Regex để bẻ khóa bàn phím

Question

Khi đăng ký tài khoản mới, ứng dụng web thường yêu cầu câu trả lời cho 'câu hỏi bảo mật', ví dụ: Tên của chó, v.v.

Tôi muốn xem qua cơ sở dữ liệu của chúng tôi và tìm kiếm các trường hợp người dùng vừa mới chạm vào bàn phím thay vì cung cấp câu trả lời hợp pháp - đây là chỉ báo cao về tài khoản lạm dụng/gian lận.

"Tên thời con gái của mẹ?" lakdsjflkaj

Bất kỳ đề xuất nào về cách tôi nên thực hiện việc này?

Lưu ý: Tôi không chỉ sử dụng biểu thức thông thường bằng các 'câu hỏi bảo mật câu trả lời'

Các 'câu trả lời' có thể là:

1. được chọn từ một db sử dụng một vài sql cơ bản regexes

2. Phân tích nhiều lần khi cần thiết sử dụng regexes python

3. So/tỉa/ghi bàn khi cần thiết

Đây là một câu hỏi kỹ thuật, không phải là một triết học một ;-)

Cảm ơn!

Answer 1

Có lẽ bạn nên phân tích phân tích n-gram, tương tự như phát hiện ngôn ngữ.

This code là ví dụ về phát hiện ngôn ngữ bằng cách sử dụng trigram. Đoán của tôi là bàn phím đập vỡ hình tam giác là khá độc đáo và không xuất hiện trong ngôn ngữ bình thường.

Answer 2

Tôi sẽ không làm điều này - theo ý kiến ​​của tôi những câu hỏi này làm suy yếu an ninh, vì vậy với tư cách là người dùng, tôi luôn cố gắng cung cấp một mật khẩu bán khác làm câu trả lời - cho bạn nó bị nghiền nát. Vâng, nó bị nghiền nát, nhưng đó chính là điều tôi muốn làm.

Btw. Tôi không chắc chắn về thực tế, rằng bạn có thể truy vấn các câu trả lời. Kể từ khi họ vượt qua bảo vệ mật khẩu của bạn, họ nên được xử lý như mật khẩu = được lưu trữ như một băm!

Edit:
Khi tôi đọc this article tôi ngay lập tức nhớ này ;-)

Answer 3

Không có cách nào để làm điều này với một regex câu hỏi. Thực ra, tôi không thể nghĩ ra một cách hợp lý để làm điều này chút nào - bạn sẽ vẽ đường ranh giới giữa nghi ngờ và đáng ngờ ở đâu? Tôi, một lần, thường trả lời các câu hỏi bảo mật với một câu trả lời khó hiểu. Xét cho cùng, tên thời con gái của mẹ tôi không phải là điều khó tìm nhất.

Answer 4

Bạn có thể tìm các mẫu không có ý nghĩa ngữ âm. Chẳng hạn như:

'q' không được theo sau bởi 'u'.

asdf

qwer

zxcv

asdlasd

Về cơ bản, hãy thử nghiền trên bàn phím của bạn, hãy xem những gì bạn nhận được, và cắm rằng trong bộ lọc của bạn. Cũng cắm các quy tắc ngữ pháp khác nhau.Tuy nhiên, vì đó là tên bạn đang đối phó với, bạn sẽ luôn luôn nhận được 'gã đó' với cái tên kỳ lạ sẽ gây ra một dương tính giả.

Answer 5

Nếu bạn có thể tìm danh sách xác suất cặp chữ bằng tiếng Anh, bạn có thể xây dựng xác suất gần đúng cho từ không phải là từ tiếng Anh "thực", sử dụng các cặp và cặp ít nhất có thể không có trong danh sách. Thật không may, nếu bạn có tên hoặc "không lời" khác thì bạn không thể buộc họ phải là từ tiếng Anh.

Answer 6

Bạn có thể kiểm tra một chữ cái viết hoa ngay từ đầu .... điều đó sẽ giúp bạn có được một số xác thực sai.

Google nhanh chóng đã cho tôi this, bạn có thể so sánh từng tên với một tên trong danh sách đó.

Rõ ràng chỉ hoạt động cho câu hỏi bảo mật mà bạn đã nêu.

có bạn cũng thấy điều này:

Anatomy of the twitter attack

Tôi sẽ nghĩ rằng thời gian khó khăn tiếp theo tôi thực hiện một câu hỏi bảo mật.

Answer 7

Nếu câu hỏi của bạn là điều gì đó liên quan đến tên thật, con người, điều này là không thể. Hãy xem xét các tên Châu Á được nhập bằng các ký tự La Mã; họ có thể rất tốt chuyến đi bất kỳ bộ lọc bạn đưa ra, nhưng vẫn hoàn toàn hợp pháp.

Answer 8

Cách tiếp cận toàn bộ câu hỏi bảo mật là hoàn toàn sai lầm.

Tôi luôn tìm thấy mọi người đặt câu trả lời bảo mật yếu hơn mật khẩu họ sử dụng.
Câu hỏi bảo mật chỉ là một liên kết trong chuỗi bảo mật - liên kết yếu hơn!

IMO, một cách tốt hơn để truy cập sẽ là cho phép người dùng yêu cầu mật khẩu mới được gửi tới id email đã đăng ký. Điều này có hai lợi thế.

1. nỗ lực brute-force có để định vị và phá vỡ các dịch vụ e-mail đầu tiên (và, bạn sẽ không bao giờ giúp họ có - giữ id đăng ký e-mail rất được bảo vệ)
   • người dùng dịch vụ của bạn sẽ luôn luôn nhận được một dấu hiệu cho thấy khi ai đó cố gắng một brute-force (họ nhận được một email nói rằng họ đã cố gắng để tái tạo mật khẩu của họ)

Nếu bạn pHẢI có thắc mắc thầm kín, hãy để họ kích hoạt một lại được tạo (không bao giờ gửi người dùng 's mật khẩu, tái tạo một tạm thời, tốt nhất một lần buộc) mật khẩu gửi đến id e-mail mà họ đăng ký với - và, không hiển thị rằng ở tất cả.

Bí quyết khác là đặt câu hỏi bí mật ITSELF id email đã đăng ký của họ.
Nếu họ đặt đúng, bạn gửi được tạo lại mật khẩu tạm thời cho id email đó.

Answer 9

Có thể bạn có thể kiểm tra sự phong phú của phụ âm. Ví dụ: trong ví dụ lakdsjflkaj của bạn có 2 nguyên âm (a) và 9 phụ âm. Thông thường xác suất nhấn nguyên âm khi nhấn phím ngẫu nhiên thấp hơn nhiều so với nguyên âm chạm phụ âm.

Answer 10

Thay vì cụm từ thông dụng, tại sao không chỉ so sánh với danh sách các giá trị tốt đã biết? Ví dụ: so sánh tên thời con gái của mẹ với dữ liệu điều tra dân số hoặc tên thú cưng với bất kỳ danh sách tên thú cưng nào bạn có thể tìm thấy trực tuyến. Đối với một phiên bản đơn giản hơn nhiều, chỉ cần thực hiện tìm kiếm trên Google cho bất kỳ nội dung nào được nhập. Tên hợp pháp phải có nhiều kết quả, trong khi bàn phím nghiền sẽ dẫn đến rất ít nếu có.

Giống như với bất kỳ phương pháp nào khác, bạn sẽ vẫn cần xử lý các mặt tích cực sai.

Answer 11

Dejunk là thư viện Ruby mà từ đó bạn có thể tạo cảm hứng. Nó thực hiện một vài gợi ý trong các câu trả lời khác. Nó coi đầu vào là mashing bàn phím nếu đầu vào:

• Chứa các ký tự đại diện không có khả năng xuất hiện trong văn bản thực, nhưng chúng gần nhau trên bàn phím. (Thư viện bao gồm một danh sách các bigrams như vậy.)
• Bắt đầu với một dấu chấm câu không mong muốn.
• Có quá nhiều từ rất ngắn.
• Không có nguyên âm.
• Có các ký tự được lặp lại một số lần không hợp lý.