随机密码生成器质量

Question

我被要求根据不同的字符集开发一个随机密码生成器，例如'abcd ..... wxyz'，'0123456789'和'！$（）？=^_;：;：,, .-'。

我现在已经牢记了两个不同的实现：

1. 在这种情况下，所有字符集已复制到一个字符串中，然后每个构成密码的字符都从中随机获取。

    import os, random, string

    length = 13
    chars = string.ascii_letters + string.digits + '!$()?=^_;:,.-'
    random.seed = (os.urandom(1024))

    print ''.join(random.choice(chars) for i in range(length))

2. 字符集被划分，并使用随机值在集合之间进行选择，然后从选定的集合中，

    import os, random, string

    length = 13
    set = [string.ascii_letters, string.digits, '!$()?=^_;:,.-']

    random.seed = (os.urandom(1024))

    print ''.join(random.choice(random.choice(set)) for i in range(length))

从多个测试中获取一个随机字符，似乎第二个解决方案会生成包含更多符号和数字的密码，这是应得的对于使用符号的概率恰好是1/3（33％）的事实。而在第一个算法中，只有13/（10+13+26）= 26％。

哪一个是正确的实现？我认为，第一种算法对集合选择具有不均匀的概率，从而更有可能找到符合符号的ascii_letters。 任何提示都将不胜感激。

编辑：我仅用于以快速方式解释两种不同的实现。当然，我会选择最合适的模块，但是现在我对此评估不感兴趣。

Answer 1

第一个解决方案是更好的，因为来自密码的单个字符具有成为任何可能字符的同等可能性。第二个解决方案引入了偏见（有些字符比其他字符更有可能被选择），从而降低了密码的熵（随机性）。如果攻击者知道这是您如何生成密码的方式，则意味着它们更容易破解。

---

但是，这两者都是生成密码的不好方法，因为用户很难记住和使用这种类型的密码。 and nist> nist 著名的 XKCD ）已推荐多年来使用密码。

因此，与其尝试从字符集生成密码，不如从多个单词中生成它们（如果您想提高强度，可能会随机选择的符号或数字）。

Answer 2

推荐的方法来自食谱和最佳实践官方Python 秘密文档的部分更接近您的第一个实现：

import string
import secrets
alphabet = string.ascii_letters + string.digits
password = ''.join(secrets.choice(alphabet) for i in range(8))

您还可以明确指定最小数量的字符类型（例如数字，标点符号）：

import string
import secrets
alphabet = string.ascii_letters + string.digits
while True:
    password = ''.join(secrets.choice(alphabet) for i in range(10))
    if (any(c.islower() for c in password)
            and any(c.isupper() for c in password)
            and sum(c.isdigit() for c in password) >= 3):
        break

另外，作为FYI，您可以使用<代码> string.punctuation 将标点字符添加到您的字符串。