Seznam měl vážnou chybu ve svém e-mailu. Útočník se mohl dostat do schránek uživatelů

smajlici v hesle, boze ... . Kam na tohle lidi chodi.

Přitom je to dokonalé. Tady má pravdu, obrovské množství rozšiřující znakové sady, vizuálně zapamatovatelné pro uživatele...
Písmenka s čísly začínají být přežitek, s rostoucí výpočetní silou a omezenou znakovou sadou vzniká čím dál větší náročnost na uživatele v podobě délky hesla. 8 znaků začíná být málo, za chvíli budou všichni vyžadovat 10-15 znaků. Rozšíření znakové sady je logickým krokem a smajlíci můžou být dobrá možnost.

vizualne zapamatovatelne? Vzdyt to kazdy interpretuje jinak a totozny smajlik je znacne rozdilny, nemluve o problemu to zadavat atd.Problem hesel neni v miliardach potrebnych kombinaci. Problem je v zabezpeceni systemu jako celku.

Tam je úplně jedno, jak to vypadá v tom webovém formuláři, důležité je, že to budeš zadávat z telefonní klávesnice (nebo třeba z Windows emoji), kde to vypadá vždy stejně.

Ten unicode prasoznak stejně zadáváš z klávesnice jako několik standartních znaků které si musíš pamatovat. To je můžeš mít v hesle přímo, nějaký emoji v hesle je neskutečná stupidita.

A pak clovek prijde k anglicke klavesnici a neskrtne si.
Pokud je heslo dost dlouhe a slozite, tj. 9 znaku, velka mala pismena, symbol nebo cislo, tak jeho prolomeni bruteforce uz je velmi nepravdepodobne, mnohem vetsi problem je odposlech hesla napr. keyloggerem. A tam mi smajlici nepomuzou.
A od toho jsou klice.

Pridej - za bezpecne heslo se da dnes povazovat tak 12+ znaku, pokud je opravdu nahodne. Bavime se o situaci, kdy se offline snazim prolomit nejaky hash. U online je to samozrejme jina pohadka.

Prakticky neprolomitelná hesla nejsou problém ani s malými písmenky, teoreticky stačí číslice, ale ty se některým lidem hůře pamatují a matematici volí předvídatelná hesla.
Důležité je komplexní zabezpečení, heslo je fajn, ale samotné heslo nestačí. Spousta lidí význam a bezpečnost hesla podceňuje, ale někteří ho naopak přeceňují.

Nic vám nebrání nahradit smajlíky zástupnými znaky. Vaše heslo tak může místo H🙅t7z7U=🎓8c🌰712🍎8L🍵{ vypadat takhle:
H(nejakazenska)t7z8U=(cepice)8c(meteorit)712(jablkoslistem)8L(nudlovapolevka){
Jeho entropii to nijak nesníží, naopak, a bude to fungovat i na seznamu.

Takovému použití brání rozdílná datová velikost.Například symbol "🙅" zabírá 2 znaky, "nejakazenska" zabírá 12 znaků, přičemž hesla mají většinou nějakou maximální délku. Navíc heslo o stejné kapacitě (např. 20 znaků), které nepoužívá emoji bude vždy slabší než to, které emoji používá.Výhoda emoji spočívá v tom, že jejich znaková sada je velká, normalizovaná a má širokou implicitní podporu. To z nich dělá vynikající možnost pro uplatnění v heslech.Samozřejmě úplně nejlepší by byla nějaká "znaková sada pro hesla", která by obsahovala desetitisíce symbolů malé kapacity, které by byly normalizované jako standardní součást všech OS po celém světě. Zatím nic takového ovšem neexistuje. Ovšem i kdyby existovalo, tak stále bude fajn k tomu ještě stále používat i emoji, protože čím víc znakových sad heslo může obsahovat, tím je bezpečnější. Samozřejmě od developerů systémů a aplikací by měla být používat další znakové sady, jako emoji, jenom MOŽNOST, nikoliv povinnost. Osobně si myslím, že přístup "heslo musí obsahovat číslici, velké, malé písmeno..." je špatný a mělo by to být, spolu s odpovědností, čistě na uživateli.Jestli si někdo nastaví heslo "heslo", tak je to jeho problém a maximálně by jej na to měl upozornit nějaký javascript na pozadí front-endu webové aplikace nějakou hláškou typu: "Vámi zvolené heslo je velmi slabé a nedokáže Váš přístup zabezpečit. Doporučujeme použít silnější... V opačném případě se zkříkáme odpovědnosti za bezpečnost Vašeho přístupu."Jsem liberální a věřím, že člověk by měl k něčemu být násilím nucen jen ve velmi ojedinělých případech a jestli chce mít heslo "heslo" nebo "123", má dostat jen INFORMACI, ale jestli i přesto mu to za to stojí, tak jako inteligentní bytost by měl právo takové heslo mít. Stejně jako v automobilech by měla být možnost odblokování omezovačů rychlosti a různých "bezpečností", protože jestli někdo potřebuje valit 200+, mělo by mu to být umožňěno - třaba může vést někoho na urgentní příjem, třeba po něm může jít terorista s kalachem; možná by palubní počítač mohl odblokování kvůli bezpečnosti hlásit, ale stále myslím, že by měla být možnost s vozem v případě potřeby udělat cokoliv, co technicky lze, i za cenu jeho zničení, protože nikdo nemůže znát důvody proč se tak majitel rozhodl, ale on si za ně ponese následky a má mít možnost se rozhodnout.Podobně bych to viděl i s hesly a bezpečností. Jestli někdo vyšší bezpečnost nechce, ať ji nemá. Samozřejmě, pak provozovatel nesmí mít odpovědnost za zneužití přístupu.

Pochop, že heslo je jen x bitová informace kterou poskládáš z běžných znaků, skládat totéž z nějakých emoji je jen nesmyslná komplikace v ideálním případě bez vlivu na bezpečnost, v reálu a praxi spíš k horšímu.

Jenze serveru neposilas bity, ale obvykle unicode string(kodovany vetsinou jako UTF-8). A kdyz vyuzijes jenom U+0020-U+007A, tak se ochuzujes o spoustu znaku. Rainbow tabulky jsou obvykle predpocitane jen pro ascii, takze povoleni vsech unicode znaku znamena zvyseni bezpecnosti pri nizsim poctu znaku(v pripade, ze to uzivatel vyuzije). Nesmysl to rozhodne neni, ale je otazka, jakym zpusobem budes ty znaky zadavat.

Takže stačí jen počkat, až se odpovídajícím způsobem aktualizují rainbow tabulky.
Nevím, jak je to aktuálně se solením a rainbow tabulkami, jestli už solení nedělá problémy, ale jak to tak čtu, a musím vám dát zcela za pravdu v tom, že využívat pouze část znakové sady znamená zbytečně si snižovat entropii, tak jako ultimátní řešení vypadá solit pomocí emoji. Bulletproof

Rainbow tabulky na unicode je v dnesni dobe sci-fi - to je o mnoho radu slozitejsi, nez na ascii. Soleni samozrejme pomuze dost, ale kdyz se bude jednat o velkou sluzbu, na kterou nekdo bude cilene utocit, bude vedet sul a uniknou hashe, tak budou unicode hesla hodne velkou prekazkou.

Rainbow tabulky dnes uz nikdo vazne nepouziva, to byla zajimava zalezitost pred 10-15 lety.

Řešíte fakt úplný nesmysl. Souhlasím s jedinou věcí - jakmile se emoji staly znaky, je zcela legitimní používat je v heslech.
To ale neznamená, že je to rozumný nápad.Zopakuji to ještě jednou. Existuje hranice, kdy nemá smysl heslo zesložiťovat. Jakmile není slovníkové a má entropii odpovídající délce, od určité délky přestává být jeho složitost důležitá, protože největším rizikem se stává možnost jeho zachycení.Z těhle důvodů už máme přes 20 let asymetrické šifrování, a je trestuhodné, že vůbec dneska někdo vyvíjí systém, který takovou možnost nemá. Protože, a to se na mě nezlobte, heslo je technologie starověku, a to doslova, se všemi výhodami i nevýhodami. Jakmile mám privátní klíč, který je chráněn v k tomu určenému zařízení, heslo mám jen k jeho odemčení, a to mi riziko odposlechu značně limituje.Mimochodem, když jsme u toho starověku, i ve starověku měli emoji. Pobavila mě představa, jak se chcete dostat do faraonovy pokladnice, kterou ale hlídá stráž, a vaše vstupní heslo je 🙅🎓🌰🍎🍵. Tak to klidně mohlo být, vzhledem k symbolovému písmu

Na nekterych starsich OS a telefonech se proste nedaji zadat/zobraziz vsechny emoji symboly.Priklad muzu uvest Google Android 6.0.1 apod.Aby clovek pouzival takove heslo musi mit vzdy nove zarizeni nebo minimalne spravce hesel.

myšlenka zadávat do hesla emoji je trošku nepromyšlené:
- tuto možnost musí daný systém, či aplikace, nebo web podporovat. většina implementací podporuje jen zadání ascii znaků.
- zadávání emoji je problematické v systémech kde emoji nejsou podporované, nebo ta podpora není zapnuta a nemáš k dispozici práva abys mohl je použít. takže se nepřihlásíš.vzhledem k výše uvedenému se obecně nedoporučuje používat hesla s jinými než ASCII znaky. sám vím, že jsem zažil mnoho případů kdy uživatelé řešili se supportem že jim nejde zadat heslo a ani si nevšimli že měli anglickou klávesnici a pak si ani sami nebyli jisti jestli heslo obsahuje číslice nebo české národní znaky ...

Michal Zobec | Senior IT Consultant, ZOBEC Consulting | about.me/michalzobec

To uz opravili davno, ale takovouhle botu z pameti lidi jen tak neco nesmaze...

Ja nevim, nemam informace z druhe ruky. Pamatuju si to, protoze se mi to stalo - nechal jsem vyprset ucet a kdyz jsem si ho znova zaregistroval, byly tam moje udaje. To byla posledni kapka, kdy jsem si rekl, ze ucet na seznamu uz nikdy.

Nejste jediný, komu se to stalo, mám dokonce pocit, už je to drahně let, možná blízko k dvaceti, že mi právě poradil support vytvořit si ztracenou schránku znovu, že tam všechno najdu. Troufl bych si říct, že to původně byla i feature, v té době bych se ani moc nedivil. Každopádně Seznam se od té doby dost posunul, a vzhledem k tomu, že to byl svého času průkopník a rekordně dlouho dokázal vzdorovat Google, bych mu to i odpustil.