通过攻击大量泄露密码来测试密码创建政策的度量标准

在本文中，我们试图确定使用熵（根据NIST SP800-63的定义）作为各种密码创建政策所提供安全性的测量标准的有效性。这是通过对当前密码破解技术在真实用户密码上的成功率进行建模来实现的。这些数据集来源于多个不同的网站，最大的一个包含超过3200万个密码。对实际攻击方法和真实用户密码的关注使这可能成为迄今为止最大的一项密码安全研究。此外，我们还考察这些结果对标准密码创建政策的意义，例如密码的最小长度和字符集要求。