さて、これが全体の話です。
まず、スキームの「良さ」の尺度を定義しましょう。パスワードなどでは、ブルート フォース攻撃でアクセスを取得するまでの平均試行回数が測定値になります。
パスワードがn文字のアルファベットSから抽出され、パスワードの長さがkであるとします。この場合、考えられるパスワードの総数はn kです。
したがって、平均して、ブルート フォース攻撃は、約n k /2またはn k-1回の試行で成功したパスワードを見つけます。
便宜上、また、ここでは説明しないいくつかの情報理論上の考慮事項のために、通常、これをビット数として表現します。これはlg n kであり、lgは底 2 の対数を表します。離散的なものとしてのビットの場合、実際には通常、その数の上限、つまりlg n kよりも大きい最小の整数を取りますが、実際には小数値は完全に正当です。
印刷可能な文字、8 文字のパスワード、およびその他の規則がない場合、その数は 100 8または約 10 16の近くになります。つまり、約 53 ビットです。唯一のことは、そのようなランダムなパスワードを覚えることはほとんど不可能だということです。それらは黄色い付箋になってしまう傾向があり、その種の攻撃に対して脆弱になります。それでも、それは限定的なケースです。力ずくでそれを推測するには、約 100 兆回の試行が必要です。試行ごとに 1 ペニーの費用がかかる場合、理論的には、泥棒の時間の価値がある前に、データは 1 兆ドルもの価値になる可能性があります。
一方、一般的に使用されている辞書の単語は約 50,000 語しかありません。これは約 16 ビットです。総当たりで約 25,000 回の試行が必要です。試行ごとに 1 セントの費用がかかると考えてください。データの価値は 250.00 ドルを超えないようにすることをお勧めします。
これらは両方ともルールの適用です
R＝P×H
ここで、Rはリスク、Pは悪い考えが発生する確率、H (ハザード) は悪いことが起こった場合のコストです。
1 回の試行は高すぎますが、必要なツールは揃っています。データの価値を把握すると、この方法を使用して、必要なルール セットの範囲を決定できます。(ただし、ルールを厳しすぎると、受け入れ可能なパスワードのセットのエントロピーが小さくなるので注意してください。よく考えた結果、セキュリティがすべての中で最適なパスワードを決定したという古いジョークにたどり着くまでは、'*8h%' です。 Jd!' であるため、すべてのユーザーがそのパスワードの使用を開始します。)