Vlákno názorů ke zprávičce Den hesel: každý desátý uživatel je ochoten své heslo prozradit od Uncaught ReferenceError: - to je takový pěkný alibismus nás od fochu....
-
to je takový pěkný alibismus nás od fochu. Víme, že hesla mají být dlouhý, unikátní, neuhádnutelná, nikdy nesmí nikam uniknout, ale pak se člověk potká s realitou kdy správci hesel ne vždy fungují bez problémů, nelze s nimi jednoduše chodit na cizí počítače a je to pořád obecně složitější než si to jednoché a krátké heslo pamatovat a zapsat, tj. překážka pro ty uživatele, kteří nemají dobré technické znalosti.
-
Přesně tak. Protože ochoten prozradit své heslo není každý desátý uživatel, ale každý uživatel. Každý, kdo zadá heslo do políčka v prohlížeči, který ho následně odešle na server, prozrazuje své heslo. Technologicky by nebyl problém udělat to tak, aby server nemusel znát heslo uživatele v otevřeném tvaru ani jeho ekvivalent. Tím by se výrazně snížilo riziko toho, když uživatel používá jedno heslo na více místech. Ale to ne, my to raději hodíme na uživatele, ať se stará sám a pořídí si správce hesel.
-
> Technologicky by nebyl problém udělat to tak, aby server nemusel znát heslo uživatele v otevřeném tvaru ani jeho ekvivalent.
Tohle ale nechrání před phishingem o kterém je článek. Tohle chrání před únikem hesla z hacknuté databáze. Nebo spíš přenáší zodpovědnost za ochranu těch hesel na prohlížeč (takže Google).
Phishing je chyba primárně mezi židlí a prohlížečem. To se ani moc nedá řešit technicky, protože je to primárně psychologický problém.
-
Chrání to i před phishingem. Protože když se útočník dozví jenom hash, nemá nic, co by mohl použít pro přihlášení na skutečný server.
Chyby mezi židlí a prohlížečem jsou primárně chyby toho, kdo navrhoval prohlížeč nebo aplikaci v něm. Říkat, že je to chyba mezi klávesnicí a prohlížečem, je stejné, jako kdybyste člověku, do kterého někdo vrazil zezadu, říkal, že je to jeho chyba, protože má vidět i to, co je za ním. Nebo když někoho porazí auto, tvrdil byste, že je to jeho chyba, protože má takovou srážku vydržet. Stejně jako lidské tělo není stavěno na to, aby člověk viděl dozadu nebo bez škrábnutí přestál, když ho porazí rychleji jedoucí auto, není stavěno ani na to, aby si člověk pamatoval desítky unikátních hesel, neustále kontroloval, na jaké je doméně apod.
-
> Chrání to i před phishingem. Protože když se útočník dozví jenom hash, nemá nic, co by mohl použít pro přihlášení na skutečný server.
Když. Což vůbec nepokrývá tahaní informací z lidí přes telefon. Nebo podvodníka, který dobrou grafikou vyláká informace z lidí v otevřeném tvaru bez ohledu na nějaký hashování v prohlížeči. Napodobit příslušný vstupní prvek dá práci, ale ta se v objemu phishingové operace celkem bez potíží ztratí.
Když někdo pokliká všechny odkazy v emailu (tím spíš odkazy s podesřelou čežtinou (sic)), je to chudák (nebo blbec), který nedodržuje bezpečná pravidla. V silniční analogii je to trouba, co se snaží vybržďovat kamion. Co čekal?
Před phishingem se může chránit jen uživatel sám. Stejně, jako se rozhlížíme, než přejdeme přes silnici. Stejně, jako by člověk mohl znát pravidla pro veřejné sbírky, když tě někdo zastaví na ulici s tím, že "vybírá na...".
-
Ani dobrá grafika v prohlížeči nemůže napodobit něco, co se děje mimo plochu webové stránky. Nicméně neexistuje žádné ultimátní bezpečnostní řešení, které vyřeší všechny problémy. Já jsem jenom chtěl poukázat na to, že bychom se neměli divit, že uživatelé jsou ochotní své heslo prozradit, když je pořád učíme, ať heslo klidně napíšou do libovolného formuláře, který se jim zobrazí.
Na proklikání všech odkazů v e-mailu není nic špatného, protože z odkazu nic nepoznáte. Před tím, aby se na tom odkazu nespustil nějaký škodlivý kód, musí chránit uživatele prohlížeč.
Že se musí uživatel před phishingem chránit sám je asi jako když dáte někomu cedník a řeknete mu, že si musí sám poradit, jak tím vypustí vodu z bazénu.
-
I malá firma může mít svůj vlastní server s doménou, autentifikací a správou. Nestydím se za Windows 2019 Server (ADDS) kombinovaného s integrovanými nástroji HP Protect Tools (+Dell) a samozřejmě každý s mechanickými klíči vyfasuje i SC/Token. Jednoduché, elegantní a bezpečné. Navíc se tím vyřešilo i vypínání alarmu a záznamy docházky. Trochu mi to kazil Android, ale od doby NFC se tento „problém“ odstranil.
První odemyká, zbytek už jen lízne čtečku, dojde na místo a přiloží/zastrčí k notebooku/klávesnici, zadá své heslo a tím to končí. O zbytek už se postará doména a integrované nástroje. TPM i distribuci klíčů taktéž řeší ADDS, čili odpadají krkolomná hesla, a tedy různě ukryté papírky s hesly. Stejně tak to funguje i s multiplatformní klíčenkou (používá se výjimečně) např.: pro heslo do velkoobchodního systému třetí strany.
Ty náklady nejsou zase tak vysoké, aby si na ně nevydělala i menší zdravá firma, navíc jde o dlouhodobou investici a podstatně se zvyšuje bezpečnost. A mezi námi, kdo má ten docházkový salát číst, nebo pravidelně měnit heslo od alarmu, když první ospalec probudí půl ulice a začnou volat z Jablotronu. To je lepší token.
Technické znalosti nejsou potřeba, od toho je tam správce, který to navrhne, nastaví a zajistí fungování. Myslíš, že kluci (řemeslníci) něco takového budou řešit, když si jdou brzy ráno (třeba ve tři ráno razí do Ostravy) naložit auto připraveným materiálem, stáhnout projektový plán, schémata, ... ? Neřeší, mají svoje "heslo" a bezpečnost zajistí právě Yubikey a automatizace. Odemknou klíčem, líznou čtečku alarmu a zapnou si počítadlo. Týden v autě kompostovaný salát (dodací listy, faktury, ...) mrsknou do scanneru, kde to pomocí OCR rovnou přistane ke konkrétní zakázce a když se jim hodně chce, najdou první kartonovou krabici, kus urvou a napíšou fixou materiál, který si vzali ze skladu a kam jedou. Pak to strčí za dveře holkám z kanceláře a zmizí. Pokud je systém elegantní a plně funkční, tak posílají (připojení vždy přes VPN) na barák výsledky měření, stáhnou si projektové plány, nebo posílají fotky přímo z místa. V tomto směru jsou Windows, integrované nástroje Dell/HP i Office naprosto dokonalé a dokáže to zvládnout každý. Včetně úrovně bezpečnosti.
-
samozřejmě každý s mechanickými klíči vyfasuje i SC/Token.
To zní zajímavě.Jak to funguje v reálném životě? Stane se třeba, že někdy token přestane fungovat nebo se někde ztratí či zapomene doma? Funguje to i po aktualizaci systému? :-)
Při vishingu tedy někdo musí přimět uživatele, aby nainstaloval/aktivoval SW pro vzdálenou správu a připojil svůj token?
-
Sám od sebe zatím žádný token fungovat nepřestal. Zdůrazním sám od sebe.
Kupoval jsem jich 60ks, ačkoliv je nás jen 24, plus 8 UKáček. Samozřejmě rezervní tokeny jsou připravené a zanesené v systému (ADDS). Rozdrcení dílenským kufrem neberu jako závadu, stává se to celkem často a jde o nejběžnější druh poruchy - položí klíče na podlahu kufru v autě, nahází tam vercajk a je po něm. Ročně jich přijde k úrazu minimálně 10, rekord jsou tři v jeden den - takový výkon chce minimálně trochu talentu. Musíš pochopit, že svazek klíčů poslouží jako univerzální šťourátko, podložka, svorka ... cokoliv, protože jsou v kapse a kvůli takové blbosti se nikomu lézt dolů nechce.
To jde mimo mě, rozumím elektronice, elektrotechnice, řídícím systémům, ale na správu Win2019, Exchange, ... mám svého člověka, který se mi o to stará a když je problém, stačí zavolat a je vyřízeno. Klíče se mění každé 3 měsíce a dělá se to vzdáleně, přes ADDS, stejně tak není problém při změně hardware, kdy se najednou zálohují počítače (Dell Optiplex/Latitude na HP Elitedesk/Elitebook), nebo rádio stanice Motorola
Začínali jsme se SmartCard ještě s Windows 2000 + Server, takže ano, funguje to i po aktualizacích a větších změnách v systému i výměně hardware. Přeházet uložené klíče z TPM Dell Optiplex + Latitude, do nových Elitedesk a Elitebook, Panasonic, včetně rádiových/3G stanic stanic Motorola, Siemens, Nexter, nebo Socomec, které monitorují řídící systém a každou sebemenší chybu okamžitě zasílají na barák.
-
Token/Smart Card slouží jako 2FA, co se mění je obsah TPM (ukládají se do něj klíče a hesla) a to se dělá přes doménový řadič. Tokeny/Smart Card jako takové se nemění.
Těžká otázka.
Kombinované motorizované zámkové vložky do dveří III a IV bezpečnostní třídy s bateriovou zálohou nevím, kupoval jsem je společně s dveřmi, včetně kování, zárubně, připravenými magnetickými senzory (později nelze doplnit) za 145 000Kč, ale jsou dvoukřídlé s 48 kotvícími body (pojištění...). To je hlavní vstup do budovy. Naproti tomu kombinovaná motorizovaná vložka (BBU) pro bránu, nákladová vrata, za 18 600Kč od stejné firmy. Dveře mám díky atypickým rozměrům na zakázku. Do vnitřních prostor (kanceláře, dílna, sklad) stačí levnější dveře a včetně zámků a čteček za 35 000Kč. Ve zbytku už mám obyčejné levné interiérové dveře s mechanickým zámkem (netřeba komplikovat).... Smartky jsou levné, tokeny 1000-2500Kč, záleží jaké si vybereš a fungují s docházkovým systémem Riantsoft, včetně čtečky u dveří (8000Kč), který to překlopí do Excelu (prostého textu ... do čeho chceš) a zbytek už je na tobě, co si kam dáš. Určitě to jde udělat levnější, nicméně takhle to funguje 10 let a jediné co jsem musel vyměnit byli baterie. Pak už je to na tobě, jak si to uděláš (záložní zdroj, alarm, kamery, ...), nebo provážeš s dalším software. Začínal jsem sám s Office a dones mám všechno na Office - docházku, mzdy, sklad, protože umí vlastně všechno a netřeba kupovat nic dalšího. Access s přehledem zvládá protokoly z měření, stejně tak indexace dokáže načíst dokument a naroubovat na konkrétní zakázku i konkrétnímu člověku, přímo z Outlooku a bezbolestně. Rekonstrukce byla drahá, ovšem ze zkušeností na starém baráku (pronajatém) jsem věděl, že je lepší to udělat hned a pořádně. Ve vlastním jsem 10. rokem a kromě baterií se nic neměnilo. Zbytek zvládne Windows Server, Office a "firemní" počítače, všechno tam je, tak není potřeba kupovat nic dalšího.Prostě se zastaví na 6 ráno admin, jako každé první pondělí v měsíci, kdy jsme všichni na baráku a udělá co potřebuje, ve zbytku stačí vzdálená správa a pokud je nutné, tak aktualizuje na dálku i když jsme rozlítaní po všech čertech. V pondělí ráno jsme všichni pohromadě, to se probírá práce a hledají se kompostované doklady, kniha jízd ... čili má všechny telefony i notebooky pohromadě. Jinak chodí jak je potřeba, zvládá to většinou dálkově.
-
P.S.: Elektro motorizované zámky samozřejmě fungují v denním a nočním režimu. První příchozí potřebuje mechanický klíč a token/kartu. Zbytek příchozích si vystačí s kartou. Režimy si můžeš nastavit libovolně, včetně automatického uzamčení v daném čase. Tím se dveře uzamknou samostatně a nestane se, že by poslední odcházející zapomněl zamknout.
-
Doběhne si domů, maximálně za čtvrt hodiny je zpátky, což je výhoda malého města a přilehlých vesnic s lokálním mančaftem. Zabouchne-li si, holt musí volat kolegu. Zabouchne-li si i s telefonem a klíči od auta, holt musí počkat pod střechou na příchozí.
Stane se, přinejhorším mi prostě zavolá, ale pak to má s hromy, blesky a rozcvičkou při hodu šroubovákem na pohyblivý cíl.
ČLÁNKY DO MAILU