Kaip pasirinkti saugų slaptažodį?

[wolas]

informacijos nuoroda

Taigi ką parašėte yra nesąmonė.

[rwc]

Šaunuoliai, daugiau tokių straipsnių.

Tik deja, šie praktiniai patarimai neveikia būtent praktikoje.

Mano patarimas būtų toks: ten kur nėra dviejų faktorių autentikacijos, susikurkite jį patys. Nežinokite savo slaptažodžių! Visuomet turėkite "what you know", "what you are" ir "what you have", bent du iš šių.

Paprasčiausias būdas - pwdhash.

wolai, negaliu nesutikti. Tačiau tai visokių e-bankų problema, ne vartotojų. Žinai, kurios mano prisiloginimo sistemos kol kas niekas nenulaužė? Vietoj OK mygtuko - paspausk teisingos spalvos kvadratėlį, kuriame įrašytas žodis prasideda ta pačia raide, kaip tavo žmonos (mamos, šuniuko, et cetera) vardas.

[Krz]

[rwc]

[immortallt]

Neisivaizduoju, kaip galima prisijungti prie banko saskaitos kai naudojama 2 zingsniu autentikacijos sistema, nebent pasigauni keyloger'i. Bet jeigu naudoji generatoriu - tada is vis be sansu. Tik va nesuprantu, kodel negali bankai visi padaryt, kad generatoriai butu mobiliakuose ir butu reikalaujama slaptazodzio... Kaip kad padare blizzard ant diablo 3 - neisivaizduoju, kaip galima nulauzti, kai kodai keiciasi kas 30s.

[Arwis]

[immortallt]

Arwi, turiu as vieno banko toki kompiuteriuka, tevas irgi turi, bet esme ta, galetu padaryti apps'u pavidalu - butu daug paprasciau, nes dabar tuos kompiuteriukus reikia pirkti uz 50LT. Biski brangoka individualiem asmenim + labai daug daiktu atsiranda, kuriuos sunku rasti.

[Arwis]

[vvv2]

_________________
(c) by "vvv2".

[paprastas]

[Smėlis]

Mane tik nustebino, akd mokamą softą siūlo... Tipo koks KeyPass jau bus šūds?

[rwc]

LastPass yra labai blogas ir nepatikimas būdas slaptažodžiams, kaip ir bet bet kokia kita DB, apsaugota vienu Master slaptažodžiu.

Naudoju LastPass, bet tik kaip "backup" ar sinchronizacijai tarp įrenginių, kasdien to Master nesuvedinėju, jau nekalbant, kad jis "sėdėtų" kompo RAM'e. Galų gale, net paties LastPass slaptažodžio aš pats nežinau, kadangi jis sugeneruotas naudojant PwdHash.

RSA slaptažodžių generatoriai teoriškai irgi nepatikimi - mat jie priklauso tik nuo laiko parametro. Teoriškai juos galima "išdurti" pamodifikavus laikrodį ir suskaičiuoti ateities slaptažodžius; pasinaudojus diferencialine kriptoanalize įmanoma apskaičiuoti patį RSA kodą - generatorius gi nežino, kada slaptažodžio "tikrai reikia"; generatoriai veikia su laiko paklaidomis - vadinasi tas pats slaptažodis tinka visam minutės ar pan. intervalui, kas šiuolaikiniams kompams yra laaaabai daug.

Šių trūkumų neturi mobilusis parašas, kuris net teoriškai nenulaužiamas neįsibrovus į parašų sertifikavimo centrą, bei kurį palaiko turbūt visi antrosios kartos GSM aparatai. Norint jį nulaužti, pirmiausia reikia nulaužti SIM kortelės RSA ar panašų raktą (kurio centras nežino), perimti GSM signalą (kurį papildomai koduoja ryšio operatorius), SIM vartotojo parašo slaptažodį (kurį žino tik pats vartotojas), e-banko (ar kt. sertifikavimo centro) privatų raktą (kurio pilno teoriškai neturėtų žinoti bei gauti nė vienas darbuotojas) bei e-banko atsitiktinių kodų generatorių, kuris paprastai yra paremtas chaotiniais mechaniniais, elektroniniais ar net kvantiniais reiškiniais - taigi, unikalus ir neprognozuojamas.

Pastarojo metodo esmė - du nepriklausomi ryšio centras-vartotojas kanalai, ir dvi nepriklausomos kriptografinės užduotys, iš kurių antroji (m-parašo kodas) užduodama centro iniciatyva, tik teisingai įveikus pirmąją (pvz., vartotojui prisijungus su teisingu slaptažodžiu prie tarpinio prisijungimo puslapio).

Iš principo, generatoriai, Master slaptažodžių sistemos (LastPass ne išimtis) - tai kas turėtų vadintis "what you know and what you have" - teoriniu saugumu menkai skiriasi nuo "password and PIN" autentifikacijos, kadangi jos visos gali nesunkiai susivesti į "what you sniffed and what you copied". Jei laikysime, kad mobilus įrenginys įdentifikuoja savininką - tai m-parašas yra trijų faktorių autentifikacija "what you know, what you have and what you are". Iš principo, šią autentifikaciją išmaniuosiuose dar galima patobulinti kokiu biometriniu parametru iš kameros, mikrofono, akselerometro ar tiesiog apribojant geografiškai (pvz., prie e-banko jungiuosi tik iš namų).

Dabar, kodėl Pwdhash (ir, praplečiant - kuo Wuala geriau už DropBox, Google Drive ir pan.). Pirma, slaptažodis jokia forma (t.y., nei hašuotas, nei užkoduotas centro raktu) neišeina iš mano įrenginio. Antra, jis niekur nesaugomas, išskyrus tas talpyklas, kurias valdau pats. Trečia - jis decentralizuotas (slaptažodžių generavimo įmonei bankrutavus, neprarasiu slaptažodžių, kadangi viskas realizuota atviru algoritmu). Ketvirta - nulaužus slaptažodžių centrą, jokios mano konfidencialios informacijos neįmanoma perimti. Penkta - slaptažodžių centras nežino, kur jungiuosi, kaip dažnai, kokiu vartotojo vardu ir pan..

P.S. kuo LastPass paprasčiau už PwdHash? Padaryti galima viską taip pat, plius PwdHash suhešuotą slaptažodį atskleisti ne taip jau baisu (kas čia tokio, jei kažkas sužinos, kad mano Google Mail, kurio nenaudoju darbui, slaptažodis - NIPJcOym6X2Xf?), bet aš jį galiu sužinoti bet kuriame įrenginyje, kuris turi naršyklę su Javascript palaikymu nieko neinstaliuodamas ir nebijodamas, kad tikrąjį, nehešuotą, slaptažodį perims piktas tinklo adminas (nebent sektų mano pirštus ar būtų pridiegęs keyloggerių). Galų gale - net jei ir sužinos, panaudos jį dar Technologijose, kokiam Feisbuke, bet prie svarbių portalų neprieis, kadangi jiems naudoju kitą slaptažodį. Su LastPass išeina turėti kelis Master slaptažodžius vienu metu? Kas bus, jei jūsų LastPass Master slaptažodį kažkas perims jungiantis prie Technologijų?