Názory k článku Nový standard pro přihlašování: nenuťte uživatele měnit hesla

Že to heslo bylo díky tomuto pravidlu o čtyři znaky delší? ;)

Tam bezpecnost porusuje uz prvni veta.

mkrni na kontext, bavíme se o přihlášení a myšlenka byla, že biometrika není heslo, ale jméno (ať už jakkoliv spolehlivé, ale to přihlašovací). Není tajná a není možné jí změnit, heslo nahrazovat nemůže.

ehm, samozrejme jsem chtel napsat: Je to jen "priblizna identifikace".

Nějak tomu chybí vyčíslení přesnosti identifikace. Je to na úrovni čísla účtu + čtyřmístnýho PINu v obyčejným dopise jako u Wustenrotu? Lepší, horší? Jaký je poměr cena/složitos­t/spolehlivos­t?

PIN sa da zmenit, prst nie

U Wustenrotu je to nastejno. Pin na portále nezměníš.

No jo, ale useknutý PIN bolí řádově míň, než useknutý prst...

K bezpecnosti otisku prstu
https://www.root.cz/clanky/postrehy-z-bezpecnosti-objeven-univerzalni-otisk-prstu/

Ale úplně stejná situace je u hesla. Zločinec ti usekne prst a když heslo neřekneš, tak další. Tento argument je naprosto hloupý.
Zločinec když bude chtít aby jsi mu odemkl něco prstem, tak ti jen pohrozí, mačetou a jedno co s ní udělá, to zařízení mu odemkneš, ať už je chráněný heslem, nebo otiskem prstu. Výsledek je úplně stejný.

Tak ono vždy záleží na tom před kým se chráním, když jdu do hospody s kamarády tak otisk prstu na odemykání telefonu naprosto stačí a je to lepší než třeba tvar nebo pin, ale pokud bych s tím chtěl ověřovat přístup do bankovnictví tak mi to příjde nebezpečné. Přeci jen pin (heslo) mám v hlavě, zatímco otisky prstů zanechávám všude kde se dotknu, to je jako bych měl heslo na papírcích a měl s nima polepený byt, kancl, auto ... Hesla na papírku nepříjdou bezpečná snad nikomu.

Jen jste mi připomněl.

Před několika lety jsem dělal na předplacených kartách pro mobilní opreátory. Někteří operátoři si stanovili pravidla, jak má vypadat bezpečný PIN (nesmí to být posloupnost cifer, nesmí se opakovat cifra, nesmi to být datum narození, ...) Někteří operátoři to přehnali až tak, že ty "bezpečné" PINy šlo spočítat na prstech jedné ruky.

Souhlasím, že nastavená pravidla je třeba posuzovat dle toho, jak se ve skutečnosti projeví na chování uživatelů.

Taktéž souhlasím s tím, že pokud je to možné, nemá smysl omezovat maximální délku hesla či dokonce zakazovat určité znaky, ale má stále smysl hlídat složitost hesla (a to třeba minimální délkou, slovníkem, mírou entropie atd.)

Ale rozhodně nesouhlasím s tím, že nemá smysl pravidelná změna hesla v prostředí, kde není použita 2FA (a to už z jakéhokoliv důvodu). Taktéž na to nemám studie, ale nedokážu si představit situaci, kdy po zjištění že heslo se musí měnit si jej nastavím jednodušší. I používání hesla + patternu bezpečnost zvýšší a to při mnoha reálných situací.

Samozřejmě pokud budeme blokovat účty, mít zavednou 2FA a silné hashování, pravidelná změna ztrácí na významu.

zkombinuju jméno psa a rok narození manželky, vznikne z toho algoritmicky zdánlivě ne úplně jednoduché heslo, které ale kde kdo z mého okolí může uhodnout.

Souhlas, není to všespásné, ale řeší to aspoň něco.

Změna hesla se dělá v případě podezření na jeho kompromitaci.

Ano, mimojiné. Jenže ne vždy je možné kompromitaci detektovat. Pravidelná změna hesla pak útočníkovi zkrátí dobu přístupu k systému. Navíc pokud třeba kolega zjistil náhodou moje heslo a zapamtuje si jej, může jej využít při vhodné příležitosti proti mě (třeba až ho navštvu nebo bude z práce vyhozen).

Ochota k vynaložení té námahy je přímo úměrná důležitosti, jakou dotyčný heslu přisuzuje. Pro daný kontext (systém) můžeme tedy tu ochotu k nějaké námaze považovat za konstantu. A teď si můžeme vybrat – spotřebuje tu námahu, kterou je dotyčný ochoten vynaložit, na to, aby si zapamatoval a používal složité heslo? A nebo ji vyplýtvá na neustálé zbytečné změny hesla a zapamatovávání si nového hesla?

Tak předpoklám, že se tu celou dobu nebavíme o účtu na nějaké sociální síti (vzhledem k tomu, že se jedná o doporučení NIST).

uživatel používá kvůli nucené změně jednoduché heslo s odpozorovatelným vzorem.

To je vaše doměnka, že bude používat jednoduché heslo. Já spíše předpokládám, že si zvolí složité heslo a pak jej přinejhorším doplní patternem - jenže aby útočník zjistil pattern, musí zjistit více předchozích hesel.

"Ano, mimojiné. Jenže ne vždy je možné kompromitaci detektovat. Pravidelná změna hesla pak útočníkovi zkrátí dobu přístupu k systému."

To je odvážná hypotéza. Trochu si ji rozvedeme:

Útočník hledá heslo. Tzn. 1 z N kombinací, která ho pustí do systému. Má dvě možnosti, jak to udělat:
a) Nabořit ten systém, stáhnout tabulku uživatelů a louskat u sebe (to je omezeno na prodej hesel, protože když už takhle naboří databázi, není problém dělat tam cokoliv jako kdokoliv i bez hesla).
- Pokud je heslo dobře posoleno a použitá silná hash funkce, tak musí použít pro každý heslo z tabulky brute force a to je námaha, která se mu nevyplatí. Pokud v mezičase nezměním heslo, tak co? Dostane se k němu za trilión let, kdy už bude irelevantní?
- Pokud jsou v db hesla v plaintextu, tak omezení doby platnosti udělá jenom to, že aktuální heslo omezí časově. Ale útočník vidí délku, ví, že se heslo mění po třech měsících a dostane se k db hodí diff a vyskočí na něj přímo systém, jakým uživatelé mění hesla. Když mění čísla na konci o jedničku, může hodit k prodávaným heslům poznámky (udělá to klidně skriptem) a i tyhle hesla jsou pak dobře prodejný.
Takže jak psal Jirsák, řešit slabinu, ne obtěžovat uživatele.
b) Zkouší se náhodně přihlásit. Tam je v moci služby, aby hlídala možnost útoku (např. porovnáním poměry úspěšných/neús­pěšných zadání hesla) a pokud se poměr dostane nad nějaký daný číslo, není přece problém hodit uživatelský účet do "attack módu", kdy vezme login jenom z posledních třeba tří IP adres, odkud se uživatel přihlásil naposledy a pošle mu info v mailu, že na něj někdo útočí a že z toho důvodu je tam to a to omezení. Furt to není důvod měnit heslo.

A k tomu hledání kombinace 1 z N:

Představ si, že hledáš PIN (čtyři čísla) a z nějakýho důvodu jich může uživatel vyzkoušet jenom 100 měsíčně, postupuje tak, že hodnotu 0000 inkrementuje. Uživatel musí změnit PIN 1x za měsíc.

Leden: PIN je 0157, útočník projde rozsah 0000 - 0099, neuspěl
Únor: PIN je 5421, útočník projde rozsah 0100 - 0199, změna odrazila útok
Březen: PIN je 3773, útočník projde rozsah 0200-0299, změna nepomohla, ani neublížila (takhle to bude ve většině případů)
Duben: PIN je 0358, útočník projde rozsah 0300 - 0358, uspěl, změna mu pomohla

S heslem to funguje stejně. Nevíme ale, jak útočník generuje hesla ke zkoušení, nevíme, jaký je jeho progres. Většinou by beze změny neuhodl, změna ho může odrazit, nebo nahrát na smeč, a dopředu to nejde určit. Takže jako prevence je to mimo.

K bodu b), resp. k tomu hledání kombinace 1 z N - to je přece jinak. Uživatel a útočník konají nezávisle (-é pokusy). Při Vámi stanovených omezeních je úplně jedno, jaký PIN si zvolí uživatele a jaké kombinace vyzkouší útočník. Pravděpodobnost uhodnutí bude každý měsíc stejná, ať si útočník zvolí kombinace jaké chce, klidně může zkoušet tytéž pořád dokola (viz kombinatorika, střední škola).

Ano, šance se nemění. Pořád se snaží trefit 1 z N možností a vyzkouší nějakou obecnou podmnožinu M možností. V ní heslo je, nebo není.

Ale protože neznáme M, můžeme jenom říct, že obecně je šance N/M. S tím, že změna hesla může hledaný heslo jak dostat z množiny M (argument, který používají zastánci pravidelné změny hesla), tak je naopak dostat do M (argument, který odmítají slyšet zastánci pravidelné změny hesla).

A protože pravděpodobnost výskytu hesla v M před a po změně hesla je stejná, není důvod pro preventivní změnu.

2FA s tím samozřejmě souvisí – účinně brání vzdáleným útokům na hesla, stejně jako blokování hesel nebo silný algoritmus v případě úniků hashů.

To je možné. Pak je ale ještě potřeba najít souvislost mezi vzdálenými útoky na hesla a pravidelnou změnou hesla.

Tak to jsem myslel že je snad jasné: pomalé slovníkové nebo bruteforce útoky.

Jirsak, zase davas najevo svoji blbost?

On totiz heslo musi leckdo leckde leckam zadavat za pritomnosti jinyho osob, ne kazdej ma kancl sam pro sebe ... takze jednoduse s casem roste pravdepodobnost, ze to jeho heslo nekdo odkouka.

Dalsi aspekt je ten, ze se casem meni algoritmy sifrovani, ale kdyz zustava stale stejny heslo, tak potencielnimu utocnikovi staci, kdyz jednou jedinkrat heslo nekde odposlechne a vymena algoritmu neresi pak vubec nic.

Samozrejme ze je lepsi misto hesel pouzivat klice (s heslem), protoze pak se vymenujou ty klice.

No a? Osobně vyplňuji bezpečnostní otázky vždy mezerou, nepotřebuji je.

Tak samozřejmě, že když budete znát přihlašovací údaje tak toho můžete využít, když zároveň budete znát čím konkrétně šulím bezpečnostní otázky. Nicméně když je budu šulit, ale nebudete vědět čím, tak je Vám to úplně k ničemu. Jaký je pak rozdíl mezi bruteforcováním hesla nebo bezpečnostních otázek?

S tím, že je to velmi často email nemohu souhlasit, osobně služby, které požadují email jako login nepoužívám až na pár výjimek, kde není zbytí.

Ano, já jsem to napsal. Kdybych to nenapsal, tak to nevíte a můžete si to louskat stejně jako heslo.

Nedal, protože většinou není možná. V případech že šulím hesla tak používám passw0rd, protože to projde většinou dementních pravidel. Bohužel v poslední době se totiž rozmohl nešvar, že abych si jednorázově z nějakýho webu něco stáhl nebo něco přečetl, tak si musím udělat účet a tam si to nic lepšího nezaslouží.

Pro povinne registrace na jednorazove veci doporucuju sluzby typu mailinator - verejny email bez hesla...

To mas ale spatne, protoze odpoved na libovolnou otazku je ... 42

Jenomže tyhle kolize jsou právě nebezpečný kdykoliv. Pokud máš hash a dokážeš vygenerovat data, co dají stejný výsledek, je ti úplně jedno, že je to xorovaný konstantou. Prostě chytrneš, co se přenáší (= 192b dlouhá hodnota -> MD5), vygeneruješ jakýkoliv data, kde je stejný MD5 a je hotovo. Proto je lepší rovnou použít SHA-2 z osolené hodnoty a nevymýšlet rovnáky na ohybák.

A ohledně hádání hashovaných hesel, běžně se používají "rainbow tables", tj. tabulky nejběžnějších hesel a u nich hashe. Neboj se, že lumpy nenapadlo použít hash. Proto se používají nonce a salt, ty vyřadí duhovou tabulku ze hry...

Furt mě nechápeš. Známé/reprodu­kovatelné kolize/inverze heše vadí např. u elektronického podpisu. Známé/reprodu­kovatelné kolize/inverze naopak nevadí např. u generátoru pseudonáhodných čísel/hesel (to je přesně tohle využití), u indexů do hash tabulky v datové struktuře a já nev ím kde všude ještě. Bezpečnost md5 je v tomhle zcela stejná jako bezpečnost sha-2 úplně stejná jako jakékoli jiné funkce co dostatečně divoce mapuje String na číslo pevné velikosti.

No, dobře, není to jedno :-) Když hacknu seznam,cz a z md5("seznambram­bora39") si teoreticky spočítají asi tak 10000 obrazů z nichž jeden bude "seznambrambora39" a můžou pak odhadnout "googlebrambora39" a spočítat md5("googlebram­bora39") a zkusit to na google. Takovému hackerovi to přeju. A nebo nepřeju a místo md5 budu počítat vlastní výraz, kde nikoho nenapadne počítat inverzi. To je přesně to, co jsem psal. SHA-2 netřeba.

A co použít nějakou funkci, kde ho sice napadne počítat inverzi, ale neumí to? Tvůj postup je jako nechat na dveřích baráku profilový klíč s tím, že zloděje nenapadne si koupit hotový klíč v trafice přes ulici za 20 Kč. Pak to jedou jednoho napadne a jsi v pr...

Podle domény a tvých znalostí začínám tušit, kdo to s tím heslem do S24 tak pohnojil (viz výše).

Nejlepší je ovšem nacpat tam nějakou funkci, které ho vůbec ani nenapadne. Pak je "seznamheslo123" bezpečné.

A co když ho napadne jiná funkce, která dá stejný výsledek? XORování se chová jako sčítání, je asociativní, komutativní a distributivní..

A hodně záleží na chování té funkce. Řekněme, pro zjednodušení, že máš "hashovací" funkci, která z max. 64 znaků hesla dělá 64b číslo. Ale znaky na pozici 3-7 mění jenom bity 15, 22 a 47. V té chvíli není potřeba hledat pět znaků uprostřed hesla (pro tisknutelný ASCII 7 737 809 375 kombinací), ale jenom osm kombinací libovolných znaků, pro každou kombinaci bitů jednu. Funkci totiž bude jedno, jestli do ní narveš "xyz12" nebo "ab789", když odpovídající bity nastaví stejně.

Pokud má útočník možnost něco do tvé funkce naládovat a sniffnout výsledek, je triviální sledovat, jak se promítne zkracování nebo prodlužování hesla, co se stane, když změní jenom znak na n-té pozici,... Řekněme, že tuhle chybu odhalí po 500 pokusech o spočítání té tvojí super funkce. Dalších 500 pokusů potřebuje, aby našel všech osm kombinací pro nastavení odpovídajících bitů.

Když uživatel použije osm znaků, se standardní, neprolomenou hash funkcí (= každý byte míchá všechnny bity) a ASCII má cca 6,6E+15 (= 95^8) kombinací. S tou modelovou funkci jenom 6 859 000 (= 8 * 95^3). Nepřijde ti ta vlastní funkce jako dírka do zabezpečení? Fakt si troufneš navrhnout a otestovat dost bezpečnou funkci?

Jak ten útočník útočí? Co má a co chce zjistit?

Stále nechápu, co je špatného na tom mít databázi hesel (která bude sama zašifrovaná) a tu otevřít a zkopírovat si heslo podle potřeby - klidně taková databáze může být prostě jenom zašifrovaný textový soubor (Keepassx ostatně není nic jiného, než specifický editor pro zašifrovanou databázi)

Pokud si nedokážete nastavit firewall a necháte někoho odposlouchávat jaké klávesy jste stisknul a kam jste kliknul myší na obrazovku, tak pak je vám jakékoliv heslo (či jakákoliv jiná ochrana) principiálně k ničemu.

To že tajné služby jako NSA a CIA se snaží ovlivnit HW už na straně výrobce je bohužel smutný fakt (kdo nevěří a myslí si že jde jenom o konspirační teorii a že jsem ruský agent, nechť si vyhledá na internetu spojení "CIA Vault 7", nebo se alespoň nevyjadřuje... díky) kterému se normální uživatel těžko bude bránit. Na druhou stranu - tyto služby by ovládnutí počítače využily až u konkrétního cíle (tj. dle potřeby) a nikoliv při hromadném sběru dat.

správce hesel, který umí i hesla vyplňovat do formulářů se nenechá tak snadno nachytat na podvrženou stránku s jinou doménou jak ty. Dávat heslo do schránky, ke které má přístup každá spuštěná aplikace také není zrovna vhodné.

Nastavení firewall mě moc neochrání před tím, že nějaká aplikace pošle na 443 moje stisknuté klávesy. Aplikační firewall zase bývá dost děravý.

"správce hesel, který umí i hesla vyplňovat do formulářů se nenechá tak snadno nachytat na podvrženou stránku s jinou doménou jak ty."

Můžeš to nějak dokázat?

"Dávat heslo do schránky, ke které má přístup každá spuštěná aplikace také není zrovna vhodné."

Pozná ta "jakákoliv aplikace" z kontextu, že jde o username nebo heslo ke konkrétní stránce? Pokud dokáže navíc monitorovat, že přepínáš mezi správgcem hesel a konkrétním tabem prohlížeče, už je to o něco složitější, než keylogger, že...

Navíc třeba KeePassX po 10s maže schránku. Takže tam heslo nezůstane viset...

A stejně se dá argumentovat, že zadávat heslo na klávesnici, která se používá pro ovládání všech aplikací, není zrovna vhodné...

"Nastavení firewall mě moc neochrání před tím, že nějaká aplikace pošle na 443 moje stisknuté klávesy. Aplikační firewall zase bývá dost děravý."

Tak co navrhuješ? Neprolomitelný přihlášení neexistuje...

"správce hesel, který umí i hesla vyplňovat do formulářů se nenechá tak snadno nachytat na podvrženou stránku s jinou doménou jak ty."

LastPass i Keypass vyplňují heslo podle adresy, na které se formulář nachází. Oba měli v minulosti jisté problémy s odevzdáním hesla i jinám, ale to bylo opraveno. Jen tady na rootu v nedávné době vyšlo několik článků, kde jsi také komentoval, ohledně zaměnitelnosti domén a složitém rozpoznání, jestli používám tu správnou vč. příkladů.

Dalším aspektem je třeba vyplňování přihlašování v rámci oauth v mobilních aplikacích, ty in-app weby s přihlašování na google jsou bezva, nevidím tam totiž v řadě případů adresu webu, kam vyplňuji svoje heslo. Řešení, že se nejprve v prohlížeči přihlásím, abych nemusel z aplikace dělá málokdo. Správce hesel, který to vyplní podle adresy webu je řešením.

"Dávat heslo do schránky, ke které má přístup každá spuštěná aplikace také není zrovna vhodné."

Aktivní tab a jeho adresu v Chromu zjistím i bez admin práv. Hodit regulár na email a poté určitou délku řětěžce není tak velký problém, mohu uložit více kombinací. Snímat schránku každé 1s a kontrolovat, který obsah je nahrazen prázdným řětězcem po 10s je triviální. Ano, přesně tak, HW token (klidně OTP) může být řešení. Tohle je ale hodně extrémní příklad, spíše je riziko poslání hesla ze schránky omylem, to řeší těch 10s u keypassu.

"Nastavení firewall mě moc neochrání před tím, že nějaká aplikace pošle nabeza 443 moje stisknuté klávesy. Aplikační firewall zase bývá dost děravý.

V tomhle případě kontrolu a obeřetnost, rozhodně ale netvrdím, že schopnost nastavení FW v tomhle tak velkou roli, jak tvrdíš.

"správce hesel, který umí i hesla vyplňovat do formulářů se nenechá tak snadno nachytat na podvrženou stránku s jinou doménou jak ty."

Proto např. u internetového bankovnictví chodím nejprve na Keepassx, který mi nabízí i možnost "Open URL"

"Dávat heslo do schránky, ke které má přístup každá spuštěná aplikace také není zrovna vhodné."
Souhlas. Faktem ale je, že třeba Keepassx umožňuje heslo se schránky vymazat (defaultně je to myslím 10 vteřin). A pokud by mi i tohle bylo málo, tak se jednoduše na to heslo můžu jenom podívat, nic nekopírovat a opsat do formuláře - není to o nic horší, než mít heslo někde na papírku.

@Petr: chcel by som oplyvat tvojou naivitou ze nastaveny firewall ti urobi zabezpecenu siet odolnu proti fishingu, blbym uzivatelom, zero day exploitom. Kazdy prvok pocitaca, siete, od HW od Cisca, cez Intely a aj ine obskurne firmy ma milion dier. Dobre nastaveny firewall? HAHAHA.
A iste nikoho nezaujimaju hesla ferka z dolnej bzovej. Databaza hesiel a konkretne keepass uz diery mali, ste si isty ze ich teraz uz nemaju. HAHAHA. No proste vasa uroven naivity nema nic spolocne z realnym svetom.

"nastaveny firewall ti urobi zabezpecenu siet odolnu proti fishingu, blbym uzivatelom, zero day exploitom"

Nic takového jsem nikdy netvrdil. Když si pročtete vlákno ještě jednou, zjistíte, že se tam o firewallu zmiňuji v kontextu toho, že vám nějaká pochybná aplikace bude monitorovat stisknuté klávesy a posílat je nějaké třetí osobě - toto už je skutečně správně nastavený firewall schopný pořešit.

"Kazdy prvok pocitaca, siete, od HW od Cisca, cez Intely a aj ine obskurne firmy ma milion dier"
Samozřejmě - a všichni to víme. Proč mě sem píšete takovouto věc - k čemu se to má vztahovat ?
Rozumně nastavený firewall je základ zabezpečení sítě - a nijak nesnižuje důležitost ostatních prvků.

"A iste nikoho nezaujimaju hesla ferka z dolnej bzovej."
Jistě že zajímají. Jinak by se různá uniknutá hesla k nejrůznějším službám neprodávala na darknetu, že jo.
Navíc díky Snowdenovi víme, že NSA se snaží zachycovat všechno co může.
Pokud "férko z dolní bezové" bude pracovat pro společnost na kterou se útočník (ať už to bude kdokoliv - hackeři, tajné služby, ...) zaměří, tak daty "férka z dolní bezové" rozhodne nepohrdne - ať už těmi osobními, nebo pracovními.

"Databaza hesiel a konkretne keepass uz diery mali, ste si isty ze ich teraz uz nemaju"
Opět to stejné - každý komplikovaný SW má chyby. A i kdyby se chyby neprojevovaly, tak bude mít snadno zneužitelné části - rozumný návrh může pouze počet takovýchto zneužitelných míst snížit, nikdy ale ne eliminovat.

"No proste vasa uroven naivity nema nic spolocne z realnym svetom."
Co je naivního na přístupu, že firewall je základem bezpečnosti na internetu ???

Jinak musím říct, že vás chápu. Vy jste ten typ, který si výrok druhé osoby přeloží do svého vidění světa (moje implikace v předchozích příspěvcích, že firewall je základem ochrany počítače připojeného k síti, kterou jste si přeložil jako tvrzení "firewall stačí na všechno") a když tento pohled nesouhlasí s tím vaším, tak na tuto osobu hned začnete útočit - ideálně tak, že vezmete tvrzení které tato osoba nikdy neřekla a začnete na ně reagovat... jakpak se tato logická chyba jmenuje ? https://en.wikipedia.org/wiki/False_attribution ... ne to není úplně ono, možná tohle: https://en.wikipedia.org/wiki/Straw_man
Nejsem si jistý, každopádně jestli tak

Ale OK: máte lepší práci, více peněz, jste krásnější a v porovnání se mnou máte větší genitálie na které je radost pohledět.
Napište

Sorry, omylem jsem poslal nedokončený příspěvek (to je tak když se přepínáte mezi dvěma věcmi...). Každopádně si prosím pročtěte ty dva odkazy, promyslete si jak se vztahují na vaše příspěvky zde v diskuzi a napište, jestli vás moje uznání toho, že jste ve všech ohledech lepší dostatečně uspokojilo...

Nic takového jsem nikdy netvrdil. Když si pročtete vlákno ještě jednou, zjistíte, že se tam o firewallu zmiňuji v kontextu toho, že vám nějaká pochybná aplikace bude monitorovat stisknuté klávesy a posílat je nějaké třetí osobě - toto už je skutečně správně nastavený firewall schopný pořešit.

Tomu nevěřím. O jaký typ firewallu se má jednat?

"chcel by som oplyvat tvojou naivitou ze nastaveny firewall ti urobi zabezpecenu siet odolnu proti fishingu, blbym uzivatelom, zero day exploitom."

To je logika horolezce, co zásadně nepoužíval lana, protože lano chrání jenom proti pádu a on chtěl něco, co ho ochrání současně i proti úderu do hlavy, oděrkám a mrazu. Firewall je podmínka nutná, ale ne dostačující.

"Kazdy prvok pocitaca, siete, od HW od Cisca, cez Intely a aj ine obskurne firmy ma milion dier. "

To má každý SW, Pokud se díra najde, dobrý SW vydá záplatu dřív, než lump tu díru zneužije. Špatný SW na to kašle.

"Dobre nastaveny firewall? HAHAHA."

Tak firewall nepoužívej, když máš z něho takový strach. A nezapomeň si ještě ve vnitřní síti zapnout Sambu, Telnet, HTTP.

"A iste nikoho nezaujimaju hesla ferka z dolnej bzovej."

Zločinec chce prachy. A zajímá ho všechno, za co jich dostane víc, než odpovídá vynaloženýmu úsilí.

Pokud by byl Ferko třeba předseda vlády, tak s vyplatí útočit na něj, může se dostat k prodejným informacím. pak se vyplatí to zkusit.

Pokud by věděl, jak vytáhnout z používanýho programu automaticky hesla na dálku a chtěl je prodat, tak se to vyplatí. Ale pak bude Ferko jenom jedna z řady "náhodných" obětí kampaně.

Pokud by chtěl padouch sbírat jenom tak nablind lokálně uložený hesla u uživatelů, tak se mu nevyplatí věnovat každé IP adrese třeba tři hodiny.

"Databaza hesiel a konkretne keepass uz diery mali, ste si isty ze ich teraz uz nemaju. HAHAHA."

Samozřejmě, mají. Už jich řadu opravili a průběžně záplatují. Viz výše. A už mimochodem kvůli tomu, že zastaralo šifrování, jednou měnili formát souborů. Za pár let nás to čeká zase...

"No proste vasa uroven naivity nema nic spolocne z realnym svetom."

Bezpečnost znamená udělat si analýzu rizik a u každýho rizika vyhodnotit. Pokud je riziko Ok, neřeší se, pokud není, hledá se řešení, jak je dostat na přijatelnou úroveň s přijatelnými náklady. Chyby jsou jedním z rizik a prostě se s tím počítá. How easy...

"Firewall je podmínka nutná, ale ne dostačující"
A kto ho nema? A dobre nastaveny, to je co? Ze zabrani posielaniu stlacenych klaves smerom von? Ako?!? Bavili sme sa o tom ze vas keystore na vasom pocitaci je nejako magicky chraneny vasim firewallom. TO TEDA NIE JE A NIKDY NEBUDE.
Takze viete ze na ulozenie hesiel pouzivate SW ktory diery mal a asi aj ma ale ste spokojny aj ked existuju ovela jednoduchsie a efektivnejsie riesenia. No ak mam pravdu povedat nerozumiem vam.

"Ze zabrani posielaniu stlacenych klaves smerom von? Ako?"

Aby jste mohl monitorovat stisknuté klávesy třetí osoby, tak tak musíte mít:
1) na jejím počítači nainstalovaný nějaký keylogger - zde onu třetí osobu samozřejmě firewall neochrání (antivir už třeba ano)
2) zajistit, že onen keylogger vám pošle data zpět - což bude problém, pokud ona třetí osoba bude mít nastavený firewall, který např. nepustí k internetu žádný program kromě (například) prohlížeče a updatovacího programu k OS. Mít firewall nastavený do podoby whitelistu a blokovat co není na seznamu - to je u mě "dobře nastavený firewall"
Síťový traffic se dá vcelku dobře monitorovat a keyloggery identifikovat - s výjimkou kdy vás bonzuje přímo program kterému věříte (třeba právě ten prohlížeč nebo OS jako Windows...)

"Takze viete ze na ulozenie hesiel pouzivate SW ktory diery mal"
Nevím - používám Keypassx, zatímco software který měl díry je Keypass (bez 'x' na konci). Jediné co mají Keypassx a Keypass společného je formát databáze, který už byl jednou změněn kvůli zesílení šifrování.

Je vám jasné, že ve svém příspěvku reagujete na dva lidi - Petr (to jsem já) a Petr M (někdo úplně jiný) ??

Samozřejmě jsem myslel Keepassx vs. Keepass (Keypassx ani Keypass nejsou)

Aha, Petr má na mysli celou dobu aplikační firewall a nikoliv síťový, to je pak jasný. Jak píše Filip Jirsák, chránit stanici programem přímo na té stanici není příliš spolehlivé. Víš co je steganografie? Ukrýt pár stisknutých znaků do na první pohled nepodezřelých dat není tak velký problém.

Jinak docela úspěšný keylogger je obyčená otevřená stránka v prohlížeči, kolipakrát člověk zadává heslo do jiného okna než chtěl...

No to je pekné, že máme Kerberos/NTLM/CAS, ale stále pristupujeme aj na služby, ktoré nemáme pod kontrolou, čo sa nikdy nezmení, vždy také budú. V rámci firmy, OK, ale externý svet, to je niečo iné.

Z Google:

KeePass is an open source password manager.

Online / offline:

Ak je pravda, čo presiaklo, že moderný HW má v sebe skrytú nadradenú úroveň obsahujúcu, okrem iného, priamy prístup do pamäte aj ovládače pre sieť, kedy je vlastne počítač offline?