基於規則評分的密碼強度檢測演算法分析及實現(JavaScript)
簡言
用正規表示式做使用者密碼強度的通過性判定,過於簡單粗暴,不但使用者體驗差,而且使用者帳號安全性也差。那麼如何準確評價使用者密碼的強度,保護使用者帳號安全呢?本文分析介紹了幾種基於規則評分的密碼強度檢測演算法,並給出了相應的演示程式。大家可以根據自己專案安全性需要,做最適合於自己的方案選擇。
1 方案1 (簡單)
方案1演算法通過密碼構成分析,結合權重分派,統計得出密碼強度得分。得分越高,表示密碼強度越大,也就越安全。方案1演算法思想簡單,實現容易。
1.1 方案1評分標準
一、密碼長度:
- 5 分: 小於等於4 個字元
- 10 分: 5 到7 字元
- 25 分: 大於等於8 個字元
二、字母:
- 0 分: 沒有字母
- 10 分: 全都是小(大)寫字母
- 20 分: 大小寫混合字母
三、數字:
- 0 分: 沒有數字
- 10 分: 1 個數字
- 20 分: 大於1 個數字
四、符號:
- 0 分: 沒有符號
- 10 分: 1 個符號
- 25 分: 大於1 個符號
五、獎勵:
- 2 分: 字母和數字
- 3 分: 字母、數字和符號
- 5 分: 大小寫字母、數字和符號
1.2 方案1等級劃分
根據密碼評分,將密碼劃分成以下7個等級:
- >= 90: 非常安全(VERY_SECURE)
- >= 80: 安全(SECURE)
- >= 70: 非常強(VERY_STRONG)
- >= 60: 強(STRONG)
- >= 50: 一般(AVERAGE)
- >= 25: 弱(WEAK)
- >= 0: 非常弱( VERY_WEAK)
該評分標準及等級劃分,實際使用時,可小做調整,但不建議做大的變動。
1.3 方案1演示程式
1.4 方案1測試分析
// 評分 25,純小寫字母無法通過驗證
console.log("aaaaaaaa".score());
// 評分 45,純數字無法通過驗證
console.log("11111111".score());
// 評分 47,小寫+數字無法通過驗證
console.log("aa111111".score());
// 評分 45,小寫+大寫無法通過驗證
console.log("aaaaAAAA".score());
// 評分 50,4位密碼不可能通過驗證
console.log("11!!".score());
// 評分 70,5位密碼可通過驗證
console.log("0aA!!".score());
// 評分 67,小寫+大寫+數字可通過驗證(8位)
console.log("aA000000".score());
// 評分 70,數字+符號可通過驗證
console.log("000000!!".score());
從以上測試結果中,我們可以看出演算法是十分的有效的,基本能夠保證密碼具有一定的安全性。但是存在的問題也很明顯,其中最主要的問題是對重複或連續的字元評分過高。以測試用例中最後一個為例: 000000!!
可以得到70分,但顯然並不是一個非常強壯的密碼。
另外,方案1最高可以得到95分,也就是說沒有100分(絕對安全)的密碼,這一點也是很有智慧的設計。
2 方案2
針對方案1中的不足,方案2中引入了減分機制。對於重複出現,連續出現的字元給予適當的減分,以使得密碼評分更準確。同時在方案2中密碼的評分基數及計算過程都十分的複雜,要想理解其中每一步的含義,請保持足夠的耐心。
2.1 方案2加分項
一、密碼長度:
- 公式 :+(n*4),其中n表示密碼長度
二、大寫字母:
- 公式:+((len-n)*2),其中n表示大寫字母個數,len表示密碼長度
三、小寫字母:
- 公式:+((len-n)*2),其中n表示小寫字母個數,len表示密碼長度
四、數字:
- 公式:+(n*4),其中n表示數字個數
- 條件:滿足n < len,才能得到加分,len表示密碼長度
五、符號:
- 公式:+(n*6),其中n表示符號個數
六、位於中間的數字或符號:
- 公式:+(n*2),其中n表示位於中間的數字或符號個數
七、最低條件得分:
- 公式:+(n*2),其中n表示滿足的最低條件條目數
- 條件:只有滿足最低條件,才能得到加分
其中最低條件的條目如下:
- 1.密碼長度不小於8位
- 2.包含大寫字母
- 3.包含小寫字母
- 4.包含數字
- 5.包含符號
最低條件要求滿足條目1並至少滿足條目2-5中的任意三條。
2.2 方案2減分項
一、只有字母:
- 公式:-n,其中n表示字母個數
二、只有數字:
- 公式:-n,其中n表示數字個數
三、重複字元數(大小寫敏感):
該項描述複雜,具體計算方法見如下示例程式:
var pass = "1111aaDD"; //示意密碼
var repChar = 0;
var repCharBonus = 0; //得分
var len = pass.length;
for(var i = 0; i < len; i++) {
var exists = false;
for (var j = 0; j < len; j++) {
if (pass[i] == pass[j] && i != j) {
exists = true;
repCharBonus += Math.abs(len/(j-i));
}
}
if (exists) {
repChar++;
var unqChar = len - repChar;
repCharBonus = (unqChar) ? Math.ceil(repCharBonus/unqChar) : Math.ceil(repCharBonus);
}
}
四、連續大寫字母:
- 公式:-(n*2),其中n表示連續大寫字母出現的次數
- 舉例:如輸入AUB,則n=2
五、連續小寫字母:
- 公式:-(n*2),其中n表示連續小寫字母出現的次數
- 舉例:如輸入aub,則n=2
六、連續數字:
- 公式:-(n*2),其中n表示連續數字出現的次數
- 舉例:如輸入381,則n=2
七、正序或逆序字母:
-
公式:-(n*3),其中n表示連續發生的次數
- 正序或逆序是指字母表中的順序
- 不區分大小寫
- 條件:只有連續3個字母或以上,才會減分,
- 例1:如輸入ABC,則n=1
- 例2:如輸入dcBA,則n=2
八、正序或逆序數字:
- 公式:-(n*3),其中n表示連續發生的次數
- 條件:只有連續3個數字或以上,才會減分
- 例1:如輸入123,則n=1,
- 例2:如輸入4321,則n=2
- 例3:如輸入12,則不會減分
九、正序或逆序符號:
- 公式:-(n*3),其中n表示連續發生的次數
- 條件:只有連續3個符號或以上,才會減分
2.3 方案2等級劃分
根據密碼評分,將密碼劃分成以下5個等級:
- >= 80: 非常強(VERY_STRONG)
- >= 60: 強(STRONG)
- >= 40: 好(GOOD)
- >= 20: 弱(WEAK)
- >= 0: 非常弱( VERY_WEAK)
2.4 方案2演示程式
2.5 方案2測試分析
// 評分 0
console.log("11111111".score());
// 評分 2
console.log("aa111111".score());
// 評分 38
console.log("000000!!".score());
// 評分 76
console.log("Asdf2468".score());
// 評分 76
console.log("Mary2468".score());
// 評分 60
console.log("@dmin246".score());
從以上測試可以看出方案2較方案1有了比較大的改進和提升,尤其是對連續或重複字元上表現出色。但是方案2也存在明顯的不足,主要缺點包括對人名(Mary)、單詞(Story)、鍵盤上相連的鍵(Asdf)、L33T(@dmin)沒法識別。
L33T:是指把拉丁字母換成數字或是特殊符號的書寫形式。例如把E寫成3、A寫成@、to寫成2、for寫成4。
3 方案3 zxcvbn
3.1 簡要說明
針對方案2中的不足,引入了方案3,進一步的提長密碼強度。方案3完全引入一個第三方檢驗工具zxcvbn。
zxcvbn是一個受密碼破解啟發而來的密碼強度估算器。它通過模式匹配和保守估計,大概可以識別大約30K左右的常規密碼。主要基於美國人口普查資料,維基,美國電影,電視流行詞以及其它一些常用模式,像日期,重複字元,序列字元,鍵盤模式和L33T會話等。
從演算法的設計思想上,該方案完全秒殺基於構成的統計分析方法(前兩種方法)。同時zxcvbn支援多種開發語言。因其模式的複雜及字典的存在,當前版本的zxcvbn.js大約有800多K。
要了解專案的詳情及演算法見zxcvbn官網:
3.2 方案3演示程式
以上是三胖對密碼強度檢測演算法和方案的理解和分析,不足之處還請大家多多指正!
相關文章
- 密碼強度的正規表示式(JavaScript)總結密碼JavaScript
- JavaScript密碼強度提醒JavaScript密碼
- JavaScript密碼強度提示JavaScript密碼
- 評估使用者輸入密碼的強度(用Javascript)密碼JavaScript
- js實現的密碼強度提示程式碼JS密碼
- 基於關聯規則的分類演算法演算法
- JavaScript 密碼強度提示效果JavaScript密碼
- js實現的密碼強度提示效果JS密碼
- 原生javascript實現的檢測字串長度JavaScript字串
- 雙向最大匹配演算法——基於詞典規則的中文分詞(Java實現)演算法中文分詞Java
- JavaScript密碼強度等級詳解JavaScript密碼
- 基於Groovy的規則指令碼引擎實戰指令碼
- 基於圖資料庫 NebulaGraph 實現的欺詐檢測方案及程式碼示例資料庫
- 基於時間序列檢測演算法的智慧報警實現演算法
- Linux 生成複雜密碼並且檢查密碼強度Linux密碼
- 基於Python實現的口罩佩戴檢測Python
- 機器學習系列文章:Apriori關聯規則分析演算法原理分析與程式碼實現機器學習演算法
- 【java規則引擎】一個基於drools規則引擎實現的數學計算例子Java
- Javascript校驗密碼複雜度的正規表示式JavaScript密碼複雜度
- 如何在 Linux 生成複雜密碼並且檢查密碼強度Linux密碼
- 原生Javascript實現星星評分元件JavaScript元件
- 直播平臺原始碼,JavaScript表單驗證密碼強度原始碼JavaScript密碼
- 基於Redis實現分散式鎖,Redisson使用及原始碼分析Redis分散式原始碼
- 基於C++和OpenCv的SIFT_影象區域性特徵檢測演算法程式碼的實現C++OpenCV特徵演算法
- 基於opencv實現簡單人臉檢測OpenCV
- 管理規則和基於規則的轉換——流
- 基於工業資料的檢測分析
- JavaScript人臉檢測的實現方法JavaScript
- 密碼生成常見的編碼規則密碼
- 淺議密碼強度與密碼破解(2)密碼
- JavaScript實現線上生成高強度隨機密碼工具-toolfk程式設計師線上工具網JavaScript隨機密碼程式設計師
- javascript關於toFixed的計算規則JavaScript
- 基於動態規劃的強化學習演算法動態規劃強化學習演算法
- 百度演算法常見規則,百度演算法彙總及應對方法演算法
- 基於MySql主從分離的程式碼層實現MySql
- 3種生成高強度密碼的方法密碼
- 關聯規則apriori演算法的python實現演算法Python
- 4、 oracle 10g中的密碼策略---密碼重用規則Oracle 10g密碼