注: これは明示的にプログラミングに関連するものではありませんが、プログラマーの観点から説明できることを望んでいました。
現在の「パスワード強度評価」について、私が理解できないことが 2 つあります。これはすべてブルート フォース エントリに関係します。(これらの「パスワード強度評価」が、一般的/一般的なパスワードの使用以外の種類の違反に関連している場合は、私に知らせてください)。
1) パスワード システムで使用が許可されている限り、数字/記号/大文字を含めても問題ないのはなぜですか?
たとえば、次のように言いましょう。
a) システムで使用できる文字は、az、AZ、0 ～ 9、およびそれらの「シフトされた値」「!」です。')' に、つまり 72 個のシンボルが可能です。
b) 長さ 10 のパスワードを使用しているため、72^10 の可能性があります。
c) 私のパスワードは、使用されている最も一般的/人気のあるパスワードのトップ 10,000 に入っていません。したがって、72^10 - 10,000 の可能性が残ります。
'sndkehtlyo' のようなすべて小文字のパスワードは、'kJd$56H3di' と同じ強度ではないでしょうか? どちらも追加の文字を含める可能性が同じであるためです。ブルート フォース アルゴリズムは、使用するかどうかに関係なく、これらの数字/記号/大文字を含める必要はありませんか? これらの格付けシステムは、ブルート フォース攻撃では、最初に 26^n 個の小文字のパスワードすべてを試し、次に 52^n 個のパスワードすべてを試し、次に 62^n 個のパスワードすべてを試す、などと考えているようです。
2) なぜそれが重要なのですか? 一定回数 (通常は 5 回) 試行してもロックアウトされないパスワード システムにまだ出会ったことがありません。最近では、ブルートフォースアプローチはどのように機能するのでしょうか?
ここで根本的な何かが欠けているように感じます。