Abstract-Vi rapporterar om den största corpus av användare valda lösenord någonsin studerat, bestående av anonymiserade lösenord histogram som representerar nästan 70 miljoner Yahoo! användare, minska integriteten och samtidigt möjliggöra analys av dussintals delpopulationer baserat på demografiska faktorer och egenskaper för användning av webbplatser. Denna stora datamängd motiverar en grundlig statistisk behandling för att uppskatta gissningssvårigheter genom provtagning från en hemlig distribution. I stället för tidigare använda mätvärden som Shannon entropy och gissning entropy, som inte kan uppskattas med någon realistisk storlek prov, utvecklar vi partiella gissningsmått inklusive en ny variant av gissningar parameteriseras av en angripares önskade framgång. Vår nya mätmetod är jämförelsevis lätt att approximera och direkt relevant för säkerhetsteknik. Genom att jämföra lösenordsdistributioner med en enhetlig distribution som skulle ge motsvarande säkerhet mot olika former av gissningsangrepp, uppskattar vi att lösenord ger färre än 10 bits säkerhet mot en online, trålning attack, och endast cirka 20 bits säkerhet mot en optimal offline ordbok attack. Vi finner förvånansvärt lite variation i gissning svårigheter; varje identifierbar grupp av användare genererade en jämförelsevis svag lösenordsdistribution. Säkerhetsmotiveringar som registrering av betalkort har ingen större inverkan än demografiska faktorer som ålder och nationalitet. Även proaktiva insatser för att knuffa användare mot bättre lösenordsval med grafisk feedback gör liten skillnad. Mer förvånande, även till synes avlägsna språkgemenskaper väljer samma svaga lösenord och en angripare vinner aldrig mer än en faktor av 2 effektivitetsvinst genom att byta från den globalt optimala ordboken till en befolkning-specifika listor.
I en 2012 studie, Bonneau utvecklat partiella gissningsmått, och analyserat en corpus av 70 miljoner lösenord REF.
The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords
{'venue': '2012 IEEE Symposium on Security and Privacy', 'journal': '2012 IEEE Symposium on Security and Privacy', 'mag_field_of_study': ['Computer Science']}