[ZBIRNA TEMA] GMail - pitanja, problemi...

[pootzko]

da, ti znaš bolje od cijele sile eksperata koji uporno upozoravaju na to kako ljudi koriste preslabe/prekratke/prejednostavne passworde =P

ti slobodno radi kako hoćeš, ali nemoj ljudima govorit da je 8 alfanumeričkih znakova dovoljno. primjerice 9 alfanumeričkih znakova se da razbit za 4 dana sa kućnim računalom. ako se radi o 10 znakova onda se to diže na oko 150ak dana. (barem je tako bilo prema istraživanjima koja sam čitao prije otprilike pola godine). uz to treba uzeti u obzir i da je danas moguće unajmiti cijelo čudo računalne snage za jako male pare... i eto problema. osim toga, treba uzet u obzir i sve snažnije grafičke kartice koje su dušu dale za takve stvari.. računala su sve jača i granice koje su vrijedile se pomiču. u nekoj situaciji tih minimalno 9 znakova će biti dovoljni, a nekada neće - ovisno o dodatnim mehanizmima zaštite. naravno suludi ekstremi kao 40 znakova za nekakvo bezvezno laptop računalo na kojemu nema ničega čisto eto enkripcije radi - nemaju smisla..

osim toga ne treba brkati samu jačinu passworda i kvalitetu implementacije ili osobe koja je (ne)oprezna... jer su to totalno odvojeni aspekti. što se tiče samih passworda ja mislim da je svakako jednostavnije ubaciti makar dva posebna znaka /&%$# nego nekoliko dodatnih alfanumeričkih koji će dati jednaku jačinu passworda (ako ju gledamo kao bit snagu)..

i naravno ovisi kako uopće koristiš (da li ih se pamti ili pohranjuje, odakle se logira itd..) i organiziraš svoje passworde i koliko ti je stalo do toga da ti ga netko ne ukrade ili ne probije..

[shrike]

Uf, da znam. Zato jer imam praktično iskustvo. Problem sa slabim šiframa nije u tome jer koriste 8 ili 10 znakova, već u tome jer koriste stvari tipa vlastito ime i prezime, datum rođenja ili ime ljubavnice. Ja ti kažem da je nebitno da li imaš 10, 1000 ili 10000000000000 znakova u šifri jer moj napad i razbijanje tvoje sigurnosti u računalu uopće neće ići preko toga da pokušam razbiti tvoju sigurnost putem razbijanja šifre. Zaboli me kolika ti je šifra i koje simbole koristi ili ne. To uopće nije faktor. Možeš ti sada tu filozofirati koliko hoćeš, ali ne ide filozofija protiv praktičnog iskustva.
Koliko dana ili godina treba za razbijanje šifre ovisi o tome koji set simbola koristiš, a ne koliko ih ti imaš u riječi. Ako ti je abeceda duga 10^21 onda ti je dovoljan jedan znak. 52^8 simbola je solidan broj kombinacija.

BTW, alfanumerički znakovi sa 8 simbola zahtjeva 700 godina. Dovoljno dobro.

[Abzeenth]

....jer moj napad i razbijanje tvoje sigurnosti u računalu uopće neće ići preko toga da pokušam razbiti tvoju sigurnost putem razbijanja šifre.

Ciljaš na social engineering pristup, ili nešto treće?

[pootzko]

Uf, da znam. Zato jer imam praktično iskustvo. Problem sa slabim šiframa nije u tome jer koriste 8 ili 10 znakova, već u tome jer koriste stvari tipa vlastito ime i prezime, datum rođenja ili ime ljubavnice. Ja ti kažem da je nebitno da li imaš 10, 1000 ili 10000000000000 znakova u šifri jer moj napad i razbijanje tvoje sigurnosti u računalu uopće neće ići preko toga da pokušam razbiti tvoju sigurnost putem razbijanja šifre. Zaboli me kolika ti je šifra i koje simbole koristi ili ne. To uopće nije faktor. Možeš ti sada tu filozofirati koliko hoćeš, ali ne ide filozofija protiv praktičnog iskustva.
Koliko dana ili godina treba za razbijanje šifre ovisi o tome koji set simbola koristiš, a ne koliko ih ti imaš u riječi. Ako ti je abeceda duga 10^21 onda ti je dovoljan jedan znak. 58^8 simbola je solidan broj kombinacija.

a ja ti kažem da ti nisi cijeli svijet oko kojeg se sve vrti i da će netko ići i na čisto razbijanje, a ti filozofiraj i brkaj metode napada i jačinu passworda koliko hoćeš =P

58^8 čovjeku možda djeluje impresivno, ali današnjim računalima više nije toliki izazov. korištenjem specijalnih znakova se znatno utječ na taj set znakova i samim time se znatno dobija na bit-snazi passwoda. ako u to ubacimo produljenje passworda sa 8 na recimo 12 znakova.. e onda već imamo nešto. čak i ako će se takav password pamtit, nije strašno zapamtit nešto od 12 znakova što ima 2-3-4 specijalna znaka unutra..

[jjj]

Kako se ne bismo samo razbacivali tvrdnjama, evo vrlo zgodnog članka. Jedini je problem što je navedeni hardver malo zastario, no ako se držite onih omjera duljine i kompleksnosti koji na toj listi prave probleme klasi F (distribuirana i superračunala), vjerojatno ste sigurni :)

[shrike]

a ja ti kažem da ti nisi cijeli svijet oko kojeg se sve vrti i da će netko ići i na čisto razbijanje, a ti filozofiraj i brkaj metode napada i jačinu passworda koliko hoćeš =P

Poznato mi je, imam u potpisu. Želim reći da uvijek moraš gledati čitavu situaciju, a ne samo dio nje i inzistirati na jednom dijelu; konkretno, ovdje na duljini šifre van granica 8-10 znakova. Velim ti da ne filozofiram već sam nekoliko puta u edukativne svrhe zaobišao password prompt i dobio root ppristup na remote i lokal klijentu (uvijek sma instalirao BOINC klijent da računa rosetta i docking). Ni jedan put me šifra nije zanimala, pa baš zato kažem da je dovoljno duga šifra od 8 simbola (jer 700 godina ipak je solidan broj) i da bi se trebalo uvijek investirati u CJELOKUPNU sigurnost umjesto sve nade polagati u kvalitetu šifre.

62 Characters

Mixed upper and lower case alphabetic characters plus numbers.
692 Years

Znači, u pravu sam.

[shrike]

Mislim da bi sada, umjesto da se počnemo svađati u stilu neke beskonačne petlje gdje svatko pokušava dokazati da je u pravu pošto-poto, trebali ipak prodiskutirati kako povećati sigurnost na računalu i email računima. Što kažete dečkovi?

[iweb]

Meni lozinku za mejl u kojem imam i dosta poslovnih sadržaja zna par najbližih prijatelja i obitelj. Ta lozinka mi je zapravo za sve ozbiljnije stvari koje imam i zapravo mi je dosta stalo da ju ne otkrije nitko. Lozinku zasada mi nitko nije otkrio... A kako povećati razinu sigurnosti? Koristi dobru lozinku. Napiši par rečenica(npr. Mačke su fuj. Volim pse. Oni su super. ) i njihova početna slova (npr. MsfVpOss). Između rečenica stavi broj-dva(npr. Msf29Vp48Oss). Slova probaj zamijeniti brojevima ili znakovima( npr. S = $, E = 3 ili €, L = Ł, V = \ / O = 0, I = ona tam crta na W | i sl. lozinka bi izgledala: M$f29\/p480$$). Stavi par brojeva na početak i na kraj: (11M$f29\/p480$$). I što si dobio? Lozinku od puno znakova koju možeš koristiti i vjerovati da ju nitko neće koristi. Samo nemoj uzet ovu... 11M$f29\/p480$$

[jjj]

Znači, u pravu sam.

Yep, ali namjerno naglasih klasu F - podatak koji si citirao se odnosi na slučaj kada se probijanje odvija na P100 tj. "10,000 Passwords/sec".

Čini li se i tebi da vas dvojica raspravljate povezanu, ali ipak različitu stvar? Ti si fokusiran na ukupnu sigurnost (iliti, kakva korist od jakog passworda ako su razni drugi putevi do roota otvoreni), dok se on fokusirao isključivo na snagu passworda (što je shvatljivo obzirom da je ovo topic o hakiranom Gmailu, a njega se može zaštiti samo passwordom (što još uvijek ne znači da je to ujedno i jedina vrst napada, naravno)) - pa ste oboje u pravu. :)

Ako se ne varam, na HOW-u se nalazi tvoj članak o sigurnosti, pa bi oni koji prihvate tvoj prijedlog u zadnjem postu mogli početi s dodavanjem informacija tamo.

[shrike]

Yep, ali namjerno naglasih klasu F - podatak koji si citirao se odnosi na slučaj kada se probijanje odvija na P100 tj. "10,000 Passwords/sec".

Ajmo reći da je "realno" klasa D što daje 253 dana. Čak i da je E klasa sa 25 dana, mislim da je to dovoljno dobro za "normalne" svrhe. Želim reći, tko god je voljan pustiti računalo 25-250 dana na 100% CPU utilizacije kako bi razbio tvoju šifru ima JAKO, JAKO dobar razlog zašto to radi koji sigurno nije "iz znatiželje" kao moji eksperimenti. U takvom slučaju, definitivno ne bih išao na brute force, ali kada bi, jer ne bi bio svjestan druge metode, onda definitivno postoji ne-trivijalni razlog i definitivno treba gledati kompletnu sigurnost. Ovo ekstra vrijedi ako netko ima superračunalo koje je uposlio kako bi razbio nečiju šifru.

Ako se ne varam, na HOW-u se nalazi tvoj članak o sigurnosti, pa bi oni koji prihvate tvoj prijedlog u zadnjem postu mogli početi s dodavanjem informacija tamo.

Mislim da bi to bilo jako dobro.