Bezpieczne hasła.

maciejficek(64)

Published in

Polish HIVE

Words

646

Reading

3 min

20m

Listen to this post

~4 min

W 2003 roku Bill Burr wypromował w Internecie zasadę, aby hasła miały litery, cyfry, znaki specjalne, i były regularnie zmieniane. Oba wymagania były od początku głupie, ale ludzkość je łyknęła. Choć autor wycofał się ze swoich słów prawie 10 lat temu, nadal ludzkość bezmyślnie wyznaje te zasady jak dogmat. Aż się przypomina film Żywot Briana.

Źróðło:
https://www.wsj.com/articles/the-man-who-wrote-those-password-rules-has-a-new-tip-n3v-r-m1-d-1502124118

Image by Gerd Altmann from Pixabay

Jest (prawie) tylko jedna rzecz, która zwiększa bezpieczeństwo hasła. Długość. Można nie czytać dalej. Jeśli macie gdzieś hasło Zenek321%^
to możecie je zastąpić trzydziestoma literkami a oraz b w losowym układzie, a będzie dużo bezpieczniejsze.
W ostateczności, można zwiększyć bezpieczeństwo hasła przez używanie znaków specjalnych spoza zestawu ASCII, czyli takich, których najczęściej nie da się wprowadzić z klawiatury bez kombinowania (część oprogramowania brute-force ich nie sprawdzi). Tylko po co tak kombinować - użyjcie menadżera haseł, patrz późniejszy akapit. Ale nadal, zwiększanie długości hasła przy ustalonym zestawie znaków zwiększa poziom bezpieczeństwa bardziej, niż zwiększanie używanego zestawu znaków przy ustalonej długości. Co ciekawe, wiele stron internetowych wymuszających hasła ze znakami specjalnymi, ogranicza te znaki tylko do tych z klawiatury, a nawet ich pewnego podzbioru. Kiedyś widziałem także stronę internetową kreującą się na taką profesjonalną, dla biznesmenów, która... miała maksymalną długość hasła ustawioną na zaledwie 10 znaków. Tragedia. Popularnym motywem przez zasadę z 2003 roku jest też umieszczanie w haśle dokładnie jednej cyfry i dokładnie jednego znaku specjalnego; paradoksalnie może częściej ludzie by używali więcej cyfr i więcej tych znaków, gdyby NIE wymagano co najmniej jednego, bo to "co najmniej" dla wielu ludzi staje się "dokładnie", bo zamiast myśleć o fajnym haśle jakimkolwiek, myślimy o haśle o konkretnej strukturze.

Porady Billa Burry'ego były jednak w istocie jeszcze gorsze niż tylko sugerowanie ludziom, że zestaw znaków jest ważniejszy niż długość. Po pierwsze, hasło zawierające litery (często małe i duże), cyfry i znaki specjalne, jest trudne do zapamiętania, więc ludzie tworzyli i nadal tworzą łatwe do zapamiętania, np. umieszczając imię lub rok urodzenia w haśle.
A zmienianie hasła co jakiś czas? Totalny bullshit. Po pierwsze, sprawia to, że ludzie tworzą sobie jeden szablon hasła, a potem zmieniają jeden fragment, np, w styczniu mają hasło Zenek01$$$, a w grudniu Zenek12$$$. Po drugie, daje to ludziom sugestię, że nie muszą się interesować, czy padli ofiarą wycieku danych, bo i tak zmieniają hasła. Po trzecie, zdejmuje to z adminów odpowiedzialność za ochronę haseł użytkowników.

Ale najlepiej nie pamiętać prawie w ogóle swoich haseł. Najlepiej używać menadżera haseł, i generować losowe, bardzo długie hasła, i pamiętać jedno długie hasło do menadżera.

W przypadku smartfonów, oczywiście jeśli macie taką możliwość, zmieńcie długość kodu blokady ekranu z 4 do 6 znaków oraz ustawcie tak zwany PIN scrambling. Wówczas cyfry od 0 do 9 przy każdym odblokowaniu ekranu będą się wyświetlać na ekranie w losowym układzie, zamiast w stałym porządku, dzięki czemu utrudni to poznanie komuś Waszego PINu na żywo poprzez obserwowanie ruchów palca.

Notabene, jeślibyście nagrywali swoją twarz i tułów przed komputerem, i wpisywali swoje hasła na nagraniu lub streamie, to są super hakerzy, którzy złamaliby je badając ścieżkę dźwiękową (każdy klawisz dawałby minimalnie inny dźwięk), albo badając mikroruchy Waszego ciała lub zmianę obrazu odbitego w okularach. Więc, przynajmniej w teorii, wyłączajcie kamerkę i mikrofon, jak wpisujecie hasło a uczestniczycie np. w konferencji. Problem ten rozwiązuje automatycznie menadżer haseł, który po prostu wyświetla hasło po kliknięciu kursorem w pole do jego wpisania, a my je tylko zatwierdzamy kliknięciem myszki. Kolejny raz, menadżer haseł wygrywa.

haveibeenpwned.com - tutaj sprawdzicie data breache

Napisałem ten post, bo w związku z ostatnimi wydarzeniami, jak wycieki danych z baz medycznych, częściej widze posty na Twitterze czy Linkedin, które powielają szkodliwe informacje, jak znaki specjalne i regularna zmiana, i mnie to wkurza :).

Źródło: Hive Systems