现如今,人们的日常生活已经与互联网密不可分,身份认证是保障互联网安全的基础。口令认证作为身份认证中使用最广泛的方式,自然备受重视。在近几年的研究中,口令猜测算法在口令安全领域受到了越来越多的关注。一方面,基于口令猜测算法的口令强度评估计可以帮助用户选择强的口令。然而,口令类型的多样化使得只使用某一种算法的口令强度评估计不能客观评价口令强度。这就需要我们探究各口令猜测算法更容易猜中何种类型的口令,全面分析及评估各种口令猜测算法的特点。另一方面,攻击者在意识到口令类型多样化这一特征后,很可能使用不止一种算法进行攻击。然而,不幸的是,现有工作甚至没有关注到这一点,更没有全面深入地刻画此时攻击者的能力。针对上述两个问题,本文做了以下两部分工作:在第一部分中,针对不同口令猜测算法有何特点的问题,本文首先从假设、所识别的信息和理论模型等方面分析了现有代表性口令猜测算法,以帮助人们了解口令猜测算法的固有特点。然后比较了在存储口令空间有限和破解口令时间有限的情况下,五种代表性的口令猜测算法猜中口令的特点。通过对实验结果的分析发现,不同算法猜中的口令在与个人信息相关程度的分布和口令强度分布方面是不同的,也就是说,不同算法有各自擅长猜测的口令类型。在猜测次数相同的情况下,两种算法猜中的口令数要比一种算法多。不同算法生成口令所需的时间受所识别的信息和理论模型的影响。存储生成的口令集所需的存储空间受是否使用个人信息影响。在第二部分中,针对攻击者组合使用多种算法能获取何种能力的问题,本文提出了一种混合的口令猜测算法——Pa MLGuess。该算法使用概率上下文无关文法识别口令中的组成结构和个人信息,使用长短期记忆神经网络对部分口令段进行建模,以生成训练集中未出现的口令段。同时利用概率映射解决了由于二者给出的口令段概率相差几个数量级而无法组合的问题。与现有口令猜测算法相比,该算法兼具较强的可解释性和泛化能力。实验表明,该算法在猜测次数不大于1000次的情况下,与Tar Guess-I的性能相差无几,在猜测次数为200万次的情况下,比Tar Guess-I要多猜中测试集的5.48%的口令。本文旨在帮助人们了解现有口令猜测算法的特点,明确攻击者使用单一算法或组合使用多种算法可以获取的能力,进而帮助系统管理员更准确地估计口令强度,加强基于口令认证的系统或服务的安全性。