基於規則評分的密碼強度檢測算法分析及實現(JavaScript)

時間 2019-11-06

標籤基於規則評分密碼強度檢測算法分析實現 javascript 欄目 JavaScript 简体版

原文原文鏈接

簡言

用正則表達式作用戶密碼強度的經過性斷定，過於簡單粗暴，不但用戶體驗差，並且用戶賬號安全性也差。那麼如何準確評價用戶密碼的強度，保護用戶賬號安全呢？本文分析介紹了幾種基於規則評分的密碼強度檢測算法，並給出了相應的演示程序。你們能夠根據本身項目安全性須要，作最適合於本身的方案選擇。javascript

1 方案1 （簡單）

方案1算法經過密碼構成分析，結合權重分派，統計得出密碼強度得分。得分越高，表示密碼強度越大，也就越安全。方案1算法思想簡單，實現容易。java

1.1 方案1評分標準

1、密碼長度：git

5 分: 小於等於4 個字符
10 分: 5 到7 字符
25 分: 大於等於8 個字符

2、字母：github

0 分: 沒有字母
10 分: 全都是小（大）寫字母
20 分: 大小寫混合字母

3、數字:正則表達式

0 分: 沒有數字
10 分: 1 個數字
20 分: 大於1 個數字

4、符號:算法

0 分: 沒有符號
10 分: 1 個符號
25 分: 大於1 個符號

5、獎勵:安全

2 分: 字母和數字
3 分: 字母、數字和符號
5 分: 大小寫字母、數字和符號

1.2 方案1等級劃分

根據密碼評分，將密碼劃分紅如下7個等級：工具

>= 90: 很是安全（VERY_SECURE）
>= 80: 安全（SECURE）
>= 70: 很是強（VERY_STRONG）
>= 60: 強（STRONG）
>= 50: 通常（AVERAGE）
>= 25: 弱（WEAK）
>= 0: 很是弱（ VERY_WEAK）

該評分標準及等級劃分，實際使用時，可小作調整，但不建議作大的變更。測試

1.3 方案1演示程序

演示程序spa

1.4 方案1測試分析

// 評分 25，純小寫字母沒法經過驗證
console.log("aaaaaaaa".score());
// 評分 45，純數字沒法經過驗證
console.log("11111111".score());
// 評分 47，小寫+數字沒法經過驗證
console.log("aa111111".score());
// 評分 45，小寫+大寫沒法經過驗證
console.log("aaaaAAAA".score());
// 評分 50，4位密碼不可能經過驗證
console.log("11!!".score());
// 評分 70，5位密碼可經過驗證
console.log("0aA!!".score());
// 評分 67，小寫+大寫+數字可經過驗證（8位）
console.log("aA000000".score());
// 評分 70，數字+符號可經過驗證
console.log("000000!!".score());

從以上測試結果中，咱們能夠看出算法是十分的有效的，基本可以保證密碼具備必定的安全性。可是存在的問題也很明顯，其中最主要的問題是對重複或連續的字符評分太高。以測試用例中最後一個爲例： 000000!! 能夠獲得70分，但顯然並非一個很是強壯的密碼。

另外，方案1最高能夠獲得95分，也就是說沒有100分（絕對安全）的密碼，這一點也是頗有智慧的設計。

2 方案2

針對方案1中的不足，方案2中引入了減分機制。對於重複出現，連續出現的字符給予適當的減分，以使得密碼評分更準確。同時在方案2中密碼的評分基數及計算過程都十分的複雜，要想理解其中每一步的含義，請保持足夠的耐心。

2.1 方案2加分項

1、密碼長度：

公式：+(n*4)，其中n表示密碼長度

2、大寫字母：

公式：+((len-n)*2)，其中n表示大寫字母個數，len表示密碼長度

3、小寫字母：

公式：+((len-n)*2)，其中n表示小寫字母個數，len表示密碼長度

4、數字：

公式：+(n*4)，其中n表示數字個數
條件：知足n < len，才能獲得加分，len表示密碼長度

5、符號：

公式：+(n*6)，其中n表示符號個數

6、位於中間的數字或符號：

公式：+(n*2)，其中n表示位於中間的數字或符號個數

7、最低條件得分：

公式：+(n*2)，其中n表示知足的最低條件條目數
條件：只有知足最低條件，才能獲得加分

其中最低條件的條目以下：

1.密碼長度不小於8位
2.包含大寫字母
3.包含小寫字母
4.包含數字
5.包含符號

最低條件要求知足條目1並至少知足條目2-5中的任意三條。

2.2 方案2減分項

1、只有字母：

公式：-n，其中n表示字母個數

2、只有數字：

公式：-n，其中n表示數字個數

3、重複字符數（大小寫敏感）：

該項描述複雜，具體計算方法見以下示例程序：

var pass = "1111aaDD";  //示意密碼
var repChar = 0;
var repCharBonus = 0;  //得分
var len = pass.length;
for(var i = 0; i < len; i++) {
    var exists = false;
    for (var j = 0; j < len; j++) {
        if (pass[i] == pass[j] && i != j) {
            exists = true;
            repCharBonus += Math.abs(len/(j-i));
        }
    }
    if (exists) {
        repChar++;
        var unqChar = len - repChar;
        repCharBonus = (unqChar) ? Math.ceil(repCharBonus/unqChar) : Math.ceil(repCharBonus);
    }
}

4、連續大寫字母：

公式：-(n*2)，其中n表示連續大寫字母出現的次數
舉例：如輸入AUB，則n=2

5、連續小寫字母：

公式：-(n*2)，其中n表示連續小寫字母出現的次數
舉例：如輸入aub，則n=2

6、連續數字：

公式：-(n*2)，其中n表示連續數字出現的次數
舉例：如輸入381，則n=2

7、正序或逆序字母：

公式：-(n*3)，其中n表示連續發生的次數
- 正序或逆序是指字母表中的順序
- 不區分大小寫
條件：只有連續3個字母或以上，纔會減分，
例1：如輸入ABC，則n=1
例2：如輸入dcBA，則n=2

8、正序或逆序數字：

公式：-(n*3)，其中n表示連續發生的次數
條件：只有連續3個數字或以上，纔會減分
例1：如輸入123，則n=1，
例2：如輸入4321，則n=2
例3：如輸入12，則不會減分

9、正序或逆序符號：

公式：-(n*3)，其中n表示連續發生的次數
條件：只有連續3個符號或以上，纔會減分

2.3 方案2等級劃分

根據密碼評分，將密碼劃分紅如下5個等級：

>= 80: 很是強（VERY_STRONG）
>= 60: 強（STRONG）
>= 40: 好（GOOD）
>= 20: 弱（WEAK）
>= 0: 很是弱（ VERY_WEAK）

2.4 方案2演示程序

演示程序

2.5 方案2測試分析

// 評分 0
console.log("11111111".score());
// 評分 2
console.log("aa111111".score());
// 評分 38
console.log("000000!!".score());
// 評分 76
console.log("Asdf2468".score());
// 評分 76
console.log("Mary2468".score());
// 評分 60
console.log("@dmin246".score());

從以上測試能夠看出方案2較方案1有了比較大的改進和提高，尤爲是對連續或重複字符上表現出色。可是方案2也存在明顯的不足，主要缺點包括對人名（Mary）、單詞（Story）、鍵盤上相連的鍵（Asdf）、L33T（@dmin）無法識別。

L33T：是指把拉丁字母換成數字或是特殊符號的書寫形式。例如把E寫成三、A寫成@、to寫成二、for寫成4。