Hotmail: Lösenord får ej överstiga 16 tecken

Du säger ju att det är enkelt att ändra därmed måste du även veta vilken algoritm dom använder och att den inte har några svagheter/begränsningar baserat på längd.

Du skall inte ha samma lösenord på flera platser.

Tecken över 20 ger 1 bits entropi oavsett tecken.

Dom använder en algoritm som jobbar med 128 bitar.

Finns bättre skydd mot bruteforce som t ex nyckel deriverings funktioner.

Jag antar att ni krypterar era mail också. Bråka om säkra lösenord och skicka mail i klartext blir ju lite fel.

Det första problemet som fäller både frågan om olika längd samt hackad databas:
Grundläggande regel, använd aldrig samma lösenord på två ställen. Hackar dom en databas kan dom bruteforca fram mitt lösen där bäst dom vill, för det kommer ändå inte fungera någon annanstans.

Men absolut, håller med om orimligheten i längden, måste varit nån sorts designbeslut så vore ju intressant att höra varför.

Däremot så förstår jag inte detta att det är säkrare när det blir längre. Vad är det som gör 200 randomtecken säkrare än 16, bortsett från scenariot att nån stjäl databasen för bruteforce? Vilket då ändå bör vara löst genom att använda en algoritm som t ex bcrypt.

Men i ditt exempel tog du ju upp att det jobbiga var att användaren hade samma lösenord?
Har man hundra lösenord på 28 tecken randomdroppade så måste man antagligen (finns nog en del med utmärkt minne) ha en lösenordshanterare så då är det inget problem med olika längd.

Användaren kanske alltid har ett lösenord som är 28 tecken.

Vidare så frångår du ju mitt exempel. 1 tecken, a-zA-Z0-9 skulle ge 26+26+10 =62 kombinationer, inte så smart nej.

16 tecken ger då 62^16 kombinationer, så sålänge det är en randomisering och inte en sammansättning av ord från som finns i nån wordlist så ser jag det som nära nog orimligt?

Problemet sen är även, när du testat alla dom, vad säger att jag har 16 tecken?
Har man 15 tecken så får du testa 62^15...

Jag satte ett 1-16 tecken långt lösenord här på sweclockers, du är välkommen att försöka logga in på mitt konto. Bjuder på en lunch när du lyckats

Haha ja fast i nästa inlägg så skrev du ju att du har olika. Som sagt problemet uppstår ju bara om man har samma lösenord överallt och då bryter man ju mot den enklaste regeln, ha inte samma lösenord överallt.

Sen så gnäller ju outlook.com om man försöker logga in med fler än 16 tecken, så då är det väl bara att använda sina första 16 tecken i det 28 tecken långa lösenordet? Enda gången detta är ett problem är om det är en sida som inte varnar vid maxlängden vid inloggning.

Och lösenordsknäckare, det är bara börja att testa med "a", sen "b", så fortsätter du så. Som sagt, min poäng är att ska du försöka logga in på mitt konto här på Swec så är det ingen rimlig skillnad i om du måste testa 16 eller 128 tecken, för redan på 16 tecken är det så orimligt att du ska lyckas.