Copyright © 1998-2024 CDR server s.r.o.
Všechna práva vyhrazena.
ISSN 1804-5405.
Copyright © 1998-2024 CDR server s.r.o.
Všechna práva vyhrazena.
ISSN 1804-5405.
Určitě souhlas, buzerace s minimálními podmínkami na strukturu hesla připomíná stejnou snahu, jako nanny-state. Jen můj KeePas eviduje 420 záznamů (a to nejsem žádný SysOp, který běhá mezi X systémy zákazníků) a zvlášť mě vytáčí, když pro mail-účet určený na spam u providera XYZ musím mít heslo takové, že ani moje schéma generování hesel není dostatečné, navíc mi to vyplýtvá zbytečně jedno použití těch silných navíc. I do ISDS jsem si raději nechal vystavit nový účet, když zavedli možnost neomezených hesel, abych mohl mít zase svoje obvyklé silné heslo. O nutnosti změn hesla < rok ani nemluvě. Mimoto bych měl mít přehled, co jsem dělal v okamžiku, kdy se domnívám, že mi začala kompromitace daného stroje a kam jsem se přihlašoval a kde bych to tedy měl změnit (to už se mi dvakrát stalo, takže jsem opravdu globálně měnil hesla).
Nojo, jenže, co s lidmi, kteří stráží opravdu drahá aktiva (adminní účty, citlivé weby a jejich webmasteři či redaktoři atp.), pomocí hesel typu 12345, Heslo atd.? Kdo ohlídá tyhle hlídače?
Joo, kdyby se zacala pouzivat konecne biometricka zarizeni, pomalu kazdy druhy ntb je ma, prodavaji se i na klavesnicich, akorat je jeden problem, funguji pouze na M$, snazil jsem se nekolikrat je spustit pod linuxem, bez uspechu, nehlede na to ze pak musite nadefinovat na jakou stranku to ma jake heslo vlozit po ojeti prstu ... mozna kdyby se nejaka firma zamyslela a zacala prodavat nejake lepsi reseni, open-source/business edici .. tak by se to rozjelo
Ziskat prst majitele je mnohen jednodussi nez ziskat heslo.
Presne tak. Overovanie biometrickych udajov ma nieco do seba ale patria len na urcite miesta. Nie globalne a urcite nie pre trivialne veci.
Jo, je to horor.
Zacinal jsem s 4-6 znaky a nemel jsem s tim problém. Pak zacaly byt nutne 8 znakove, pak do toho cisla, pak do toho další znaky..
Priserny:-(
Vymyslel jsem si 1 heslo, které se snazim používat všude, problém je v tom, ze nekde mam ještě z historických duvodu hesla jina, takze stejne většinou nevim jaka kde :-)
Ono by uplne stacilo, aby se prestalo s nesmyslnym pozadovanim nejakych parametru pro heslo a nechat každého,at si zada heslo, jake chce...
To by nebyl problem v pripade, ze useri by prestali bombardovat provozovatele systemu potom, co jim to heslo nekdo uhodnul a ucet jim ukradl :-)
To dělají stejně když jim někdo nabourá PC a vytáhne hesla.
Taky, používám jedno silné heslo a jednu jeho ještě silnější verzi pro důležité účty (bankovní atd.). Jednou za čas upgraduji bankovní podobu na ještě silnější a tu původní přesunu na všechny ostatní účty. Ale přesně takto pak mám na různých účtech různé historické verze :D Akorát teď už nevím, co dalšího vymyslet…
A naopak mě štvou zařízení co sežerou tak 8 znaků max (routery a tak), musím si vymyslet extra ještě jedno a pamatovat si to, navíc je to líp prolomitelné.
Bankovní účty jsou zajištěné ještě SMS, na prohlížení je mi to fuk. Na systémy mám jedno silné heslo, které nepoužívám ve veřejných serverech, jedno střední, které na většině webů a je mi celkem jedno, jestli se tam někdo dostane. A pak slabé na všechno jednorázové.
No a co třeba PayPal…?
No na hesla jsou tzv. trezory, které jsou bez problémů synchronizovatelné mezi PC a Smartphone... Mimo jiné jsou nejen na hesla, ale i na jiné informace jako např. čísla/piny různých karet, velikost podprsenky manželky a podobně...
Pro internet pak osobně používám interní správu hesel co má Firefox. Výhodou je, že si v tomto prohlížeči můžu hesla nejen skladovat, ale i prohlížet a exportovat (IE toto zcela jistě neumí, a co se týká ostatních nevím).
Mít různá hesla je pak jednoduché, i když většinou mám hesla podle jistého schématu, který by se dal při znalosti více hesel vypozorovat. Podstatné je, že když se někdo dostane k jednomu heslu, např. k emailu "A", tak už se nedostane k emailu "B", do profilů online her a jinam např. nedej bože do bankovních účtů, kde si sice nic neukradne ani nepřenastaví, ale vše vidí (pohyby, stavy a nastavení)...
Uvítal bych dvě věci:
1) žádné restrikce ohledně struktury hesla pro uživatele
2) po vyplnění profilu účtu by hlavně na změny v profilu (kontaktní údaje a hesla), případně i na přihlášení, bylo možné nastavit ověřovací SMS s pinem.
Pises s prepacenim blbost. Ak je 99% populacie uplne blbej, rozum by mal mat aspon tvorca systemu resp. zvysne 1% populacie. Existuju totoz systemy, kde na autentifikaciu nie je potrebny certifikat ci viac-faktorova autorizacia na ukony. Jednoducho staci poznat prihlasovacie meno (ktore moze byt podla povahy systemu zname bud uplne verejne, alebo v ramci adresarovej struktury systemu) a prihlasovacie heslo. Ak je prihlasovacie heslo uplne debilne a prihlasovacie meno podla systemu ci konvencii zname, nie je problem vystupovat pod identituo druheho pouzivatela. Dalej existuju systemy s nemoznostou nastavenia maximalneho poctu omylov pri zadavani hesla a pocet pokusov je defacto nekonecny.
Zajímavá teorie. Debilní uživatelé s debilním os, debilním usernamem a debilním heslem (pokud to tedy není úplný debil) má za A pro drtivou většinu potenciálních útočníků nezajímavé informace a za B v práci omezená práva. Tím se dostáváme k debilnímu adminovi (toho debilní uživatelé s debilním heslem beztak nezajímají protože i debilní os mají určitou hierarchii, že). Jenom totální debil si dá heslo v bance "banka123" - ikdyby si tenhle debil dal heslo co si pamatuje 5-ti leté dítě, dejme tomu "12345-cos-to-honzo-cos-to-sněd", napsal ho na papírek a přilepil klidně na monitor v kanclu tak to bude bezpečnější. Paradoxně ještě větší debil mu dá práva, ale už ne zodpovědnost (typicky ředitel). Takovej debil by letěl jako první protože u takhle debilní banky si založí účet opravdu jenom debil. Teď jsem docela na vážkách jestli má vůbec těch 99% debilů přístup k počítači a jestli to 1% opravdu přemýšlí.
Přesně. Lepší než osmimístná změť znaků je skládat slova do vět. Vymyslet si nějaké soukromé motto, uvést ho několika speciálními znaky a místo mezer použít třeba čísla. Získá se tak prakticky neprolomitelné heslo, které si člověk snadno zapamatuje. Tak třeba větu "I hate microsoft" přepsat jako &Aj8Hejt8Majkrosoft& . Snadno se to pamatuje, ani manželka by to neuhádla a i supersilá výpočetní farma by spálila hodně elektřiny, než by se dopracovala k výsledku (nějakých 94^20 možných kombinací).
Já používám několik takovýchto "vět" tam, kde je třeba dbát na bezpečnost a jinak mám asi tři naprosto prostřelitelná hesla, která píšu všude tam, kde sice požadují registraci, ale jinak o nic nejde.
Heslo na baze akronymu je samozrejme vyborna vec, pretoze co sa tyka samotnej zlozitosti, splna kriteria tak isto ako totalne chaoticka splet cislic a malych/velkych pismen. Akurat heslo ako akronym sa lepsie pamata, s tym suhlasim.
... má za A pro drtivou většinu potenciálních útočníků nezajímavé informace - no tak by si sa veeeeeeeeeeeeeelmi divil. Cim vyssia funkcia, tym vacsi debil, tym viac vybavenych vynimiek z politik (pokial mozno vsetko odheslovane).
... tím se dostáváme k debilnímu adminovi - admin je vo velkej hierarchizovanej institucii (so zakonom padajuceho hovna) iba ozubene koliesko, alebo skor len robotnik, ktory v podpalubi hadze do kotla a v konecmnom dosledku musi plnit zelania smotanky na promenadnej palube.
takovej debil by letěl jako první - zasa omyl, to neplati v statnych instituciach, resp. dovtedy, kym sa nieco naouaj stane
Heslo na baze akronymu je samozrejme vyborna vec, pretoze co sa tyka samotnej zlozitosti, splna kriteria tak isto ako totalne chaoticka splet cislic a malych/velkych pismen. Akurat heslo ako akronym sa lepsie pamata, s tym suhlasim.
Takže jestli to správně chápu tak:
User = člověk s hodně zajímavými informacemi, bez funkce
Admin = loutka bez mozku co odkýve 1+1=4,5 pokud mu pan ředitel nakáže, skorotopič ("skor len robotnik")
Ředitel = promenádující se člověk, strůjce všech přání, mozek, kapitán též znám pod přezdívkou "Mlíko"
Tak tahle to fungovalo leda na Concordii...
Ve státních institucích je to trochu sofistikovanější nicméně platí, že nikdo nemá za nic zodpovědnost. Tím se právě dostáváme do problémů způsobených debilními adminy co slepě odkývou co pan kapitán velí ikdyž je to blbě.
Admin si pomysli svoje. Ak pan "Velka funckia" o to poziada pisomne, admin mu zelania splni (a mozno bude kryty papierovou podpisanou ziadostou) - pokial pana "Velka funckia" nechce nasrat a pokial nechce prist o miesto a pokial je institucia vysoko hierarchizovana a alibisticka a najvyssi bozsky zakon je zakon padajuceho hovna.
Ano, pokial niektory nadriadeny disponuje uzasnymi vlastnostami napr. ide ako tank, nevidi napravo, nalavo, nepocuje, nechape absolutne ziadne argumenty ... admin ma 2 moznosti:
- v najhorsom pripade nadriadenemu vynada, nespravi co sa po nom chce a bude si hladat nove miesto
- prikyvne ze 1+1 = 4,5, pomysli si svoje a v ramci hesla "k nadriadenemu ides so svojim nazorom a od neho odchadzas s jeho nazorom" admin spokojne odide bez toho ze by bol zdrbavany pol dna v kuse a po cely zbytok toho dna pokojne pokracuje vo svojej robote
Kdyz se tak nad tim zamyslim, jak by musel sw obsluhujici tyto hesla fungovat tak mi vychazi toto:
1) autodetekce loginu nejake stranky, a jejich pozadavku na slozitost hesla, s naslednou generaci nahodneho hesla
2) synchronizace mezi nekolika PC, pomoci nejakeho master key, sms, nebo nezavisleho overeni
3) podpora biometrickych zarizeni
4) podpora linux a mobilnich OS
5) nepouzivat cloud pro udrzovani souboru s hesly, idealni by bylo fungovani na principu p2p (bitcoin network) pro synchronizaci hesel mezi pc
...
Tot vse co bych potreboval :D
jinak bych to ani nechtel pouzivat
LastPass
jj LastPass
siuce pouziva cloud na hesla ale muzes si to davat treba na flesku (nebo papirky do flasky :-) )
Predposledny odstavec, "Za podobně kontraproduktivní ale můžeme považovat veškeré požadavky na podobu hesla. Pokud například po uživateli budeme vyžadovat, aby systémové heslo obsahovalo tradiční kombinaci, která zahrnuje alespoň jedno velké písmeno, jedno malé písmeno, jednu číslici a jeden speciální znak - a nedejbože přidáme nutnost obměny hesla po měsíci - pak namísto neprůstřelnosti firemního systému dospějeme do stavu, kdy drtivá většina zaměstnanců přejde na schéma: Heslo_01, Heslo_02... případně Heslo_leden, Heslo_unor… a podobně.".
Staci dat poziadavku na minimalnu dlzku hesla: 8 ci 10 znakov. Dalej staci dat poziadavku, ze v novom hesle sa musia zmenit minimalne 2-3 znaky, nie len jeden.
No a v neposlednom rade existuju systemy, kde sa okrem dlzky hesla da nastavit komplexnost hesla, takze 10-znakove heslo Hel.4Vole* bude jednoducho slabe a heslo d_h3F*3t7D silne napriek tomu, ze obe maju 10 znakov, dalej aspon 2 male pismena, aspon 2 velke pismena, aspon 1 cislicu a aspon 2 specialne znaky!
No krása. Přitom i pitomá mezera je speciální znak ;)
Však právě při požadavku na 10 znaků a rozsáhlejší obměny se používá to heslo_leden... ;-) I sebeblbější uživatel dříve či později najde cestu, jak si v rámci seberestriktivnějších podmínek najít cestu nejnižšího odporu. Především pak jde o to, že čím jsou adminem nastavené podmínky restriktivnější, tím méně cest nízkého odporu existuje a tím modelovější a snáze prolomitelná hesla uživatelé volí.
Přesně tak - když bude požadavek na heslo moc komplexní a zakážete opakování dejme tomu posledních 20 hesel, tak má uživatel v podstatě jen 2 možnosti - buď Heslo_001, 002 atd., nebo si nějaké heslo vymyslí, napíše ho na papírek a přilepí na monitor.
A podle mě je druhý případ ještě škodlivější, než první - takže příliš složité heslo je spíš na závadu.
je to tak - s přilepenými papírky s hesly se setkávám každou chvíli. A obvykle jde právě o ty supersilná hesla typu 8#r.25_vf&T8.
Tebe bych vazne chtel mit za admina v praci. Tvuj pristup by vedl k tomu, ze uzivatele by jeli :
heslo100
101olseh
heslo102
301olseh
Zmena z hesla na heslo by byla ok, znaky by se menily...ale bezpecnost na prd.
Uplne stejne to ted vypada u nas ve firme. Zmenili bezpecnostni politiku hesel do Oraclu. Musime si je menit kazdy mesic a v tuhle chvili mi to ani po deseti zmenach nepovoluje to prvni pouzite.
Pred touhle zmenou meli lide dve obstojne silny hesla ktery kazdeho pul roku otocili. Ted vsichni presli na rezim heslo100, heslo101, heslo102...at zije zvysena bezpecnost.
Opakujem este raz, existuju systemy, kde sa nastavuje komplexnost hesla (odhliadnuc od dlzky ci nejakych kriterii na pritomnost znakov). T.j. uzivatel nema sancu pouzit slovnikove slovo prakticky vo vacsine jazykov, kedze semantika je dost podobna (rozlozenioe samohlasok, spoluhlasok) (resp. pomocky typu 001, 002, 003 ... ), takze heslo100, heslo102, by system absolutne nepovolil. Otazne su slovnikove slova v jazykoch odzadu. System string analyzuje a ked vypocita malu komplexnost, user ma smolu. Takze hesla Kde.Mam,Karu*001, Kde.Mam,Karu*002 ... jednoducho neprejdu.
To ze user potom nema inu moznost, ako volit si matematicky komplexne hesla a ze ich musi mat niekde napisane/uvedene, je podla mna prirodzene a pre ludi bez aspergerovho syndromu ci mierneho nabehu na autizmus dokonca normalne. Zvlast ked tych hesiel ma clovek desiatky. Jedna moznost je napr. pouzivat softverovy trezor. Ina svojska a nevhodna moznost mat popisane hesla kade-tade. Avsak aj v tom druhom nevhodnom pripade sa napisane heslo na papieriku hackerovi tazko hada mimo kancelarie ci mimo budovy.
Kontrola odlišnosti od minulého hesla má jednu zásadní bezpečnostní díru. A sice, že aby bylo co porovnávat, musí se v systému uchovávat přímo to heslo, ne hash. Hacker bude nadšen, až tam vleze, je jedno kudy.
A co tokeny a nějaký SSO?
Vzpomínám si na jednu historku z práce... Požadavky na heslo do windows byly následující: Minimálně 8 znaků, 2 malá písmena, 2 velká písmena 2 čísla a jeden speciální znak. Nesměly být za sebou. Heslo se měnilo každý měsíc, systém si pamatoval posledních 24 hesel a po třetím chybném zadání musel váš nadřízený požádat o odblokování. Pak přišla změna z důvodu zvýšení bezpečnosti a přidali druhý speciální znak. Když jsem se zeptal co si tím chtějí dokázat, tak se jim to nelíbilo. Tak jsem prošel stoly v openspace a předal jsem sekuriťákům 30 hesel opsaných ze spodků klávesnic, papírlů na monitorech a podobně, abych jim ukázal, jak je to k ničemu. Řešili mě za to na bezpečnosti, protože jsem jí prý narušil :-D
Jenomže oni se ty spodky klávesnic a monitorů blbě čtou na dálku ;)
To už by bylo na jiné téma a článek, ale chodil jsem před lety na přednášky člověka, který pracoval na projektu, kde se cestou nejnižšího odporu snažili proniknout do soukromí uživatelů a firem a hledali tak nejslabší místa. Bylo až zarážející, jak jednoduché je dostat se na pracoviště úplně cizího člověka a ještě dostat od sekretářky kafíčko :-)
tiez mam skusenosti z jedneho statneho uradu, kde musia zamestnaci menit raz za urcitu dobu heslo.
Po case im dosli napady a tiez pouzivaju cestu najnizsieho odporu. Tie hesla hoci musia mat svoju zlozitost sa daju zisitit poznanim zakladnych informacii o tom cloveku. Samozrejme nehovorim o tom, ze cast zamestnancov ich ma na papieriku niekde pri PC.
Dokud nepřinesou usera a heslo tak nemaj co chlastat kafíčko a vykecávat se s buchtou! Ty by taky letěly taky a smykem :)
to nemyslíte vážně, pane zeli01! :-)
To mi připomíná v jedné firmě, kde jsem taky působil, chodily výplatnice do mailu v podobě odkazu na intranet. URL bylo něco v tom smyslu …server/vyplatnice?osobni_cislo. říkal jsem si, že tak blbý to snad nebude, ale přeci jen jsem to vyzkoušel. Překvapivě to nefungovalo, i když jsem zadal osobní číslo někoho jiného, pořád se ukazovala moje výplatnice (bylo to vázáno na login v AD).
Záhy jsem však přišel na to, že to byl ze strany bezpečáků phishing a já se chytil. Volali mi, že jsem tímto pokusem způsobil bezpečnostní incident, bla bla bla, výhrůžky o vyhazovu a podobně ... marně jsem jim vysvětloval, že jsem právě bezpečnost ověřoval a v případě, že bych zjistil, že je to opravdu tak blbý, jak jsem si myslel, že bych jim to nahlásil.
Prostě když jsou nadřízení kreténi, je dobré uvažovat o změně zaměstnání.
Dokud nepřinesou usera a heslo tak nemaj co chlastat kafíčko a vykecávat se s buchtou! Ty by taky letěly taky a smykem :)
Pardon, mělo to být na no-Xe. To je přesně to o čem jsem mluvil - zajde to pro kafe a vrátí se to totál nesoustředěný :D
Tak za toto by som ich dal na sud !
1) ako si mohli dovolovat potlacovat ludsku zvedavost, resp. nieco co je viditelne aj pre uplneho pablba a 10% z beznej populacie na ulici by to vyskusalo (asi ako 99,9% ludi na ulici by zvihlo 10 eurovku a teraz hehe chytak, zaplatite nam 20 € pokutu - to je to iste !!! len to percento ludi je tam ine)
2) ako si mohli dovolit tvrdit, ze slo o cieleny utok a nie o overenie bezpecnosti
3) ako si mohli dovolit tvrdit ze to bolo vobec cielene, mozno som URL pisal rucne a pomylil som sa a nemam ho vo favourites ... mozno ho mam zle ulozene vo favourites
V takej firme by som si schvalne kazdy den zablokoval konto v AD, nech mi ho odblokovavaju a vzdy by som tvrdil ze som sa pomylil.
No já jsem se jich předtím dost veřejně zeptal, jestli to má nějaký praktický důvod (že tomu jako nerozumím a rád bych se něco přiučil) a nebo jestli nám dělají pakárnu jen proto, aby vykázali nějakou činnost :-D
Osobne si mylim, ze na tento problem neexistuje jedno jednoznacne riesenie.
Musia koexistovat viacere.
Mna irituje ked mam nejake silne heslo ktore pouzivam najcastejsie a niekde kde sa prihlasujem mi da ze nemozem pouzit ziadny znak, alebo ze mam dlhe heslo a podobne, ked system ma format nadstaveny inak ako mam vo zvyku .. ale ako som si daval vypis z Mozilly co ma zapametane hesla tak som toho mal na 4 strany, a kazda staranka ine heslo ..to sa fakt pamatat neda na ktorej co je, hlavne ak na niektore idem raz za rok .. ked potrebujem alebo si na nespomeniem ..
Firefox si nastesti vetsinu hesel pamatuje (zvlaste s remember passwords pluginem). Nejvic me samozrejme jebe v praci, kdyz se heslo musi menit kazde asi dva mesice (takze ano blablabla1, blablabla2 .... atd). Zvlaste otravne je to, kdyz jsem se vyradil z domeny a musim to menit pak vsude rucne:o)
Jako nejotravnejsi povazuju logovani do systemu, kdyz ho zamknu (uz jsem si na to dokonce udelal toolku s tajnym gestem pro skoro locknuti:o) .... v takovem pripade bych vylozene uvital nejake prihlasovani pomoci web kamery. Jinak me to v podstate nevadi. Samozrejme, kdyz bych se potreboval nekam prihlasit, kde nemam svuj firefox, tak by to byl celkem problem, ale to bych stejne nikdy nedelal (prihlasovat se nekam na cizim systemu), takze je mi to fuck. Ale pro bezne BFU to musi byt fakt otrava.
Za nejvetsi otravu povazuju registraci na kazde forum ..... kdyby bylo neco univerzalniho, bylo by to super (ale nesmi to byt facefuck).
Ve firemním prostředí myslím úplně postačí, kdyby se s PC dalo pracovat jen za podmínky nějakého HW loginu (USB klíčenka, RFID čip, a podobně), což už existuje jen nevím jak je to drahé. Zde je/by bylo heslo spjaté s oním HW a tedy jedině krádež HW identifikátoru se současnou krádeží hesla je slabým místem. Další hesla v rámci aplikací by pak mohl řešit SW v podobě služby něco na způsob KeyPass, ale umožňovalo by to vložit heslo nejen na www stránky v browseru, ale i do libovolné aplikace... Zde je slabým místem kelogger, ale ten je problémem i v případě že uživatel heslo píše z hlavy...
Takových řešení existuje plno, cena začíná už někde na 20 dolarech a končí ... Problém klíčenek je, že jsou většinou svázány jen s konkrétní aplikací nebo infrastrukturou. Taktéž je problém využití pro přístup ze vzdáleného počítače, obzvlášť pokud tento není ve vaší správé (veřejný kiosek, kavárna, ... ) . A nakonec, je to přeci jen hardware a může se pokazit. Dost našich klientů pro VPN přístup používalo klíčenky, generátory hesel (myslím že SafeWord), ale postupně od toho upouštějí a opět nastupují kombinace politik - složité heslo, dost často nicneříkající jméno (typu user3
5654 ), certifikát a vazba na doménu v které je váš počítač registrovaný. Pokud není vše splněno, máte smůlu. A že hesla jsou 12-20 místné nesmysly (As1N3coJ@koT0to) .
Pro on-line služby tu snad už máme Open ID.
No, krom par ceskych webu (vim o lupe) ktere toto pouzivaji, nevim kdo jiny to pouziva jako login, treba phpBB forum urcite ne (pokud neni plugin, to nevim) ale nikde to neni pouzite, alespon ne na strankach ktere ja navstevuju :)
no existuje OPENID a podobne projekty netusim proc se nechytly a kazdej se rade prihlasuje Facebookem nebo Google uctem. I kdys to je taky moznostgooglu celkem verim ale fece book moc ne ale na fora atp v poho.
Jen me prijde tahle schiza uplne absudni kdys k CSOB uctu muzu mit helso jen 6ti mistne cislo :-)
Tyhle něcoID se nechytly z velice dobrého důvodu - při jejich využívání přicházíte o anonymitu. Jinými slovy, používá je pouze debil.
A jak tím přicházíš o anonymitu? Kdo chce být anonymní, založí si fiktivní účet, a je jedno jestli přímo na dotyčném webu nebo v podobě Open ID. Můžeš si vytvořit jeden oficiální účet Open ID s reálným jménem u jednoho poskytovatele a používat ho pro oficiální věci. A druhý s fiktivními údaji klidně u jiného poskytovatele a používat ho k nadávání do debilů v diskuzích.
Je to pěkný vopruz. Na hesla mám doma kryptovaná pamatovadla, protože moje nebohá hlava si tyhle změti nepamatuji. Nejsilnější dvě hesla, co nikde nepíšu, ani do pamatovadla, mám jako sáhodlouhé říkánky (cintáty atp.). Doma/pracovně to tedy jde.
Horší je pak když jsem třeba jezdil po Japonsku a potřeboval se zalogovat na tamějších klávesnicích třeba do webmailu. Do háje, kde je oni to Xňf mají? Obzvlášt, když se heslo zobrazuje maskovaně, tak je to chuťovka a nezbývá, než to napsat někam do řádku a copypastnout. Je to radost s hesly.
Většina serverů má možnost obnovy zapomenutého hesla, takže si ta hesla sice nepamatuju, ale zase tolik mě to netrápí :-)
Jenže na to obvykle vyžadují uživatelské jméno :-) A často, mrchy takové, nedovolují, aby v jméně byla pomlčka. Pamatovat si alternativy + jejich kombinace s konkrétními servery, je pak stejný opruz, jak s těmi hesly...
Kolko email uctov uz padlo za obet nie heslu, ale uzivatelskemu menu :D
Tam ani napoveda nepomoze....
Se zájmem jsem si přečetl nářky a kvikot o potížích s hesly a chápu jen částečně.
Osobně používám hesla typu pwgen 8 až 12 podle nálady. Mám jich několik desítek, z čehož si prakticky vše důležité pamatuji (obvykle po prvních několika použitích hesla).
Stejné heslo k různým službám nemám skoro nikde ... jen ty opravdu nedůležité (malé skupinky služeb se stejným heslem).
Po cca 20 letech užívání hesel se mi nejlépe osvědčuje lépe papírový zápisník kombinovaný se šifrovanou flashkou a na ní plaintext soubory.
Uznávám argument, že z papíru internetový útočník číst neumí, ale lístečky nelepím, zapsaná hesla hlídám a z ruky nedávám, bez dozoru v cizím prostředí nenechávám.
A uznávám argument, že častá změna hesla je (může být) silně kontraproduktivní. Nevidím důvod, proč by třeba 16 znakové složité heslo nemohlo být roky stejné, pokud není kompromitováno. Zvlášť není-li opisováno několikrát denně v kolektivu jiných lidí.
Mnohem důležitější pro bezpečnosti mi připadá udržení vlastního PC v důvěryhodném stavu (žádný snadno zavirovatelný proprietární OS, nespouštět kraviny z internetu bez důkladného ověření, důkladně aktualizovaný software používaný k otevírání dat z internetu, aktuální prohlížeč, šifrovat maximum ...).
Jako efektivnější v boji s mnoha službami mi přijde neregistrovat se kvůli kdejaké pitomosti (i když tam zas většinou nevadí slabé heslo).
Vidim, ze nejsem sam, kdo povazuje nutnost pravidelne zmeny hesla za hloupost, ktera naopak bezpecnost ohrozuje. Za dalsi bych pridal nutnost mit v praci 10 hesel do 10-ti systemu. Jinak nejdulezitejsi je mit radne zabezpecen vstup do budovy a snazit se motivovat zamestnance ke spolehlivosti, neustalou buzeraci kazdeho akorat znechutite.
Zabezpečení budovy je na nic, pokud (reálně) je potřeba přistupovat do podnikové sítě z venku - VPN apod. . Buzerace typu změn si heslo každé 2 měsíce je čistá buzerace a opravdu situaci jen bezpečnostně zhoršuje. Takového admina bych vyhodil a toho kdo mu to nařídil taky.
A s tím zjednodušením přihlašování celkově je to problém v tom, že prolomení bezpečenosti na jednom systému může ohrozit bezpečenost na ostatních systémech, tím mám na mysli, že pokud by uživatel používal např OpenID nebo néco podobného, stačí aby se někomu podařilo zjistit údaje o uživateli na jednom systému a potom už má přístup do všech systémú/účtů které uživatel ve spojení s (OpenID, ...) používá. Takže bezpečnost a pohodlí asi nejdou příliš ruku v ruce. A argumentace typu, OpenID používám na nedůležité služby je bezpečená jen do doby, než vám ji někdo prolomí/odhalí a následně zneužije způsobem czela nečekaným. Tŕeba OpenID pro e-mail. Vy byste si neotevřeli mail od kamaráda, který je vlastně podvrhem ? A že je to nějaký phishing vás nemusí ani napadnou. A potom už je pozdě.
KeePass a jsem v pohodě...
keepass to sam nevyplni ale lastPass ano mozna neni tak dobre zabespecen aneni to open a bohuze pro android neni zdarma stejne me vic vyhovuje.
JA Pouzivam oba jen skoda ze nejdou preulozit hesla z jednoho do druhyho :-(
Problém s jedním "dobrým" heslem pro více systémů je poměrně zásadní - pokud někdo prolomí ochranu daného systému, nebo nějaký admin zneužije data, získá automaticky přístup do všech vašich aplikací.
Takže stále platí, že je vhodné mít různá hesla pro různé aplikace/stránky. Je pravda, že je lepší mít dlouhé "normální" heslo než nějaké paznaky, které se nejenom špatně pamatují, ale ještě navíc špatně zadávají.
Jako docela slusne reseni mi prijde klidne i slabsi heslo + google authenticator na mobilu. Mam to ted na trech uctech, kdyby to bylo podporovane vic, zavedu to taky jeste tak na trech dulezitych a spokojenost.
Pro psaní komentářů se, prosím, přihlaste nebo registrujte.