tldr; Het beperken van de wachtwoordruimte helpt niet tegen brute force -aanvallen, maar wel tegen intelligente -aanvallen, maar er is een nog betere manier.

Ten eerste stelt u de juiste vraag, maar gebruikt u hier de verkeerde terminologie:

... het tweede schema produceert wachtwoorden die waarschijnlijk meer zijn bestand tegen eenvoudige brute force aanvallen.

(ik denk dat je bedoelt intelligente aanvallen.)

A brute force -aanval is er een die elke mogelijke combinatie probeert zonder toegevoegde intelligentie . Brute kracht in uw voorbeeld zou zoiets zijn als:

  a, b, c, ... y, z, 0, 1 ... 9, aa, ab, ac, ... ay, az, a0, a1 ... a9, ba, bb, bc ... 99, aaa ... 999, aaaa ... 9999, aaaaa ... 99999, aaaaaa ... 999999  

Al het andere dan dat zou worden beschouwd als een inlichtingenstrategie. Voordat u brute kracht probeert, kunt u bijvoorbeeld wat tijd besparen met deze strategie:

1. Probeer alleen getallen.
2. Probeer woorden uit een woordenboek.
3. Probeer de X meest populaire wachtwoorden.
4. Probeer combinaties van de gebruikersnaam of de initialen van de gebruiker, het huidige jaar of vorig jaar, enz.
5. Probeer brute kracht.

Uw doel, als maker van uw wachtwoord, is ervoor te zorgen dat de eerste 4 opties uw wachtwoord altijd niet vinden. Met andere woorden, u moet ervoor zorgen dat de enige manier om uw wachtwoord te achterhalen is door middel van brute kracht, en u moet er ook voor zorgen dat als er brute kracht wordt gebruikt, het lang zal duren voordat u uw wachtwoord vindt. Hoe u dat ook doet, is aan u, gezien de beperkingen van de soorten wachtwoorden die zijn toegestaan.

Wat uw specifieke vraag betreft, ik zou het meer als een willekeurige wachtwoordgenerator benaderen - het genereert er een voor u, u kijkt ernaar, en als u denkt dat het geraden kan worden met een andere methode dan brute kracht, dan hoeft u alleen maar genereer nog een willekeurige totdat je er tevreden mee bent. (Dit zou Schema 1 zijn met een twist.) Als je dit echt zou willen kwantificeren, zou je je intelligentiestrategieën kunnen laten bouwen en klaar voor gebruik (alle strategieën behalve brute kracht). Vervolgens kunt u ze testen met uw willekeurig gegenereerde wachtwoord en als het wordt gevonden, genereert u een ander totdat alle intelligente strategieën uw wachtwoord niet kunnen vinden. U krijgt dan een wachtwoord dat alleen met brute kracht kan worden ontdekt. Door deze methode te gebruiken kun je een betere entropie bereiken dan door de wachtwoordruimte te beperken zoals je hebt beschreven.

Opmerking: met de wachtwoordregels die je hebt opgegeven, kan mijn draai aan Schema 1 eindigen lijkt enigszins op schema 2, maar naarmate het aantal toegestane tekens en de wachtwoordlengte toeneemt, zou de twist van schema 1 meer entropie moeten bieden.

Ik denk dat je de complexiteit van het probleem mooi hebt samengevat, en hebt geïllustreerd waarom beide voor- en nadelen hebben. Het juiste antwoord is natuurlijk Schema 3: gebruik een langer wachtwoord , of Schema 4: schakel over naar een bank die wachtwoorden van meer dan 6 tekens toestaat .

Je hebt eigenlijk een eeuwenoude vraag opgeworpen, die je rond de vragen op deze site kunt vinden als je door de tag wachtwoorden bladert: met enige (kleine) kans zou een volledig willekeurige wachtwoordgenerator bedenk "wachtwoord". Door de willekeurigheid te beperken, vergroot u de sterkte van uw worst-case-wachtwoord, ten koste van uw entropie. Als je een goed argument kunt aanvoeren voor een beperking die de entropie niet significant vermindert, dan denk ik dat het acceptabel kan zijn. Hoewel het algemene antwoord altijd is: als u zich zorgen maakt over de entropie van uw wachtwoordruimte, gebruik dan meer tekens.

antwoord op titelvraag:

Nee, onder geen enkel scenario, maar men beperkt de wachtwoordruimte, verhoogt de veiligheid. Het enige scenario waarin dit gebeurt, is wanneer uw beperking de uitsluiting is van bekende zwakke wachtwoorden, bijv. een zwarte lijst. Dit is trouwens de (2018) aanbevolen manier om het te doen. Vergeet alle complexiteitsonzin, dat waren IT-effecten die gelijkwaardig zijn aan alchemie.

antwoord op de volledige tekstvraag:

Uw plan twee is eigenlijk zwakker vanwege een veel voorkomende menselijke misvatting. Je zou kunnen denken dat een willekeurige generator die theoretisch "aaaaaa" kan uitspugen, zwakker is dan een generator die dat niet kan. U vergist zich echter. Uw generator die deze "zwakke" uitvoer niet kan genereren, heeft in feite een verminderde zoekruimte en elke aanvaller die het algoritme achter het schema kent, heeft een groot voordeel ten opzichte van het volledig willekeurige schema.

Merk op dat "aaaaaa" zou kunnen zijn de eerste poging is een domme aanval met brute kracht, maar de kans is erg klein en wordt gemakkelijk gecompenseerd door het feit dat de zoekruimte zo veel groter is. In feite, in een schema dat het voor de generator onmogelijk maakt om deze uitvoer te creëren, zou een aanvaller die zich bewust is van het schema er ook niet op testen.

"aaaaaa" is eigenlijk geen slecht wachtwoord en in elk realistisch aanvalsscenario wordt waarschijnlijk lang, lang na "passwd", "123456" en zelfs al hun mogelijke permutaties door de aanvaller getest. Een echte aanvaller in de echte wereld zal veel eerder vluchten of op zijn minst beginnen met een woordenboekaanval voordat hij daadwerkelijke brute-force-opsomming gebruikt.