严霄凤

中国赛迪实验室中国软件评测中心 北京 100048

0 引言

密码由用户记忆并用于证明其身份，是认证因素的重要组成部分，是电子认证的基础。在只使用密码的情况下，假冒者只需获取密码即可进行身份假冒。由于人类记忆较长任意密码的能力有限，所以密码往往很容易受到猜测攻击、常用密码字典攻击以及尝试所有可能密码组合的暴力攻击。各种密码认证协议的脆弱性相差很大，许多密码机制对于被动和主动的网络攻击都很脆弱。尽管某些密码加密协议能够防止几乎所有的直接网络攻击，但目前这些技术并没有被广泛采用，并且所有的密码认证机制，在输入密码时都容易受到按键记录攻击和密码偷窥攻击。实践还表明，用户很容易受到“社会工程学”攻击，将自己的密码透露给自己不了解、但认为是“可信任”的人。由此可见，密码的保护以及密码强度或抗破解能力对受保护信息或信息系统的安全至关重要。

密码强度取决于密码的长度、形成密码的字符空间(字符集)，以及密码字符选择的随机性等多个方面。目前还没有一个准确定义密码强度的方法，基于熵的概念，借助猜测熵和最小熵对密码强度进行大致估计，将对密码的选择具有一定的指导作用。

1 密码熵

密码的破解难度依赖密码的不确定性，与其提供给破解者的信息量大小有直接的关系。密码提供的信息量越大，其不确定性就越小，越容易被破解；相反，密码提供的信息量越小，其不确定性就越大，破解难度就越大。……