Vlákno názorů k článku Hyper-threading je mrtvý, zámečky v prohlížečích nikoho nezajímají od Riman - Vždycky mě pobaví, když si čtu rady, jak...

Vždycky mě pobaví, když si čtu rady, jak vytvářet bezpečná hesla. Jak používat v hesle mezery, celé věty, jak je mít jedinečná a bez vzoru... což je jako idea krásné, ale poněkud to naráží na realitu. Protože uživatel o parametrech konstrukce hesla nerozhoduje, on se jim pouze přizpůsobuje.
Schválně jsem si spočítal, kolik různých loginů mám, a došel jsem zhruba ke 160. A to ještě pro některé služby vedle vlastního hesla máte nějaký PIN nebo dokonce několik PINů. Zapamatovat si takové množství unikátních přihlašovacích jmen a hesel je zcela mimo možnosti běžného uživatele. Takže zbývá jedině využívat nějaké správce hesel a nebo si všechny údaje zapisovat. První možnost kvůli závislosti na dalším SW nepoužívám, takže je jasné, u čeho jsem skončil.
Požadavky na konstrukci hesla se systém od systému liší, nicméně typicky je mezera zakázána, maximální délka hesla omezena a většina služeb odmítá diakritiku. Když se snažíte omezit počet unikátních hesel na minimum (abyste si je zapamatovali), pak skončíte na průniku povolených znaků a délce, které z dnešního pohledu lze jen těžko označit za bezpečné.
Takže po letech hledání vhodného přístupu jsem skončil u toho, že mám 2 hesla - jedno pro citlivé služby, které pravidelně měním a je bezpečnější, a druhé pro ostatní služby, které měním v 1 - 2 ročním intervalu. Drtivá většina těch citlivých používá dvoufaktorové ověření, takže případný průnik tak jednoduchý nebude, u těch ostatních jsem se zkrátka s rizikem smířil. V prohlížeči na svém počítači mám hesla předvyplněná, jinde se v případě selhání paměti (a výjimek, kterých není málo) můžu podívat do souboru. Jsem jen člověk...

Je samozřejmě chyba, pokud služba zakazuje použití některých znaků. Nový standard od NIST tohle nedoporučuje, naopak říká, že se má uživatel nechat vymyslet heslo třeba z emoji. Technicky není důvod mu to zakazovat.

Mít dvě hesla je velmi nebezpečné, protože ta hesla prostě unikají. Stačí, aby ta jedna „důležitá“ služba přišla o databázi a máte zásadní problém. Mnohem lepším řešením je správce hesel (dnes je zabudovaný do prohlížečů, například) a mít naprosto unikátní heslo ke každé službě. Já to tak mám mnoho let, žádné heslo neznám, ani jedno se nikdy neopakuje. Kompromitací jsem zažil několik (v těch službách), ale nikdy to nepředstavovalo problém, protože služba heslo resetne a já si to jedno jediné heslo vyměním.

To naráží na schopnosti uživatelů. Masy zvládají asi tak čtyřmístný PIN na platební kartě (ani tam si netroufnou jít dál). Užívání správce hesel je utopie. Možná se chytnou prohlížeče s jejich interními úložišti (a synchronizací) - ale tam zůstává diskutabilní bezpečnost.

Jako rozumná kombinace pohodlí se dnes jeví 2FA + zapamatování ověřeného počítače. Uživatel nemusí ověřovat 2FA při každém přihlášení, ale pouze na stroji, kde se přihlašuje poprvé.

Trvání na odlišných heslech ve skutečnosti bezpečnost nezvyšuje tak moc, jak se zdá. Pouze přenáší odpovědnost od poskytovatele na uživatele. Když uživateli někdo prolomí trezor, poskytovatel si umyje ruce. Je to víc alibismus, než skutečná bezpečnost. (Skutečná bezpečnost by byla, kdyby vznikly standardy, jak mají s hesly zacházet poskytovatelé).

Používání správce hesel nesnižuje bezpečnost, i když tím spousta lidí argumentuje. Slýchám to i na školeních. Ve skutečnosti nezvyšuje zranitelnost vašeho počítače, jehož kompromitace je katastrofou v každém případě, bez ohledu na kvalitu hesel. Tady je výsledek 1:1.

Ovšem použití správce hesel eliminuje riziko celkové kompromitace na všech službách, které používáte. Pokud tam máte unikátní heslo, je vám jedno, že dané službě uniklo. Prostě si ho tam vyměníte. Tady je výsledek 100:0.

Celkově je tedy zápas 101:1 ve prospěch správce hesel, ať už je v jakékoliv podobě. Per Thorsheim na přednášce říkal, že lidem doporučuje klidně používat na hesla notýsek, pokud nezvládnou obsluhovat správce hesel. Je to pořád bezpečnější stav, než mít na stovce služeb dvě velmi podobná hesla.

Obecně s vámi souhlasím, ale zajímalo by mě, z jakých zařízení se přihlašujete. Podporuje váš správce všechna? Nikdy se nehlásíte z cizích zařízení? Pokud hesla sám neznáte, jak jste psal v jiném příspěvku, pak jste na tom SW zcela závislý.

"Skutečná bezpečnost by byla, kdyby vznikly standardy, jak mají s hesly zacházet poskytovatelé"

OK, tak v tom případě by bylo pro uživatele nejlepší... wait for it... mít stále dlouhá unikátní hesla s velkou entropií.

Navíc ty standardy existují, vydává je například zmíněný NIST, který je považován za globální autoritu. V NIST Special Publication 800-63B se například tohle řeší velmi podrobně včetně toho, jaké hašovací funkce mají být použity, jak se má solit a podobně.

Ovšem standardy samy o sobě nic neřeší. Když sem na Roota dám formulář a napíšu k němu, že se nemusíte bát, že děláme všechno správně podle doporučení a standardů, tak mi tam stejně napíšete svoje heslo do banky. Stejně musíte počítat s únikem, používáte desítky či spíše stovky služeb. Standard nezajistí kouzlem bezpečnost všech. Lepší je zařídit si bezpečnost u sebe.

dvě hesla bohatě stačí. Jsem na tom podobně jako pisatel výše, mám přes 150 různých účtů. U 99% z nich jsem heslo vytvořil jen jednou, při založení. Hesla mají 32 znaků (pokud to umožňuje jejich systém, malá, velká písmena a speciální znaky). Na Apple používám Keychain, cross OS pak KeyPass. Některé účty nemají heslo změněné i přes 10 let a nikdy jsem neměl žádný problém a mít nebudu ;-). Banky jsou díky nařízení EU jinde, tam to chce i mobil ;-( a další zh*vadilosti... U systémů, kde pravidelně vyžadují změnu hesla používám složeninu tvaru "AktuálníMěsícRok". Jestli někomu pomůže, když mi "ukradne" účet na root.cz, tak ať si to užije... ;-)

Admini, organizace a EU by si měla uvědomit, že je to můj účet a á budu rozhodovat o tom, jak si ho nastavím. Pokud mne rádoby "security" nezajímá, je to moje věc, neměli by mě nutit jejich názory. Znám pár případů, kde klient požadoval min. 12 znaků (jak malá, velká tak speciální znaky) a ve finále, když jsem pak viděl, že jsou hesla uložena v DB v plain textu... :-D

"Admini, organizace a ... by si měla uvědomit, že je to můj účet a á budu rozhodovat o tom, jak si ho nastavím. Pokud mne rádoby "security" nezajímá, je to moje věc, neměli by mě nutit jejich názory"

Tvůj účet... na jejich systému.

Prostě správce hesel pro drtivou většinu hesel je dnes jediné schůdné řešení.

To je otázka. V některých případech může být myslím lepší notýsek s mnemotechnickými pomůckami....
Problém správce hesel může být taky v jeho unifikovanosti, útočník ví, na co útočí a ví jak přesně se k tomu dostat (případně i s využitím jiných metod).

Tohle rikam uz léta (napsal jsem o tom i blog), že všechny ty požadavky na hesla jsou nesmysl a nedodržují je ani ti co tak blahosklone kážou. Nakonec jsem skončil u dvou vecí.
a) všechna hesla ja i cela rodina píšeme do sešitu který je v šupleti, je to na důvere a hlavne když se mi neco stane rodina se dostane k mím účtům. Jenom 2 hesla tam nejsou ;o)
b) vetsina nepotrebných hesel je uložena ve správci hesel firefox, když je potrebuji videt kliknu na ukaž heslo

Hesla si nepamatuji.