Hesla jsou zlo. Hackeři napáchali tolik škody právě proto, že vůbec existují

Jsem z branže - je sice hezké že již existují různé bezpečnější a zároveň pro uživatele jednodušší způsoby ověření ale bohužel toto je obrovský problém dostat masově do technologií tak aby to všude hezky, jednoduše, jednotně a funkčně fungovalo 😀.
Jméno a heslo se používá odpradávna a tak to všichni výrobci softwaru prostě umí.
Vše co vzniká následně je balast a každý si to pitlíkuje po svém. Následně vzniká přehršel různých řešení, nic není jednotné a tak z toho vzniklo například to že někdo se do banky přihlašuje certifikátem, někdo heslem, někdo telefonem - sms, různé authenticatory, rsa ...někdo obličejem a někdo prstem :-ú...je toho hodně. Mě osobně to přijde jako Babylon v IT. Pokud má být dnes něco "bezpečné" je nutná vícefaktorová autentizace a lidičky bohužel ani toto není stoprocentní. Technologie je všude mraky, dělají to mraky lidí a většina z nich tomu nerozumí natolik aby to bezpečné bylo před těmi kdo si říkají hackeři.
Dřív bylo IT výsada menší sukpiny lidí, dnes to fakt dělá kdo má ruce nohy a podle toho to vypadá...je to jako se vším ostatním. Viděl někdo z vás v poslední době nějakého "schopného" řemeslníka? V IT je to stejné...vím o čem mluvím.

Aha, čiže byť hackerom a zlodejom je v poriadku, zlo sú len tie heslá.

Jak je při použití toho hw klíče, v komfortní variantě bez zadávání jména a hesla, zajištěno, že se prihlašujete ke službě, kterou vidíte na obrazovce, a ne k nějaké jiné?

Taky dobré jsou kontrolní otázky kvůli obnově hesla... kdy si při založení účtu člověk musí vybrat i z několika kontrolních otázek typu "Jméno matky za svobodna" či "město narození" nebo "jméno prvního mazlíčka" a nejde si zvolit otázku vlastní. Jakou úroveň zabezbečení si autoři myslí, že to poskytuje? Není nic jednoduššího než zjistit takovéto fakta a pokud někdo pravdivě vyplní odpovědi na tyto otázky, tak je to stejné, jako by toto zabezpečení vůbec neexistovalo.

To, co autor popisuje, se ve Windows v podnikové sféře používá 20 let. Dnes je aktuální různý způsob využití vašeho mobilního telefonu, což bohužel v článku vůbec není.

Drtivé většině lidí by stačilo jméno a heslo snadno zapamatovatelné, ale lidé jsou '....'. Až by šlo o utajované skutečnosti (NBÚ), pak lepší formu hesla.
Jedné osobě říkám v práci, zadej si heslo UliceČíslo (teda vlastní adresu) - 'Květinová3364'. Na papírek si napiš pro jistotu heslo ve formě 'heslo = moje adresa'. Na druhý den mi říká, heslo je údajně neplatné nemohu se tam dostat. Hádejte, co bylo vkládáno do kompu?3-[

Připomnělo mi to tento vtípek:Při zřizování elektronického přístupu k vlastnímu účtu v bance:
- Zadejte uživatelské jméno ! - logik2
- Zadejte heslo ! - jablko
- Lituji, heslo musí obsahovat minimálně 8 znaků ! - červenéjablko
- Lituji, heslo musí obsahovat min. 1 číslici ! - 1červenéjablko
- Lituji, heslo musí obsahovat min. jedno velké písmeno ! - 1VYJEBANÉčervené jablko
- Lituji, heslo nesmí obsahovat za sebou následující velká písmena ! - 1VyjebanéČervenéJablkoAnastrčSiHo !
- Lituji, heslo nesmí obsahovat znaky s diakritikou ! - VyjebaneSchnileCerveneJablkoAchcipniTyHajzleJestli AniTohleHesloNeprijmes
- Lituji, toto heslo je již obsazeno !

Pouzivat biometrii mi prijde jako slepa ulicka, prave kvuli unikatnosti. Od doby, kdy existuji keyloggery je jen otazka casu, nez se zacnou objevovat i biologgery.

Anebo vyžadovat, aby účet při chybném zadání hesla třeba na patnáct minut nedovolil uživateli s daným uživatelským jménem další přihlášení. Nedá se to zvenčí nijak obelstít a můžete díky tomu používat třeba i heslo krátké 6 znaků.
Lámací software může bušit jak chce, ale další kontrola hesla proti
databázi se umožní až za určitou dobu (třeba 15 min a více). Jaký to má smysl? Prolomit i jednoduché heslo s využitím slovníků vyžaduje tisíce pokusů. Jestliže snížíte počet pokusů o přihlášení na 96 za den (tj. těch 15 min), potom je dostatek času na změnu hesla na nějaké dlouhé, krkolomné.
Systém by samozřejmě musel poslat zprávu, že se někdo pokouší na účet neustále přihlásit.
Bez slovníku lze provést nutných 60 milionů pokusů o prolomení 5 znakového hesla za pár minut, ale v případě ochrany intervalem by 5 znaků dlouhé heslo trvalo prolomit i několik měsíců.
Pro případ, že by někdo záměrně bušil na účet jen proto, aby zamezil přihlášení uživatele, lze provést spárování s cookies (pokud je paranoidní uživatel neblokuje). Potom přihlášení z označkovaného zařízení bude mít výjimku a například 3 pokusy za sebou.
Proč však tento způsob ochrany nikdy nepřevládne a musí se na to složitě? Protože stačí, když se najde pár individuí, která se nedokáží přihlásit a začnou kvičet jako prasátka, co že je to za debilní systém, kde musí čekat patnáct minut, než jim to umožní zadat znova heslo.
Jen pro úplnost dodávám, že naprogramovat tento způsob ochrany zvládne každý zkušenější programátor za pár minut.

Jste si jistý že IDO/FIDO2 má podporu ve VŠECH Windows? Nebo jen v desítkách?

Hesla zrusit muzete v okamziku, kdy se prestaneme bavit o soukromi, zrusite penize, vsichni budou ti hodni, a budou chtit pracovat na zlepseni zivotniho prostredi. Zatim to vypada tak, ze, kdo ma vetsi penize, ten rozhoduje, co je pro zivotni prostredi nejlepsi. Pripadne skodi tajne a ma na to podplacene lidi.
Pokud existuji lide, kteri proti sobe bojuji, tak je vzdy treba ochranu. Treba netolerantni hlucni sousede urcite vsem lezou na nervy.No, a co se tyce vseho ostatniho v clanku, tak je mozne uplne vse naklonovat nebo padelat. Spousta techto odmitacu hesel se jen snazi nabulikovat lidem, ze vse ostatni je bezpecnejsi a pohodlnejsi.
Dejte si na usb flash program na spravce hesel. Tak si ji nekdy pujcim, naklonuji a necham na superpocitaci dekodovat hlavni heslo do programu. Nikdy se to nedozvite a ja ziskam 1000 hesel do vasich sluzeb.
Co se tyce dna, clovek kolem sebe trousi sve dna vsude, treba v kousickach stare odpadajici kuze a tak.
Zkratka, cokoliv vymyslite, tak si hackeri daji tu praci to oblafnout. V pripade sloziteho hesla je to jen mirne slozitejsi. Ja bych take rad pouzival nejakou jednoduchou cestu. Treba kvuli bance, abych nepotreboval mobil na overovani ani nic jineho a stacil bych jen ja, ktereho nosim vsude. Ale to zkratka nejde. At uz si nasnimaji me oko, palec, zpusob chuze, tvary tela nebo dna...

Login a heslo maji vyhodu v tom, ze funguji vsude a nic dalsiho nepotrebuji. Me vic stve pozadavek kazdy kvartal heslo menit, v praci jeste navic asi 4x do ruznych systemu. Tak tam snad vsichni pouzivaji pattern, ze maji nejake heslo a na konci meni cislo, ja do kazdeho systemu davam stejne heslo. Kdyz chteli bezpecnost, tak to maji. Jedina vyhoda je, ze vim, kolik let tam pracuji a nemusim to pocitat 🙂

každej web dostane vlastní klíč, chápu to dobře?
Místo hesel v lastpass teda budu mít sebou kolik klíčenek?
Co když se bude chtít přihlásit na pc někdo jiný?
Co když se budu chtít přihlásit v internetové kavárně?

Mam systém hesel kterej je založenej na ňákym určitym vzoru a odlišnosti která je většinou daná jménem služby nebo serveru, heslo je to hodně dlouhý a na každej server unikátní a nehodlam na tom zatim nic měnit. Všechny ty otisky prstů a podobný věci jsou sice hezký ale já se ke svejm účtům potřebuju dostat odkudkoliv a ne jenom odtamtud kde je ňáká čtečka nebo webkamera.
Přihlašování přes facebook už nedělam od tý doby co jsem tam párkrát dostal ban, opravdu nechci aby moje přihlačování někde záviselo na ňákym facebooku kde mi ten účet cukrberk může zrušit kdykoliv se mu zachce.Mam silný hesla podle tohohle vzoru na důležitý věci a pak na věci jako diskuzní servery a jiný kraviny mam jedno obyčejný heslo protože tam je mi to celkem jedno, o nic nejde, prostě se zaregistruju znova, to u banky nebo ani na tom FB neni tak jednoduchý. 🙂Ale ta myšlenka s tim klíčem v podobě USB přívěšku se mi docela líbí, ale zase bych měl deprese z toho že mi to někdo ukradne nebo to ztratim nebo zničim.

Názor byl 1× upraven, naposled 5. 11. 2019 23:54

Nehodlám řešit, tohle bude starost mých dětí, vnuků, snad pravnuků. Sám rozlišuji jen dva druhy přihlašování.
1. Do důležitých služeb.
2. Do těch, které může vzít čert.
A podle toho přizpůsobuji hesla. Facebook a další sociální sítě, bezplatné cloudy, filmové databáze, softwarové záležitosti, hobby řeším hesly jednodušeji zapamatovatelnými a je mi naprosto jedno, kdo si účty ukradne, na skutečné jméno je nevedu, nic osobního na těchto místech nesděluji. V prvním případě, tedy byznys, banka, komunikace s úřady, privátní/obchodní citlivá komunikace vše řeším (pokud nevyžaduje přímo služba, typickým příkladem je bankovnictví) silnými hesly, které pravidelně měním, zapisuji je v komplikované formě, kterou si však pamatuji a zálohu hesel mám uloženu na bezpečném místě v tištěné formě/flešky (firemní záležitosti také v bezpečnostní schránce). Nikdy tato hesla nesynchronizuji se žádnou službou ani v prohlížeči.

Máto ale druhou stranu kloubouku, zatímco login+heslo je v podstatě anomynmí, když na sebe člověk nebonzne další údaje, jak se zaručí soukromí+anonymita u těhle věcí?A nejde místo předraženýho jednoúčelovýho yubofidokrámu používat něco běžného (obyč USB úložiště), tam samozřejmě otisk nebude.

Biometrie je sice pěkná věc, má ale jednu velkou nevýhodu - pokud vám dnes někdo ukradne klasický privátní klíč, tak ho prostě jednoduše znevalidníte a vytvoříte si nový. Ve chvíli, kdy použijete vae biometrická data jako privátní klíč jste nahraní, jelikož si jen tak nová už nevytvoříte.

Názor byl 1× upraven, naposled 5. 11. 2019 21:24

Všechny hlavní prohlížeče dnes podporují Web Authentication API (https://caniuse.com/), které právě slouží k tomu, aby si prohlížeč se serverem vyměnily příslušné klíče. Bohužel servery to, jak je uvedeno v článku, zatím nevyužívají. Asi se čeká na vzorovou implementaci nějakého velké hráče (Google, Apple, Facebook...).

"Hesla jsou zlo. Hackeři napáchali tolik škody právě proto, že vůbec existují"To je pravda, predstavme si tedy krasny svet bez hesel. Do banky se dostanete na jakekoliv konto, staci zadat jeho cislo. Maily i sms si prectete bez hesla nebo PINu na telefon. Nikdo preci nema pred svou manzelkou co skryvat, ...... 2FA je super vec, ale titulek, ten titulek.

😳