Bezpečné heslo

30.6.2022 16:39 | Přečteno: 2256× | LFS

V diskuzi pod zprávičkou o slovenské ministryni informatizace se rozběhla diskuze o bezpečnosti hesel. Jaká hesla používáte vy?

Majitel tohoto účtu, který není autorem tohoto příspěvku, používá heslo "radegast". To jde prolomit slovníkovým útokem na pár (desítek) tisíc pokusů, ale i uhodnout. No a když už takové heslo používáte, nepište to do diskuzí. Majiteli účtu bych doporučoval si heslo změnit na bezpečnější. No, víte co... Radši jsem to udělal za něj a nové heslo mu poslal na e-mail.

A co vy ostatní? Ztotožňujete se jako JiK se slavným XKCD, nebo patříte do #st4r3_sK0ly a bez superbezpečných chuchvalců speciálních znaků nedáte ani ránu?

Jak to řešíte ve svých aplikacích? Nijak? Indikátorem? Tvrdým pravidlem, ze kterého uživatelé mají šediny? =)

Je autor softwaru zodpovědný za to, aby si uživatel nastavil bezpečné heslo? A co přístupy k firemním účtům? Jak si je firma ochrání?

Podělte se.        

Komentáře

[Člověk z Horní Dolní]

Uz asi dva roky pouzivam hesla, co mi vygeneruje prohlizec Chrome.

[gsnak]

********

[Xerces]

Používám stejné.

[hík]

Taky Hunter2 jo?

[1 metr páry]

Hesla jsou přežitek

[VoDo]

vzdycky nejaky nahodny a kdyz vymazu kukis tak dam proste obnovit pres emila a tak porad dokola, ma to dve vyhody, nemusim hesla nejak spravovat a hesla se pravidelne obnovujou

[X]

Zacal jsem pouzivat 2FA, bez aplikace, bez HW tokenu. Jednoducha stranka v PHP na vlastni domene, kde si sam vygeneruji token.

[Pivočíslo]

To zní spíš jako správce hesel než jako 2FA. Nebo jak to integruješ s weby třetích stran?

[X]

Jednoduse, proste jsem si vyrobil vlastni generator tokenu v PHP. Behem prihlasovani si vlezu na mojestranka.cz/2fa, kde si vygenruji ten token sam a normalne ho pouziju. Funguje skvele s Github i Protonmail kde to pouzivam.

[Pivočíslo]

Sorry, pořád to nechápu. Jak Githubu řekneš, že tohle je správný token? A ještě bys to musel nastavovat v cookies pro jinou doménu (což by snad nemělo jít). Možná ze mě mluví horko, tak se omlouvám za nejapnost.

[X]

Proste jsem nechtel kvuli 2FA nejakou smart aplikaci ani, plugin do prohlizece, usb token a podobne. Trochu jsem to popsal tady. Potrebujes znat "tajny kod" ktery dostanes behem aktivace sluzby 2FA(pozor, treba Seznam.cz ti ho proste neda a nuti ti jejich podelanou aplikaci..). Vezmes tenhle kod a na zaklade RFC 6238 si pomoci casoveho razitka a toho 'zdileneho tajneho kodu' vygenerujes jednorazovy token. Jeho hodnota se meni v case. Takze jsem dohledal PHP kod, ktery tohle presne vypocita a udelal si primitivni webovku, kde kliknu a ma mspocitany token. Protistrana si to spocita taky a zjisi, ze to souhlasi a a hotovo.

[kralyk z abclinuxu]

A na tu tvojistranku.cz/2fa se nějak přihlašuješ, nebo prostě stačí útočníkovi znát URL?

[X]

Staci znat URL. Nechci si to komplikovat a ani to nedava smysl. Je potreba samozrejme znat i ten prvni faktor = email k danne sluzbe a heslo. Pro chytreho utocnika to problem nebude, pro brute-force automat uz to problem bude a to z meho pohledu staci.

[JiK]

takove, ktere mi vnuti protistrana, tedy banka, urad, portal, obchod, firma, jako uzivatel/zakaznik nemuzu nic udelat s jejich debilni politikou hesel.

[Člověk z Horní Dolní]

Doporucte mi nejake bezpecne heslo. Ale takove, aby na nej nikdo neprisel, nesmi byt v zadnem slovniku.

[VoDo]

Covid_19_ovecka

[Člověk z Horní Dolní]

Asi narazis na moji paticku. Aktualizoval jsem si ji.

[Emo]

Napis ho cele v emoji. Ale pozor na barvu pleti :)

[...]

Prostě tam dej posledních 15 cifer čísla Pí. To nikoho nenapadne!

[ctyrlistek]

Pri mem stesti by tyden na to vysla zpravicka ze vedci zjistili ze PI je konecne.

[JiK]

to se preci davno vi, ze je tak dlouhe jak nejvesi vyrobeny display.

[cbrpnk]

Chyba logiky, ked uz si dal poslednych 15 cisel cisla PI ako heslo, v case zadavania uz muselo byt konecne ...

[Max]

K čemu heslo, když máme FIDO2 apod. věci?
Zdar Max

[cbrpnk]

odpoveď je fail2ban nastaveny na permaban po 3 pokusoch na sshd, postfix, apache a dovecot ...

[X]

Kdyz mas heslo nalepene na notebooku tak to moc nepomuze..

[3]

Tak si ho na ten notebook nelep a zkus si ho místo toho zapamatovat.

[Homoděj]

Já používám nesmyslné věty. Číslovky píšu číslicemi a jedno slovo vždy napíšu blbě. Heslo má tak klidně šedesát znaků a snadno si ho zapamatuju.

Pro jistotu je mám uložená ve správci hesel, ale ještě jsem ho nepoužil, abych si nějaké heslo připomněl.

[HonzRez]

Heslo má tak klidně šedesát znaků a snadno si ho zapamatuju.

To vypadá na kvalitní protimluv neboli oxymóron...

[kralyk z abclinuxu]

Ani ne, pokud je to věta. IIRC tahle rada byla před lety v nějakém článku na ArsTechnice včetně toho, že by ta věta měla být nepravdivá/nesmyslná, protože prostor takových vět je mnohem větší než smysluplných pravdivých.

[...]

Heslo má tak klidně šedesát znaků a snadno si ho zapamatuju.

66 znaků, z toho 4 s nabodeníčkama, 10 mezer, 1 tečka, 1 velké písmeno - tohle by jako silné heslo prošlo leckde - a zapamatovat se to dá celkem snadno

To vypadá na kvalitní protimluv neboli oxymóron...

54 znaků, z toho 2 s nabodeníčkama, 6 mezer, 3 tečky a 1 velké písmeno - taky docela slušný

[Glee]

To vypadá na kvalitní protimluv neboli oxymóron...

A presne proto nepochopis, ze si lide zapamatujou cisla, klidne tu Picu na 100k cisel. Na tohle uz jsou studie desitky let stare.

Ale tys rozrazil dvere a poukazal na slovo oxymóron. Read, then speak.

[petr_p]

Úplně by stačilo, kdyby se HTTPS používalo i na něco jiného než jen na zelený zámeček v adresním řádku.