я изменяю для каждого сайта), повышает устойчивость к атакам. Поскольку SALT находится внутри пароля, а пароль может быть любой длины, становится практически невозможно атаковать это с помощью радужной таблицы. t change (я использую электронную почту, так как это имя пользователя для моих сайтов) и добавление хеша (SALT - это короткая постоянная строка, которую я изменяю для каждого сайта) повышает устойчивость к атакам. Поскольку SALT находится внутри пароля, а пароль может быть любой длины, становится практически невозможно атаковать это с помощью радужной таблицы. t change (я использую электронную почту, так как это имя пользователя для моих сайтов) и добавление хеша (SALT - это короткая постоянная строка, которую я изменяю для каждого сайта) повышает устойчивость к атакам. Поскольку SALT находится внутри пароля, а пароль может быть любой длины, становится практически невозможно атаковать это с помощью радужной таблицы. С другой стороны, это также означает, что люди не могут изменить свой адрес электронной почты, и вы не можете изменить SALT, не аннулируя пароль каждого.

РЕДАКТИРОВАТЬ: Теперь я бы рекомендовал использовать PhPass вместо моей собственной функции. здесь, или просто забудьте о входе пользователя в систему и используйте вместо него OpenID .

function password_crypt($email,$toHash) {
  $password = str_split($toHash,(strlen($toHash)/2)+1);
  return hash('sha256', $email.$password[0].SALT.$password[1]); 
}

Мой счетчик паролей на стороне клиента Jqueryish. Целью должно быть div. Его ширина изменится от 0 до 100, а цвет фона изменится в зависимости от классов, обозначенных в скрипте. Опять же, в основном украденные из других вещей, которые я нашел:

$.updatePasswordMeter = function(password,username,target) {
$.updatePasswordMeter._checkRepetition = function(pLen,str) {
res = ""
for ( i=0; i<str.length ; i++ ) {
    repeated=true;
    for (j=0;j < pLen && (j+i+pLen) < str.length;j++)
        repeated=repeated && (str.charAt(j+i)==str.charAt(j+i+pLen));
    if (j<pLen) repeated=false;
    if (repeated) {
        i+=pLen-1;
        repeated=false;
    }
    else {
        res+=str.charAt(i);
    };
};
return res;
};
var score = 0;
var r_class = 'weak-password';
//password < 4
if (password.length < 4 || password.toLowerCase()==username.toLowerCase()) { 
target.width(score + '%').removeClass("weak-password okay-password good-password strong-password"
).addClass(r_class);
  return true;
} 
//password length
score += password.length * 4;
score += ( $.updatePasswordMeter._checkRepetition(1,password).length - password.length ) * 1;
score += ( $.updatePasswordMeter._checkRepetition(2,password).length - password.length ) * 1;
score += ( $.updatePasswordMeter._checkRepetition(3,password).length - password.length ) * 1;
score += ( $.updatePasswordMeter._checkRepetition(4,password).length - password.length ) * 1;
//password has 3 numbers
if (password.match(/(.*[0-9].*[0-9].*[0-9])/))  score += 5; 

//password has 2 symbols
if (password.match(/(.*[!,@,#,$,%,^,&,*,?,_,~].*[!,@,#,$,%,^,&,*,?,_,~])/)) score += 5; 

//password has Upper and Lower chars
if (password.match(/([a-z].*[A-Z])|([A-Z].*[a-z])/))  score += 10; 

//password has number and chars
if (password.match(/([a-zA-Z])/) && password.match(/([0-9])/))  score += 15; 
//
//password has number and symbol
if (password.match(/([!,@,#,$,%,^,&,*,?,_,~])/) && password.match(/([0-9])/))  score += 15; 

//password has char and symbol
if (password.match(/([!,@,#,$,%,^,&,*,?,_,~])/) && password.match(/([a-zA-Z])/))  score += 15; 

//password is just a nubers or chars
if (password.match(/^\w+$/) || password.match(/^\d+$/) )  score -= 10; 

//verifing 0 < score < 100
score = score * 2;
if ( score < 0 )  score = 0;
if ( score > 100 )  score = 100;
if (score > 25 ) r_class = 'okay-password';
if (score > 50  ) r_class = 'good-password';
if (score > 75 ) r_class = 'strong-password';
target.width(score + '%').removeClass("weak-password okay-password good-password strong-password"
).addClass(r_class);
return true;
};