每当提到密码的主题时，这个问题总是让我很感兴趣。有没有人有直接经验或有信誉的来源来回答通过破解（字典、蛮力或各种混合方法）与某种键盘记录器或数据包嗅探器系统执行密码泄露的百分比是多少？
换句话说，您应该更关心您的密码熵还是密码必须从您的大脑传输到身份验证服务器的路径？显然，两者兼而有之。但在当今的安全环境下，最薄弱的环节是什么？这个比率可能在桌面密码、ssh/服务器密码和各种在线服务密码之间有所不同，但由于我每天都使用这三种密码，所以我对它们都很感兴趣。
我可以想象，糟糕的密码会被快速且经常地破解，而即使是中等好的密码也会持续到盔甲上出现另一个裂缝。但是，对于我们在这里谈论的比率，是否有人有可靠的消息来源？
可能的答案是，如果我们通过受影响用户的数量来衡量普遍性，这两种情况都不是最常见的。经常报告的问题是有人获得了对具有明文用户/密码列表（或加密如此微不足道到纯文本）的机器的访问权限，这一次就破坏了数千名用户的帐户。例如，索尼、Gawker 和 Twitter 就是这种情况。
在不设定界限的情况下，用任何权威来回答这个问题都是极其困难的。您可以查看供应商（即 RSA、FireEye、Symantec、Verizon、Websense、Mandiant、Trustwave、Microsoft 等）的安全报告，以查看他们的抽样方法、样本量和结论，以了解行业的整体脉搏这个话题。我不建议依赖任何单一的供应商报告，因为每个供应商都有严格的界限。
话虽如此，有诸如 sslstrip 之类的工具可以让具有网络连接的攻击者非常容易地在逻辑上将自己置于流量中。sslstrip 足够聪明，可以使 https 无用（在 security.stackexchange 上搜索“sslstrip”以获取另一篇帖子：internals）。
考虑在咖啡店、机场、城市等处开放 wifi 接入点。任何人都可以很容易地设置恶意 AP 并“嗅探”凭据。比获取散列密码文件和对散列密码列表运行字典攻击要容易得多。
同时，考虑恶意软件的广泛部署程度。上面的供应商报告经常得出结论，随着“坏人”的组织，恶意软件变得越来越先进。坏人也在他们的业务中赚钱，所以他们会进行任何必要的投资以获得良好的回报。因此，恶意软件正在变得越来越先进，一旦被感染，坏人就可以嗅探流量、重定向流量、窃取密码，甚至打开 CD 托盘（90 年代后期 CDC 的好 ol' backorifice）。
查看威胁形势的另一种方法是关注可获利的信息。CC 号码、SSN 等。密码成为坏人取钱的守门人。如果可以绕过密码身份验证，那么坏人就不会费心发起字典/bf/keylogger 攻击，因为没有理由这样做。所以问题真的变成了坏人如何获得可以变成金钱的数据。“如何”的答案成为最简单的方法。即使在美国广泛采用EMV或更大更强大的加密方法，坏人也会找到最简单的赚钱方式（如何为他们的投资获得最佳回报）。