关于Measuring Password Guessability for an Entire University的统计研究报告.docx

关于《Measuring Password Guessability for an Entire University》的统计研究报告本文是将卡内基梅陇大学的老师、学生、工作人员等使用的密码组成密码集，对整个密码集进行分析并用weir算法在离线的条件下安全地进行模拟攻击，从而对整个密码集进行密码强度和其他方面的测评。在此基础上将CMU的密码集和由其他途径收集的（各大网站泄露的或者模拟的）另外一些密码集进行比较分析他们之间的异同。因为CMU的密码集具有高价值性，经常使用性等，这是其他密码集中的密码所不具备的，因此这篇文章是有意义的。下面对文章的统计部分进行分析，本文是用来大量的图表进行分析比较。因此以下内容主要对文章中的各个图表进行详细解释。图1对所有人员的回归分析结果。第一列是将CMU密码集进行分类的因素，其中male是和female对比其他指标是和fine art college进行对比。第二列是系数，其中负系数说明该子密码集的密码强度更强。第三列是系数的指数，说明该因素对密码强度有多大程度的影响。比如第二行的值0.804说明和fine art college相比engineerin gcollege密码有80.4%的可能性被猜出。第四列是标准误差（SE = S（标准差）÷?n），表示可靠性，越小即越可靠。第五列p-value为假设机率，p-value越小表示原假设越成功。从图中我们可以得到male的密码强度是强于female的。Business college的密码强度是最弱的。第四行由于p-value过大而被认为是不可靠的。注：下文中有一些与图一类似的图表，仅仅是factor一列不同，其他统计指标均一样，因此仅仅再挑出一些具有特点的进行分析，而不再一一进行解释。图2图2横坐标表示对不同的子密码集进行猜测的次数，纵坐标表示该子密码集被成功猜测出的比率。由图中我们可以得到computer science college的密码强度是最强的，因为在相同的猜测次数下被猜错出的百分比是最低的。我们还可以得到在对各个密码集进行猜测了1E7次后被猜测出的密码才开始有比较明显的增加。图3男性密码强度强于女性。图4本图解释了不同的密码组成符号（数字、符号、大写字母）放在整个密码的不同位置（开始、中间、结尾、分散）的情况下，该密码被猜测出的可能性。比如一条密码中所有的数字放在结尾部分和另一条密码其数字是分散在密码的各个位置相比，前者有5倍多的概率被攻克。图5由此图可以看出将大写字母放在密码的开始部分会使该密码的密码强度变弱，将符号分散在密码的各个位置将较大程度的提高密码强度生日不要用在密码中等。图6Annoying表示认为学校设置的密码策略（要求包含大写字母、小写字母、数字、符号，并且长度大于8）是令人感到厌烦的。可以看出对该密码策略感到厌烦的人的密码的密码强度是低于不对密码政策感到厌烦的这类人的。图7由于本文中使用的weir算法是可培训的（使用不同的密码集统计其规律并将该规律用于接下来的密码攻克）图7表示了使用不同的密码集对算法进行培训后而得到的结果。Attacter表示使用不同的密码集对算法进行培训。第二列即密码集。第三列表示该密码集所包含的密码的数目。第四列五列六列表示在猜测了这些次后该密码集中的密码被猜测出的比例。Cutoff同前几列相同，public是3.6E14，knowledge是3.8E14。最后一列G1 p-value是由威尔科克森符号秩检验衍生的peto-peto。表示两组数据之间的差异程度。值越小，差异越大。由图中可以得到Ycomp8这个密码集的密码强度是最强的。在Public情况下Mtsim的密码集和CMU密码集最为类似，而在knowledgeable的情况下RYcomp8和CMU最为相似。图8该图统计了不同的密码集所具有的平均密码长度，数字、符号、大写字母和小写字母的平均长度。Entropy：熵（混乱度）表示其所具有的信息量。 ?表示，数量少于1000而不能被计算出。本图具有95%的可信度。Structure表示具有的结构种类。图9类似箱图，该图主要得出MTsim这个密码集和CMUcative这个密码及的相似度最高。总结全文，可由统计学得到的有关密码的结论还有：1.商业和艺术有关的专业密码强度较弱。 2.在密码组成机制要求下产生的密码强度高于没有要求的。 3.年长者密码强度高于年轻人。 4.不经常使用密码者密码强度高于经常使用者。 5.经常输错密码者密码强度较高。 6.有更多数字，符号，大写字母的密码强度更高。 7.大写字母不要放开头，数字不要放结尾。每一类尽量分散在密码中而不是连续存在。多种元素分布在密码各个位置使得密码难以猜测8.密码越长，密码强度越强（显然）。 9．不要使用字典中存在的单词人名。 10.出生日期