说说密码强度规则

Answer 1

在WEB产品设计中，密码强度的设定是一个关键环节。通常，我们采用Google提出的方案，通过密码长度、英文大小写和符号组合来区分强度。然而，这种方法的局限性显而易见。通过总结与整理，我归纳了几种密码强度设定规则，以供参考。

密码强度，实质上是指用户密码抵御猜测和暴力破解的能力。它与密码长度、复杂性和不可预测性紧密相关。强密码能显著降低系统遭受安全威胁的风险，但并不能替代其他安全措施。攻击者尝试破解密码的速度是衡量系统安全性的重要指标。部分系统在一定次数的尝试失败后会暂停登录，这使得简单的密码也能提供一定程度的保护。然而，系统的密码必须以某种形式存储，当这些数据被盗时，系统面临巨大风险。

简易版密码强度规则为：密码长度至少8位，含有数字和字母，包含符号，以及字母大小写。不符合上述条件时，系统将给出针对性提示。

常规版规则则更为具体：密码长度分为等级，大于8位的密码得分更高；字母出现情况，全大写、全小写或大小写混合则分别加0分、10分和20分；数字出现情况，无、1个或3个以上分别加0分、10分和20分；符号出现情况，无、1个或超过1个分别加0分、10分和25分。此外，密码包含字母和数字得2分，包含字母、数字和符号得3分，包含大小写字母、数字和符号得5分。最终，评分决定密码强度等级。

专业版规则则引入了更多数学元素：每增加一个字符，分数增加；字母数量与大小写字母数量差异越大，分数增加；连续重复字符或连续数字字符，分数减少；连续字母字符或连续数字字符，分数减少；超过一定长度的连续数字或字母，分数大幅减少。总分低于60分为弱，高于80分为强，介于两者之间为中等。

骨灰版规则在专业版的基础上，细化了加分和减分的标准：增加字符的变化能提高分数，总分为加分和减分的总和，范围为0~100分，无需达到最低字符数即可计算。加分项包括密码长度、不同字符的出现、字符间的穿插，以及达到最低要求的项目。扣分项则包括单一字符的使用、重复字符、连续字符等。

HACK版规则强调不在彩虹表中的密码强度较高。彩虹表是针对各种可能密码组合预先计算的哈希值集合，能快速破解密码。使用不在彩虹表中的密码能显著提升密码安全性。