Vlákno názorů k článku Únik dat z Nevyhazujto.cz aneb Co se dá zjistit, když máte v heslu název webu od dino - Jiný základ pro různé služby i v rámci...

Stejná zkušenost. Máme cca 10 znaků dlouhou frázi, ke které lepíme variabilní část (někdo rok a měsíc, jiní vzestupné číslo, někdo má a, b, c atd.)

Pravidelná změna hesla má chránit proti útoku, kdy zjistíte něčí hash a pak ho jdete lámat. Perioda by měla být nastavena tak, aby byla jen minimální šance, že to stihnete spočítat dříve, než heslo změní. A teď mi řekněte, který z lidí, co vytváří pravidla pro změnu hesla, tohle spočítal? A kolik mu to vyšlo?

Osobně za důležité považuji mít netriviální základ hesla (Zuzanka4 neobstojí) a na různé služby (i v rámci firmy) mít základ jiný. V pravidelných změnách žádný užitek nevidím. Přidejte fakt, že ta nejdůležitější hesla se nemění (localhost admin, root apod.), a máte Kocourkov.

A vite ze nekteri prevadzkovatele (nevim proc jsou to vetsinou volici Svobodnich) to vidi presne jak jste popsal i kdyz jsou atrakce placene.

V korporátu v labině na mašinách taky IT chtělo měnit heslo co tři měsíce. A ty samý pravidla. Takže heslo bylo maláma písmenama třeba "pec03" a za to se připojoval suffix "_15Q3" kde podtržíto řešilo speciální znak, 15 bylo poslení dvojčíslí roku, Q oddělovač kvartálu a požadovaný velký písmeno a trojka číslo čtvrtletí. S tím, že jednou za tři měsíce poslal šíf labin mailem všem tesťákům, že ode dneška je suffix takový a makový...

Výsledek? V suffixu se mění 1x za tři měsíce 1 bit. Po půl roce jsou to dva bity a po roce maximálně šest bitů. Jednou za dekádu je to max. 8 bitů (v devítce i v nule jsou dva bity při změně nulový). Bity, který se mění nejčastěj, jsou v posledním znaku a při sekvenčním brute force se přechod na další kvartál projeví jedním krokem navíc.

Jak to, kua, pomůže bezpečnosti, nota bene pokud by útočník vlezl do interní sítě skrz něčí mail a rovnou si tam přečetl posledních pět znaků hesla?

Naopak cookie se mezi tabletem a desktopem přenáší snadněji, než heslo. Přenáší se totiž automaticky synchronizací vestavěnou do prohlížeče, a v nich je synchronizace hesel ve výchozím stavu vypnutá.

A když člověk smaže cookie, je to proto, že stav zapomenout chce. Normální uživatel cookie nemaže a odborník tomu rozumí. Platnost cookie nevyprší, weby nastavují nekonečnou platnost (nastavily by nesmazatelnost, kdyby mohly).

fd: Děláte to špatně, musíte na serveru ukládat historii hesel v plaintextu a enforcovat minimální Levenshteinovu vzdálenost od všech předchozích hesel. To určitě pomůže :-)

Ne, to znamená, že si heslo smíte změnit maximálně jednou za rok :D :D

Jistě, máte pravdu. Toto vědomí má ale na internetu asi 2% uživatelů, možná méně. Jiní jsou v bezpečí pokud používají správce hesel s generovaným minimálně 26znakovym heslem. Ten zbytek jsou idio*ti.

Takova pravidla garantuji samolepky s heslem na monitoru ;)

Prave jste uvedl dokonaly priklad toho, jak to vypadat nema.

Vite co vam uzivatel s tim vasim "bezpecnym" heslem udela? Fra80Nta$_201801. Prave jsem ziskal vsechna hesla minula i budouci. A dokonce vim, ze jde o nejakeho frantu, rok narozeni 80. To heslo zcela 100% splnuje vase politiky a uzivatel si jej pamatuje - jedine co meni je prave rok a mesic.

takova pravidla ovsem negarantuji silne heslo

mohu snadno vygenerovat mnohem silnejsi heslo bez techto pravidel a bude se i lepe pamatovat.. viz ty vyse zminovane fraze - moje master heslo ma 50 znaku

cislice jsou vubec hloupe... dramaticky snizena entropie

"nutíte tak uživatele, aby si nejdéle za rok nastavili slabé heslo".

No to asi ne, pokud máte v interním pravidlu nutnost mít kromě minimálního počtu znaků i požadavek na použití malého i velkého písmena, použití číslice a použití nějakého speciálního znaku. Plus např. doporučení, aby heslo neobsahovalo žádné známé jméno či název.
Pak vám nikdo slabé heslo vytvořit nemůže, protože ho to při změně neakceptuje.
Máme to tak určené v naší korporaci (60 tis. zaměstnanců všude po světě), platnost každého hesla 3 měsíce a server si pamatuje minimálně posledních 5 hesel, které nedovolí opakovat.

V nemocnici máme 12 znaků. Doporučili jsme uživatelům, že mají vytvářet hesla jako fráze a povolili změnu jednou za rok. Všichni to akceptovali.
Vůle ale musí být odshora.

To ti uživatelé (a hlavně BFU) odmítnou, protože chtějí přístup snadno použít i na jiných zařízeních. Je potřeba umět vygenerovat klíč (nebo data pro obecnou challenge-response autentizaci) lokálně z hesla (+soli+domény).

Jenze prohlizec muze za to, ze se po "prihlaseni" uz nikdy "neodhlasite", mimo jine. Tedy nijak uzivatelsky pouzitelne, abych byl presnejsi. A to je jen drobnost, nebot obecne sprava certifikatu v browserech je tragicka, a bezpecnost jejich pouzivani naprosto nulova.

Nebot pokud se jiz nekam chcete certifikatem prihlasovat, tak nejspis take chcete - drive nez se o to prihlaseni pokusite - protistranu autentizovat. Coz neumi ani jeden soudoby prohlizec.

Vy se absolutně spoléháte na brzdy?

U těch hesel podle mě alespoň část viny sdílí výrobci prohlížečů - jak je možné, že 40 let po vynálezu asymetrické kryptografie posíláme hesla jen tak vzdálenému serveru?!

Jakozto ridic musim predpokladad, ze mne vyrobce automobilu chce zabit ...

Nesmysl.

Jako uživatel MUSÍM předpokládat, že PROVOZOVATEL SERVERU je útočník, který sbírá všechny zadané údaje v plaintextu, protože má plnou kontrolu nad servírovaným obsahem. Zároveň musím předpokládat, že je vlastníkem i dalších služeb, které možná též používám a tedy může zadané údaje kombinovat.

A s tímto vědomím do služby údaje musím zadávat.

A proto ostatní obory zaostávají v inovacích a IT se rozvíjí, protože má nízký práh vstupu do oboru a i odborníci musí čelit konkurenci amatérů, a to je udržuje v kondici.

To jste napsal velice dobre. Ja jsem taky skoncil na Lupe pote, co jsem odesel ze vsech jinych zpravodajskych serveru, ktere zacaly vyzadovat registraci pro komentovani. Pamatuji dobu, kdy registrace nebyla vyzadovana temer nikde, zatimco dnes je to temer vsude. Tohle rozhodne prispiva k pouzivani stejneho uctu se stejnym heslem. Ale nic to nemeni na tom, ze i spatne zabezpeceny ucet je porad lepsi nez mit ucet formou cookie. Nejlepsi je samozrejme mit ucet volitelny a vytvaret si ho jen tam, kde mam opravdu potrebu to udelat. Bohuzel i servery spolecnosti iinfo zacinaji pro nektere brandy zavadet povinnou registraci, prestoze ji drive nemeli.

Jiste, ono je mnohem lepsi mit "profil", do ktereho se dostane kazdy. A idealne stejny na alespon stovce webu.

Mate pocit ze bych tady na lupe potreboval nejaky login? Kcemu by to bylo dobre? Myslite si, ze neumim zaregistrovat behem minuty nekolik tisic uctu z nekolika tisic IP? Nebo myslite si, ze jsem jediny kdo to umi?

To je totiz presne ten duvod, proc lide pouzivaji podobna hesla, naprosto nesmyslne a bezduvodne pozadovane registrace.

Takove cookie by se dost spatne prenaselo treba mezi windows desktopem doma a prenosnym androidim tabletem na cesty nebo na jakemkoliv novem zarizeni, ktere uzivatel jeste nepouzil. Pokud by se stalo, ze se z nejakeho duvodu ten cookie smaze (napriklad nejaky tool na cisteni pocitace, vyprseni platnosti apod) tak uz se do sveho profilu nikdy vice nedostanete a budete si muset udelat novy. Mit profil v podobe cookie mi prijde dost neprakticke.

Cookie se smázne a přišel jsi o účet. Jméno a heslo je jen pro ty, kdo nemají FB. Kterým se lze též přihlásit.

Vychazite z predpokladu, ktery jednoduse neplati. Ostatne, pokud budu provozovat neco, kde si vsichni davaji ta hesla 1234 ... tak mohu provozovat exaktne totez, i bez tech uctu a hesel. No a ten "svuj profil" muzete mit v podobe cookie.

No to právě ne. Tipl bych si, že většina uživatelů si tam dá svůj běžný email a heslo, které používá všude jinde. V tom je hlavní nebezpečí takových webů.

Tady přece nejde o život. Stejně si na takový web dá každý nějaký throw-away email a heslo 12345. Ten účet neskrývá žádná tajemství, ani finanční operace. Je to jen způsob, jak se dostat do svého profilu.

Provozuji zadarmo ... akvapark. Jednotlive atrakce jsem zbouchal z toho co smetiste dalo. Pokud se nekdo zabije, je to jeho vina, nikdo se preci nebude vozit po nekom, kdo si neco splacal ve volnem case zdarma.

Takto nejak to vidite?

Web nevyhazujto je nekomerční nabídka věcí zdarma. Někdo splácal zadarmo web v Angularu, zadarmo ho provozuje a my se teď po něm budeme vozit.

Některé věci jednoduše nejsou "business" a nelze na ně aplikovat businessová pravidla. Úspěšná komerční firma si jistě může dovolit dokonalou bezpečnost a každodenní údržbu, ale proč by totéž měl dělat nějaký nadšenec?!

Taky nikdo neřeší, jestli "uniknou" telefonní čísla a emaily z nástěnky "nabízím/sháním" v Kauflandu.

Typicky majitel dostane presne to, co si zaplati. Prevazne takoveto veci vznikaji tak, ze majitel chtel puvodne neco uplne jineho, a nasledne do toho chce, idealne zadarmo a za hodinu pridat nejakou dalsi funcionalitu. Dost casto jej autor i upozorni ze to lze tak ci onak, ale ze to nebude bezpecne.

Vite, bezte do temer libovolne firmy, a zmente pravidla - napriklad vynutte hesla alespon 8 znaku dlouha. A uvidite ten "ficak". Garantuji, ze za 1/2 hodiny to bude vyple.

Ve vyctu toho co by mel majitel webu nevyhazujto udelat - vyhodit toho programatora a prijmout nekoho, kdo to opravi a uz nenapise takovou prasecinu.