Trapeni nezanedbatelne casti lidi kteri maji technicke anti-sklony a k pouzivani pocitacu (v jakekoliv forme) jsou donuceni okolim (prace, komunikace se vzdalenou rodinou, a pod.)
Takovi lide tlakem na bezpecnost (resp. elementarni vzdelanost v oboru) trpi a vice jim to bere nez prinasi. Tito lide jsou z toho nestastni, kvalitu jejich zivota to spise snizuje a za par utajenych osobnich dat to urcite nestoji,
Neberte to jako trolling, ale spis jako jiny nazor v tomto jednolitem "ghettu".
Nosnou myslenkou bylo, ze jim bezpecnost vice bere nez prinasi. Kdyz spocitate roky trapeni s hesly, loginy, updatovanim OS, prohlizece, atd... tak nejaky bezpecnostni incident ktery je nejak zasahne pokud se na bezpecnost vykaslou, to nemuze nikdy vyrovnat.
Prijemci SPAMu jsou pravdepodobne i oni sami, a navic: pravym vinikem je zde ten kdo jim do PC bota nasadil, nikoliv oni sami.
Tohle neberu. Ukradený soukromý fotky bez oblečení a zveřejněný na netu můžou být větší trápení. Nejenom psychický, dá se za ně sdostat i vyhazov (třeba pokud je dotyčný učitel).
A updaty řešit nemusí, stačí hodit jeden příkaz do CRONu na noc z pátku na sobotu (u nás doma je tam "dnf -y update") a říct jim, že mají v tu dobu nechat počítač zapnutý a ráno preventivně restartovat (preventivně, pro případ update jádra). Ve widlích se to teď bude dít samo, jenom si ještě navíc sami musí hlídat dalších 20 aplikací kromě systému (Widle holt nejsou dokonalý).
Automatizovat aktualizace operačního systému (non-core) není bez následku. Kolikrát se tímto skvěle roztřelily "X-ka" (jednou serverem, potom ovladačem grafárny, atd.) či přestaly fungovat jiné "aplikace". Samozřejmě pak následoval downgrade na předchozí verzi. Píši to sem, pokud by to četl někdo s méně zkušenostmi, ať toto určitě bezhlavě nedělá, nebo očekává příslušné následky...
Jednou už jsem to zažil, po update klekl Gnome. Stačilo ale manželce říct do telefénu, ať zmáčkne Ctrl+Alt+F2, zadá "root", nadiktoval jsem jí heslo, pak zadala "reboot" a zmáčkla Enter. Na startu výběr druhýho řádku šipkou a Enter. Do pěti minut mohla pracovat.
Fix přišel za tři dny, sudo yum -y update; reboot a bylo to spraveno.
Pro srovnání, obnova bodu nastavení ve widlích by byla tak na pět hodin, reinstalace tak na pět dní.
:D Bod obnovení na 5 hodin a reinstalace na 5 dní?
No tak to nejsi moc dobrej :)
Bod obnovení je tak na 5 - 15 minut, obnovení sys oddílu z bitcopy 30 minut-2 hodiny, přeinstalace... 1-2 hodiny bez SW, 5 hodin do komletně použitelného stavu s nainstalovaným a nastaveným veškerým sw na který jsem zvyklý.
Bod obnovení jsem zatím použil asi pětkrát. Vždycky pak chtěl "sendvič" restart-scandsk-restart, takže 5h je tak průměr (nevím jak na novějších, poslední, co jsem takhle "fixoval" byly eXtra Pomalý, pak jsem se s wokenní světem doma rozloučil).
A těch pět dní:
- 1h instalace z CD
- 3h první kolo aktualizací
- 2h na ovladače
- 1h na antivir a spol
- 1h nastavení a konfigurace
- 2h 1. SP
- 4h aktualiazce
- 3h 2. SP
- 3h aktualizace
- 4h aplikace (prokládání restartama)
Takže 24h čistýho času s tím, že se to vždycky zarazí na potřebě restartu a pak to nepokračuje, dokud se uživatel nepřihlásí. A když člověk odbíhá do práce, vyspat se, věnuje se rodině,... a nesedí jenom u komplu, tak je pět dní celkem střízlivý odhad, pokud na to má člověk dost klidu.
Ti lidé ale netrpí tlakem na bezpečnost, nýbrž tlakem fachidiotů, kteří se na bezpečnost jenom vymlouvají.
Na současném internetu by ohledně hesel bylo řádově bezpečněji, pokud by se pro přihlašování na webu používala nějaká metoda challenge-response, u které server vůbec heslo nemusí znát (např. i současný HTTP Digest by stačil). Zároveň by bylo potřeba, aby součástí protokolu HTTP byl způsob, jak takové heslo zaregistrovat a změnit, a v prohlížečích by to bylo implementováno uživatelsky přívětivě a to včetně možnosti odhlášení (tím by mimochodem odpadly všechny problémy s únosem session). V prohlížeči by pak byl implementován správce hesel, který by hesla synchronizoval přes cloud (tohle jediné bývá implementováno) a který by bezpečná hesla zároveň vytvářel. Tj. kdyby se uživatel někde registroval, prohlížeč by dostal požadavek na nové heslo, sám by nějaké vytvořil (případně by to uživatel změnil), uložil si ho do správce hesel (a věděl by přesně, kde se to heslo používá, ne že by to musel hádat, jako dnes), spočítal by otisk hesla a ten by poslal serveru k uložení.
Tohle celé je jednoduché na implementaci, skoro všechny stavební prvky už existují a na internetu se používají. Bezpečnost na webu by se zvýšila řádově. Ale fachidioti, kteří sami sebe nazývají „bezpečnostní odborníci" (neplést s opravdovými bezpečnostními odborníky) místo toho vymýšlejí, že si uživatel musí heslo pravidelně měnit, že heslo nesmí být shodné s žádným z předchozích tři sta padesáti hesel a že se hesla musí na serveru hashovat.
Já se nejvíc divím, že na síti, která se vyvinula z ARPANETu, není šifrování a autentizace už od začátku...
A pravidelnou změnu hesla vidím spíš jako riziko, protože než si je člověk zapamatuje, tak buďto zadává pomalu (okoukání), nebo si je někam napíše,... Poikud si na heslo zvyká měsíc a musí ho za tři měsíce změnit, tak 1/3 času má oslabenou bezpečnost. A to se vyplatí!
... Naopak to, že je zapamatovatelné, znamená, že moc silné nebude....
OMG, f*ck me, to je zase moudro.
Takze podle tebe jedine heslo, ktere si (kdo? nejaky BFU nebo s pameti jako mas ty ?) nekdo neni schopen zapamatovat, jedine takove heslo je bezpecne ?
To je neskutecne, jake "moudra" se na root-u clovek dozvi :-}
Znam lidi, kteri si zapamatuji posloupnost 50-ti a vice pismen.
Existuje technika pristupu k pameti, tzv. pametove hacky, pokud ji zvladnes a pochopis ji, mistre Jirsaku, dokazes si zapamatovat treba 100 ruznych veci, vcetne poradi.
Prestan psat hov@diny jako tamti dva pred tebou... ;)
BTW, na netu lze najit statistiku brute force a z toho zaver, jestli je bezpecnejsi zmet vygenerovanych pismen (+delka) a nebo spise text, ktery "na oko" dava smysl (+delka).
Tak ještě jednou. To, že je heslo dlouhé, ještě neznamená, že je bezpečné. Když budu mít jako heslo 50 znaků "a", je to velmi dlouhé heslo, ale není o moc bezpečnější, než "123465". Bezpečnost hesla totiž závisí jenom na entropii, a té v 50× "a" věru moc není.
A to je také důvod, proč zapamatovatelné heslo není bezpečné. Protože lidský mozek je stavěn na to, aby si pamatoval pravidelnost, nedokáže si zapamatovat stejně dobře jakoukoli posloupnost znaků. Nebo-li "zapamatovatelné heslo" znamená, že jsem z množiny všech možných hesel vybral určitou podmnožinu hesel, která jsou zapamatovatelná - tedy jsem snížil entropii a tedy oslabil heslo.
To, že si někdo dokáže zapamatovat posloupnost 50 a více písmen nebo 100 různých věcí včetně pořadí je sice hezká věc, ale pro správu hesel je to pořád málo. Kdybych si pamatoval posloupnost 100 písmen a používal jen 10znaková hesla, pamatuju si 10 hesel. To by mi nestačilo ani k uživatelským účtům na počítačích, natož na weby. (A jinak zrovna různé nesmyslné kódy si pamatuju i proti své vůli, třeba u licenčních čísel Microsoftu jsem zjistil, že mi často stačí připomenout si začátek a zbytek už si pamatuju.)
Paměťové hacky slouží k tomu, aby si člověk dokázal zapamatovat i "nezapamatovatelné" věci. Pokud tvrdíte, že si paměťovým hackem je možné zapamatovat každé heslo a tím pádem je takové heslo zapamatovatelné, pak jsou všechna hesla zapamatovatelná a není nutné odlišovat zapamatovatelná a nezapamatovatelná hesla. (A pořád máte problém s tím počtem hesel.)
Ze statistiky o brute force útocích se nedá dělat závěr o bezpečnosti hesel, protože to není jediný způsob útoku. Ale když si porovnáte množiny stejně dlouhých hesel, přičemž v jedné budou všechna náhodně vygenerovaná hesla a v druhé hesla, která "na oko" dávají smysl nebo která jsou zapamatovatelná, je jasné, že ta druhá množina bude menší, než ta první - takže je i méně odolná proti brute force útokům.
"A to je také důvod, proč zapamatovatelné heslo není bezpečné. Protože lidský mozek je stavěn na to, aby si pamatoval pravidelnost, nedokáže si zapamatovat stejně dobře jakoukoli posloupnost znaků. Nebo-li "zapamatovatelné heslo" znamená, že jsem z množiny všech možných hesel vybral určitou podmnožinu hesel, která jsou zapamatovatelná - tedy jsem snížil entropii a tedy oslabil heslo."
S timhle zcela nesouhlasim, navic sve tvrzeni zakladate na 50x "a".
Viz muj post o bezpecnem hesle, nebudu to prepisovat.
Zhrnuto: zapamatovat si muzete i 40-60-80-... znakove "heslo", pokud to vam dava smysl a tudiz si jej zapmatujete, ale napisete jej specifickym zpusobem.
Brute force nebo "generator" a jine vypocetni systemy spise hacknou "vygenerovane" hesla nez ta, ktere tvori urcity pro zadavatele smysluplny text, ale specificky napsane.
O tom je ta statistika a testy, ktere hesla jsou rychleji hacknutela.
S čím nesouhlasíte? Že velikost množiny zapamatovatelných hesel je ostře menší, než velikost množiny všech hesel? Nebo že heslo vybrané z větší množiny je bezpečnější?
Své tvrzení nezakládám na 50× "a ", to je jen protipříklad proti vašem utvrzení, že dlouhé heslo je vždy bezpečné.
Zapamatovat si 40znakové heslo můžu, ale je to k ničemu. Nepotřebuju jedno 40znakové heslo, potřebuju desítky hesel, která budou mít třeba 16 nebo 20 znaků.
Brute force nebo "generator" a jine vypocetni systemy spise hacknou "vygenerovane" hesla nez ta, ktere tvori urcity pro zadavatele smysluplny text, ale specificky napsane.
To je evidentně nesmysl. Za prvé, množina hesel vytvořených ze smysluplného textu je podmnožinou vygenerovaných hesel. Za druhé, útoky hrubou silou se nedělají tak, že by se zkoušela všechna možná hesla, ale zkouší se nejprve pravděpodobnější hesla, tedy mimo jiné právě ta hesla vytvořená ze smysluplného textu.
Ten váš příspěvek není o tom, jak vytvořit bezpečné heslo, ale jak vytvořit snadno předvídatelné heslo. Dokonce pokud někdo bude útočit přímo na vás, dokáže nejspíš dost přesně určit váš zdrojový text, takže se váš systém vytváření hesla smrskne na pár desítek tisíc možností. Takže to vaše slavné 40znakové heslo bude zhruba stejně bezpečné, jako 3znakové náhodně generované heslo s velkými a malými písmeny anglické abecedy, číslicemi a nejběžnějšími symboly. Považujete takové heslo za bezpečné?
Děláte klasickou chybu, že bezpečnost hesla odvozujete od délky a ne od entropie. A také jinou klasickou chybu, že považujete něco, co je komplikované pro člověka, automaticky za bezpečné.
Mate to hezky akademicky/kravatacky napsane, vas byvaly rektor by z vas mel nejspis radost.
Vsadim se, ze i diplomku jste mel nejspis na vybornou.
Ale porad jsou to kecy v kleci.
Verte si cemu chcete.
Bud nemate absolutne tucha, co myslim tim bezpecnym heslem nebo mate prapodivnu predstavu o entropii nebo jak hacknout nekomu heslo...
Filozofujte dal, cas a praxe ukaze, kdo ma pravdu :D
Ale jo, vím, co myslíte bezpečným heslem – myslíte si, že bezpečné heslo je to, které se uživateli těžko zadává, např. dlouhé heslo. Ve skutečnosti je ale bezpečné heslo takové, které se nedá uhodnout nebo odvodit, tedy heslo, které má co největší entropii.
Praxe už to dávno ukázala, že nezáleží ani na délce hesla ani na tom, jak je to komplikované pro uživatele, ale na tom, jakou entropii má heslo.
Jenomže tahle logika nepočítá s tím, že útočník bude myslet. A že použije třeba statistiku. Mějme fiktivní jazyk, říkejme mu blabláčtina. Slovesa v něm končí na f a před ním je samohláska. A sloveso ve větě je vždycky třetí slovo. Pokud neuvažuju velký písmena,tak se dva znaky smrsknou na "af", "ef", "if", "of", "uf" a "yf". Dva znaky, šest možností. S velikostí písmen 24 možností. Při @=A, €=E, I=1, O=0 je to 32 možností na dva znaky. S obyč ASCII znaky v náhodným hesle je to 9025 možností. Tzn. je potřeba 283x víc pokusů na uhodnutí těch dvou znaků.
Když dá několik takových fint, dostane pravidla pro generování hesel s nejvyšší pravděpodobností a to by v tom byl čert, aby ti neklaplo.
Silný heslo je takový, který dá nejvíc práce zlomit. Tzn. udělat přesně opak toho, co předpokládá útočník. A útočník pravděpodobně předpokládá slova konkrétního jazyka s nějakou logicky odvozenou substitucí mezer a číslem na začátku nebo na konci.
Dobře, zkusíme to jinak.
BFU použije nějakou větu. Víme, že po souhlásce následuje samohláska. Takže třeba po "N" je řekněme 80% šance, že tam bude něco z množiny "Aa@EeIiOo0Uu" a spec. znaky jako mezera, hvězdička,... Takže pokud bych lámal heslo, určitě bych to kombinoval takhle, nebo seznam slabik v tom jazyce, ve kterým je stránka... "Na" je pravděpodobnější, než "NG".
A při tom stačí na tuhle konkrétní flignu použít heslo "HHeeSSllOO" a bude to větší problém, než "Moje Heslo"... Musí se holt myslet.
A co by jste řekl třeba heslu:
ZnEvPuOsH.MaPnTjBtHmV,pN20A.
Přijde Vám snadné na zapamatování?
Jenže pokud znáte memotechnickou pomůcku, kterou znáte jen Vy, je to směšně jednoduché. U tohoto konkrétně:
Zase
Nějaký
E***
Vymýšlí
Podivné
Úvahy
O
Složitosti
Hesla
.
Místo
Aby
Přemýšlel
Nad
Tím
Jak
By
Takové
Heslo
Mohlo
Vypadat
,
Přemýšlí
Nad
20
A
.
Takovou větu si zapamatujete velice rychle, obzvlášť pokud se vymyšlená věta bude vztahovat k něčemu, co emočně prožíváte. Ale z vlastní zkušenosti mohu říci, že někteří lidé nejsou schopní takové heslo často ani napsat správně v situaci, kdy jim jej napíšete na kus papíru, nemluvě o jeho odkoukání při psaní na klávesnici. A co se entropie týče, tak je určitě lepší, než většina běžných hesel.
Entropie je v tom heslu víc než v běžném hesle, ale je v něm podstatně méně entropie, než ve stejně dlouhém náhodně vygenerovaném hesle. Za další, budete si tu větu pamatovat ještě za 6 měsíců, kdy to heslo nebudete používat? Nebo budete vzpomínat, zda to bylo "úvahy" nebo "nápady", "přemýšlel" nebo "se zamyslel"? A dokážete si takových vět zapamatovat desítky a u každé si pamatovat, ke kterému účtu patří?
Navíc stejně dlouhé náhodné heslo si člověk nemusí zapamatovat stejně dobře, jako nějakou říkanku. A v případě, že jsou náhodné hesla uložené v nějakém úložišti hesel, tak mohou být za specifických okolností (přestože něčemu se určitě dá úložištěm hesel předejít) stejně bezpečné jako heslo, které k takovému úložišti přísluší.
Případně je tady stále riziko softwarové chyby, která umožní zpřístupnit všechny hesla hodně jednoduchým způsobem.
Samozřejmě všechny tyto záležitosti s náhodnými hesly lze vylepšit využíváním různých tokenů, ale to už je vyšší úroveň zabezpečení, kterou běžný uživatel zpravidla nemá k dispozici.
S takovým heslem mám jenom špatný zkušenosti. Ale kdesi jsem četl radu, že pokudsi chce člověk něco zapamatovat, má si to dát jako heslo do systému. Takže když se nedařilo zapamatování PINu po změně banky, byl tři měsice PIN součástí hesla... a od té doby si je pamatuju. Stejně jsem se naučil SPZ auta (byla taky dobře osolená),...