Dotaz: je nutné dlouhé heslo?

[javokajifeng]

Dobrý den, chtěl bych se zeptat, doma používáme tyto systémy: Debian 11; Linux Mint 20, 21; Kubuntu 22.04., aktualizuji je zhruba jednou měsíčně. Někteří uživatelé si stěžují, že k jejich účtům vymýšlím příliš složitá hesla a chtějí po mně abych je změnil na krátká, třeba typu "1234", nevím zda je něco takového bezpečného, protože při grafickým vytváření uživatelského účtu to chce nějakou minimální délku, ale jako root můžu to přes passwd zkrátit. Všichni doma jsme běžní uživatelé, ssh a podobné vymoženosti nepoužíváme, defacto pc jsou ve výchozím stavu, zůstávají pořád doma takže se k nim nikdo cizí nedostane. Hesla k uživatelským účtům (zámek obrazovky) jsou nutností jako prevence před totální závislostí mých mladších sourozenců na PC. Představuje za takové situace heslo "1234" riziko? Jde především o bezpečnost uživatelských dat a přihlašovacích údajů při běžném prohlížení internetu. Děkuji za odpověď, J.

---

---

Odpovědi

[VoDo]

je to jedno linux jde hecknout snaze nez wokna

[VoDo]

Mam mega dlouhe heslo ktere si ani nepamatuji, staci ze ho vedi epl voc a jepko se odemkne, na linuxu ctyri cisla

[X]

At si kazdy da heslo jake chce. Nz domacim PC je to uplne jedno.

[Peter Golis]

Skús sa zamyslieť koľko by odolávalo heslo "1234" pred napríklad "mladším súrodencom", a pochopíš aj sám a bez pýtania sa či je také heslo bezpečné. Ono ani to heslo neochráni pred závisláčením. ak majú možnosť využiť iné zariadenie (mobil, tablet, USB kľúč s LiveOS) na zahnanie nudy vzniknutej nesprávnou výchovou, tak budú chcieť využiť aj to využijú.

[javokajifeng]

Ono mi nešlo o to, abych chránil PC před obcházením rodičovské kontroly ze strany mých sourozenců, ale o to, zda je bezpečné z hlediska třeba internetového bankovnictví, pracovnímu mailu a pod. mít k uživatelskému účtu jednoduché heslo, když jsem jen běžný uživatel.

[Peter Golis]

A aký problém by bol pre niekoho, čo naťuká heslo 1234 do počítača aby ti nahodil keylogger alebo vycucal pripravené heslá do banky? Banka je povinná použiť bezpečnú autentifikáciu (overenie postranným kanálom) až pri platbách nad 600€. Je podľa teba strata 600€ na jednu platbu drobná platba na ktorej moc nezáleží?

Ohľadne pracovného emailu je škoda diskutovať. Ak tam máš citlivé osobné údaje, tak si ich povinný zabezpečiť.

Predpokladám že si už pochopil.

[javokajifeng]

Takže takto: 1. lepší heslo lepší bezpečnost, pro tak důležité věci jako IB je lepší se smířit se zadáváním delšího hesla; 2. u PC na hraní pro děcka, kde se žádné důležité věci nedělají je to jedno.

Pochopil jsem to správně?

[Peter Golis]

Skôr či neskôr sa prihlásia napríklad na nejaký typ sociálnej siete, a s nedostatočnými bezpečnostnými návykmi im to niekto hekne. A bude haló.

Ono, používať antológiu "načo si mám zamykať počítač keď si nezamykám byt" je zbytočné, aj keď v tom byte nie je nič cenné. Ani majiteľ a jeho mláďatká.

[Jendа]

A aký problém by bol pre niekoho, čo naťuká heslo 1234 do počítača aby ti nahodil keylogger alebo vycucal pripravené heslá do banky?

Ale tohle není útok, který mu hrozí, protože k počítači mají fyzický přístup jen osoby, co tohle dělat nebudou. (a navíc nemá šifrovaný disk a nejspíš ani SecureBoot, takže takový útočník musí udělat jen o trochu složitější reboot, start live distribuce a instalaci backdooru z ní)

[Peter Golis]

A potom sa tu možno objaví otázka, ako stornovať platby (mikrotransakcie) za hry.

Keby sa homo sapiens výslovne riadil morálkou, tak by neexistovalo trestné právo a ani priestupky. Ľudia by si nemuseli zamykať, a chrániť seba a svoj majetok.

[Pavel 'TIGER' Růžička]

Řešením je přihlášení pomocí otisku prstu.

[pavele]

Yubikey.

[Peter Golis]

To by ma zaujímalo, ako zabezpečí taký prívesok aby jeden (čo bude mať výchovne pár dní bez počítača) nezoberie bez dozoru druhému prívesok a nesadne aj tak za počítač.

[rastos]

Páni, idete na to zle. Rozhodnutie o použití hesla, jeho zložitosti či dĺžke, je "bezpečnostné opatrenie". Rozhodnutie o bezpečnostnom opatrení by malo byť zodpovedať riziku, ktoré tým opatrením chceme minimalizovať/odstrániť.

Takže: ideme sa chrániť proti tomu, aby mi mačka behajúca po klávesnici nepísala príspevky na abclinuxu? Alebo sa chcem brániť voči sledovaniu tajnou službou? Chceme sa brániť voči neoprávnenému prístupu po sieti? Alebo voči niekomu, kto môže prísť, vymontovať disk a odniesť si ho so sebou na analýzu doma?

[Peter Golis]

Akékoľvek opatrenia majú mať aj výchovnú funkciu. V opačnom prípade môžeš očakávať:

A prečo by sme nemohli (doplň ľubovoľnú blbosť), keď doteraz ...

PS: S tou vetou sa stretávam až príliš často, a vždy vo mňe vzbudzuje pochybnosti o psychickom veku danej osoby.

[pavele]

To by ma zaujímalo, ako zabezpečí také heslo aby jeden (čo bude mať výchovne pár dní bez počítača) nezbije toho druhého a nevymláti z neho heslo a nesadne aj tak za počítač.

[Peter Golis]

Rovnakým metrom.

[Jendа]

Pokud nevystavíš do sítě nějakou službu, na kterou by se dalo heslem přihlásit (typicky SSH, ale některá desktopová prostředí jako třeba GNOME mají někde v nastavení snadno zaškrtnutelné škrtátko "povolit vzdálenou plochu", které může někdo zapnout i omylem nebo "na chvilku" a pak na to zapomenout; ještě mě napadá CUPS, kde se dá přihlásit jako root na http://localhost:631, a vůbec netuším, jak to funguje, když máš sdílené tiskárny do sítě), tak je v tvém případě jednoduché heslo v pořádku. Jaké služby máš vystavené do sítě zjistíš pomocí netstat -tlpn (netstat je dnes považován za zastaralý a musí se doinstalovat z balíčku net-tools. Jeho moderní náhradou je program ss, který je nainstalovaný defaultně a má stejné parametry (ss -tlpn). Jeho výpis mi ale přijde nepřehledný, proto stále používám netstat.)

Osobně to řeším tak, že mám

• Velmi složité heslo k šifrovanému disku, protože tam počítám s offline útokem (někdo mi ukradne notebook nebo disky se zálohami a bude hesla zkoušet a já to nemůžu nijak omezit). Pokud nemáš šifrovaný disk, tak se to na tebe nevztahuje.
• Docela složité heslo k uživatelskému účtu, protože ho zadávám jen výjimečně (viz dále) a nechce se mi řešit výše popsané problémy (na počítači vyvíjím a bojím se, že třeba nějakou takovou službu zpřístupním omylem).
• Jednoduché heslo k zámku obrazovky, protože ho zadávám mnohokrát denně a zadávat složité by byl opruz. Ovšem po několika neúspěšných pokusech se to zablokuje a je nutné zadat to složité heslo.

Bohužel tohle nastavení (různé heslo k účtu a k zámku obrazovky, příp. limit pokusů) není něco co by zvládl úplný začátečník jen tak nastavit. Jak to udělat jsem tu kdysi psal. (ale pořád je to lepší než konkurenční systémy, kde to nejde udělat vůbec)

(Konkrétně na SSH mám všude kde to jde zakázané přihlášení heslem a používají se jen SSH klíče.)

[👻]

Jeho moderní náhradou je program ss, který je nainstalovaný defaultně a má stejné parametry (ss -tlpn). Jeho výpis mi ale přijde nepřehledný, proto stále používám netstat

vypadá to skoro uplně stejně jenom ss má 'state' sloupec na prvním mistě zatimco netstat někde až jako předposlední, plus to má některý sloupce trošku jinak pomenovaný

ss je možná trochu víc rozlezlej na šiřku ale to se dá scvrknout potrubím do column

ss -ltnp | column -t

pak se to podobá hrozně moc

[Want]

Kdyz uzs v tom, jak se lisi kod nebo zavislosti ze je doporucovan? jde mi o to jestli je doporuceni necim podlozeno.

[Zopper]

Některé ty konkurenční systémy umožňují velmi pohodlné odemykání tím, že napojené a odemknuté smartwatch na zápěstí jsou cca ~1 metr od odemykaného zařízení. Takže to heslo k uživatelskému účtu se taky zadává jen výjimečně, a místo jednoduchého hesla zámku obrazovky funguje přítomnost fyzického zařízení, které se odemkne biometrickým skenem při odemykání mobilu. Ergo všude můžou být rozumně silná hesla, protože je to chce jen jednou za čas "pro připomenutí" a nebo při startu systému, ale při běžném day-to-day provozu a odemykání několikrát za den nemusím zadávat nic.

[Jendа]

Tak třeba odemknutí zařízením se legálně i rychle fyzicky vynucuje úplně jinak a snadněji než heslem. (a to jsem ještě zapomněl zmínit další heslo, které neodemkne, ale naopak způsobí to zamčení)

[Zopper]

To je otázka pravděpodobných vektorů útoku. Já třeba partu těžkooděnců vyrážející dveře považuji za silně nepravděpodobné riziko (kde navíc stejně nemyslím, že by to moje fyzické zařízení jako jediné ukrývalo klíčové důkazy, ke kterým se jinak nedostanou), zatímco kapsáře, co mi někde venku přes rameno okouká pin a pak mi sebere mobil z ruky považuji za to hlavní, co mi u tohoto zařízení hrozí, hned po jeho ztrátě.

Jinak řečeno, snaha zabezpečit se proti prvnímu, nepravděpodobnému riziku výrazně snižuje pohodlí a zvyšuje nebezpečí druhého rizika, které považuji za mnohem pravděpodobnější.

[Jendа]

Ano, to je pravda, pak mě napadlo, že by byla nejlepší kombinace (slabý zámek vždycky a automaticky při tom vzdálení se, heslo když zamkneš explicitně).

[Ivan]

Tak na woknach uz to maji vyreseny.

Lokalne se prihlasujes pomoci PINu anebo rozpoznanim obliceje. Pro sitove sluzby pouzivas dlouhe heslo. V Linuxu by slo neco takovyho nastavit taky, pomoci PAM modulu.

IMHO pro lokalni prihlasovani 4-5 znaku staci. Dokonce to jde nastavit tak, ze rozpoznavani obliceje se aktivuje jen v praci ve firemni siti, ale doma musis pouzit k prihlaseni heslo anebo pin.

PS: obecne lze rict, ze hesla jsou pomalu za zenitem, a dlouha a tezka hesla uzivatelum komplikuji zivot. Otisk prstu, oblicej, token, kerberos ticket, 2FA ... jsou bezpecnejsi a pohodlnejsi alternativy.