Vlákno názorů k článku
GitHub opustil potvrzování akcí pomocí hesel, nabádá ke dvoufaktoru
od oss - > A povedzte mi aký je rozdiel keď...
-
> A povedzte mi aký je rozdiel keď niekto robí takýto útok z účtu A a keď to robí z účtu B... Toto je absurdný argument, ...
To je blby argument.
Lebo vdaka slabym heslam moze ukradnut 50, 100, 15000,...> Takže na základe určitej skupiny "neuvedomujúcich ľudí" obmedzujeme skupinu, tých čo o zabezpečení niečo vedia a uvedomujú si dôsledky? To mi pripomína tie komentáre "v dnešnej dobe LGBT, BLM a podobných vyčínaní bude už heterosexualita považovaná za nevhodná a biely Európania budú diskriminovaný".
Nie, idu best practice v bezpecnosti. Dnes je uz 2FA standard.
-
> Lebo vdaka slabym heslam moze ukradnut 50, 100, 15000,...
a akým rozdielom je ukradnúť a založiť na túto činnosť daný počet? Boti by to zvládli takže stále nevidím čo tu ako tento argument robí. Navyše gh-pages je len statický bazmek, ktorý neviem ako by sa dal využiť na útok, a actions bežia len v rámci repa. Ako vážne netuším by mohol 1FA spôsobiť útoky.
> Nie, idu best practice v bezpecnosti. Dnes je uz 2FA standard.
to že je niečo štandard neznamená že je best practice, a nie 2FA nie je best practice.
-
Filip JirsákStříbrný podporovatelNavyše gh-pages je len statický bazmek, ktorý neviem ako by sa dal využiť na útok
Ještě jednou, to, že něco nevíte, neznamená, že to neexistuje. Spousta škodlivého softwaru dnes funguje tak, že se stáhne jen jakýsi „zavaděč“, který si z internetu stáhne další škodlivý kód, nebo příkazy, co má dělat. Výhoda pro útočníka je, že takhle může svůj software snadno aktualizovat a rozšiřovat. No a GitHub jistě nechce útočníkům poskytovat svůj diskový prostor a konektivitu. A ještě to hostovat na své doméně.nie 2FA nie je best practice
2FA je best practice. -
Dnes je uz 2FA standard.
A to je právě ten problém, na který poukazuju.
Denně se přihlašuju (pokud možno obyčejně heslem) k tolika různým účtům, že je ani nedokážu vyjmenovat. Přičemž jen hrstka jich je pro mě kritická: bankovnitcví, primární e-mail, práce.
Kdyby byla 2FA fakt všude, tak bych se z toho asi zbláznil.
Přístup 2FA je prostě "bezpečnost na prvním místě". Jenže ne každý to tak chce. Je namístě hledat jiné přístupy, které buď nebudou tak náročné jako 2FA, nebo se smířit s kompromisní bezpečností.
-
Filip JirsákStříbrný podporovatel
Přihlašování pouze jménem a heslem není bezpečné. Takže je na místě hledat jiné přístupy – a jiný, bezpečný a pohodlný přístup už byl dávno vynalezen. Ten přístup se jmenuje „správce hesel“. Přijdu na stránku s přihlašovacím formulářem, stisknu
Ctrl+Shift+L, vyplní se jméno a heslo, přepnu se na input pro 2. faktor (pokud to stránka nedělá automaticky), stisknuCtrl+Va odešlu formulářEnterem. Jsou to tři nebo čtyři stisknutí kláves od prázdného formuláře po přihlášení s 2FA. Myslím, že je to podstatně jednodušší, než vaše přihlašování bez 2FA. Takže problém není v tom, že 2FA je náročné, problém je v tom, že používáte zastaralé způsoby přihlašování. -
Přihlašování pouze jménem a heslem není bezpečné.
A 2FA je bezpečné? Ani jedno není 100% a ani jedno není "žiadna ochrana". Ale o to nejde... je rozdiel ponúknuť vyššiu bezpečnosť, tam kde to používateľ chce, a je rozdiel niekomu nutiť aby zadával 800 tisíc prihlasovacích kódov do stránky, keď to má len bordel účet na jednu nekritickú činnosť, ako je napríklad zdielanie snipetov. Správca hesiel pomáha ale nie úplne. Druhý faktor proste niekedy cez správcu nejde.
17. 8. 2021, 15:30 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
A 2FA je bezpečné? Ani jedno není 100% a ani jedno není "žiadna ochrana". Ale o to nejde...
Tak proč takovou hloupost píšete, když víte, že o to nejde? Výše jsem vám vysvětloval, že jde o riziko. Bez 2FA je riziko napadení výrazně vyšší.je rozdiel ponúknuť vyššiu bezpečnosť, tam kde to používateľ chce
Jenže uživatelé tomu nerozumí. To je jako kdybyste v letadle nechával cestující, ať si sami určí, jestli má mít letadlo při přistání vysunuté klapky.keď to má len bordel účet na jednu nekritickú činnosť, ako je napríklad zdielanie snipetov
Ještě jednou – vůbec není důležité, k čemu web vy používáte. Podstatné je, k čemu ho může zneužít útočník. Pokud chcete jenom sdílet výstřižky kódu, nemusíte používat GitHub – použijte službu, která umí jenom sdílení výstřižků. Třeba tam pak nebudete potřebovat vůbec žádný účet.Správca hesiel pomáha ale nie úplne. Druhý faktor proste niekedy cez správcu nejde.
Pokud vám na GitHubu nefunguje správce hesel s 2FA, je asi na čase vyměnit správce hesel. -
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Používání správce hesel je z mého pohledu slabina v zabezpečení. Jedno prolomení a v čudu je úplně všechno.
-
Filip JirsákStříbrný podporovatel
Ovšem jenom z vašeho pohledu. Zabezpečit jednoho správce hesel je podstatně snazší, než zabezpečit tisíce webů, učinit uživatele supermanem, který bude neomylný a bude si pamatovat desítky nebo stovky hesel.
Bezpečnost se totiž neměří na ano/ne, ale měří se rizikem.
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Špatně. Centralizace je prostě chyba. Žádné zabezpečení není 100%, ale prolomení centrálního úložiště způsobí 100% škody. Tohle prostě není správný způsob řešení.
Mně stačí si pamatovat pár algoritmů a několik náhodných řetězců. Díky tomu mám ke službě vždy velmi silné a se znalostí výše uvedeného pořád odvoditelné heslo. I když někdo zjistí raw heslo k jedné službě, bude mu trvat dlouho, než z něj dostane ten algoritmus. A kdyby ho dostal, pořád je schopen mi zcizit jen část portfolia, protože jiný typ služeb má jiný algoritmus. V čem je to slabší než 2FA a správci hesel, to věru netuším.
-
Filip JirsákStříbrný podporovatel
To, že něco netušíte, opravdu není nejlepší kvalifikace. Asi byste nechtěl, abyste přišel do nemocnice a tam vám řekli: „Tady pan doktor věru netuší, kde byste mohl mít slepé střevo, takže vám ho zítra bude operovat právě on.“
Pro vaši informaci, cokoli, kam píšete ručně heslo, je mnohem slabší, než správce hesel. I kdybyste to heslo měl dlouhé třeba kilometr. Protože správce hesel nevyplní heslo omylem do webu, který sice vypadá správně, ale má trochu jinou adresu. Vy tam to heslo vyplníte, protože si toho rozdílu nevšimnete.
No a ta vaše „bezpečnost“ založená na utajování algoritmu, to je tak profláklý a starý případ špatného zabezpečení, že má dokonce své vlastní jméno: Security through obscurity.
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
No jo, ale vy zase spoléháte na to, že váš správce hesel nemá někde na darknetu exploit, nebo že se zrovna teď neobchoduje uniklá celá databáze z cloudu. Tak nevím, jestli ta moje "obskurita" není vlastně lepší. Už proto, že na mě musí jít útočník "jeden na jednoho".
-
Jenže vy už centralizujete, ať chcete nebo ne. Hesla proudí vašim počítačem. Pokud jej útočník úspěšně napadne, hesla získá v každém případě. Pokud je máte v hlavě, prostě si útočník počká, až je zase zadáte.
Častý omyl je, že přítomnost správce hesel nějak ovlivňuje bezpečnost uživatelova počítače. Nemá na ni vůbec žádný vliv, nekompromitovaný počítač je v každém případě nutností.
Co ovšem uložení hesel mění zásadně, je síla samotných hesel. Váš algoritmus je rozhodně slabší než moje náhodně vygenerovaná hesla. Můžete jich z různých služeb ukrást stovku, ale žádné další z nich nevykoukáte. Nemusí mě trápit, jak s mými hesly zacházejí ostatní. Každý web má unikátní heslo a jeho únik mě jinde neohrožuje.
Navíc vás hesla v hlavě nechrání před phishingem. Klidně heslo naklepete dřív nebo později do překlepové domény. Správce hesel to neudělá. Navíc u služeb, kde je to možné, používám U2F, které je proti phishingu zcela odolné. Únik hesla pak není bezpečnostní katastrofou.
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Vlámat se do konkrétního počítače je ovšem úloha vyžadující zásadní zájem pro tento čin. Prolomit konkrétní produkt nebo jeho cloudové úložiště je pro útočníka samo o sobě výrazně lukrativnější.
Ad překlepové domény - to jsem naposledy viděl někdy před deseti lety. V tomto směru víc frčí podvržené maily s odkazem.
-
lidé jsou předvídatelní, naše geniální algoritmy padají s obrovskám množstvím uniklých hesel a jejich hromadným zpracováním, dají se z toho vytěžit i hodně zamotané algoritmy.
I ten algoritmus je centralizace, stejně tak je centralizace jeden člověk, jeden počítat (stačí zákeřný monitorovací proces na něm a zjistí veškerá hesla), když už něco kritizuješ, měl bys používat stejný metr i na ostatní služby.
Správce hesel nechrání přímo tebe, tvůj počítač a tvoje systémy, ale chrání od hromadného zneužívání služeb při úniku nějakého hesla, stejně tak přidává značnou entropii k heslům (pokud hesla generuješ), takže efektivně brání slovníkovým útokům. Dnes se dostávám do situace, kdy bezpečná hesla si není snadné zapamatovat, zejména v tom množství.
Správce hesele je podobná centralizace jako SSO (přihlašování přes facebook, mojeid, státní identita či portály uvnitř firem atd.). Dnes se ukazuje, že je relativně bezpečné právě centralizovat systém s tejemstvím a udržovat nad ním silný dohled, to se samozřejmě může v budoucnu změnit, ale dnes to poskytuje solidní úroveň zabezpečení proti ostatním metodám.
-
Správce hesel ak nie je nijak prepojený cez cloud/Internet ale je len a len čisto na Vašom PC, tak nemôže byť nebezpečnejší, než keby nebol. Pretože ak sa niekto dostane do Vášho správcu hesiel, tak to znamená že už i tak má prístup k Vašemu systému, ktorý teda už není Váš a teda je absolútne jedno či to unesnie z password manageru, alebo si počká kým sa prihlásite a keyloggerom, alebo proste ani nebude získavať prihlasovacie údaje ale rovno jak ste prihlásený na "nie už Vašom PC" tak na pozadí vykoná operácie nad "nie už Vašimi účtami". Takže v prípade správcu hesiel neexistuje o nič vyššie riziko, než keby si to heslo zadával s papierika či kľudne aj zo svojej mozgovej pamäte.
17. 8. 2021, 22:37 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Ve správci hesel máte náhodně generovaná hesla. Takže to není jen pocit silných hesel (pokud si tedy generátor nenastavíte tak, že má generovat pětiznaková hesla jen z malých písmen).
To „stačí jeden průnik“ je nepochopení bezpečnosti. Je to stejné, jako kdybych tvrdil, že stačí vložit vám do mozku jeden čip, a vaše hesla, která máte jen v hlavě, jsou veřejná. Což je pravda – akorát to naráží na takový drobný problém, jak je pravděpodobné, že se takový čip podaří v blízké době vyvinout a implantovat vám ho.
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Vy pořád vycházíte z toho, že správce hesel je neprůstřelný a necloudový a operační systém je neděravý. Ale on může mít díru, backdoor, často jde kvůli pohodlnosti uživatele o cloudovou službu, což výrazně zvyšuje teoretický zájem o útok na správce jako produkt, než v případě jednoho počítače jednoho pana X.
-
Filip JirsákStříbrný podporovatel
Humanoid č. 1264054 - poruchový: Z ničeho takového nevycházím. Vycházím jenom z toho, co už jsem psal – že je podstatně jednodušší zabezpečit a auditovat jeden správce hesel než tisíce webů. Cloudový správce hesel ničemu nevadí, pokud jsou hesla šifrována a dešifrována na klientovi. Což je samozřejmě zase něco, v čem mohou být zadní vrátka. Ale já si prostě operační systém, prohlížeč, rozšíření do prohlížeče a správce hesel vybírám tak, abych mohl věřit tomu, že jsou bezpečné.
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Výborně. A já nevěřím tomu, že je něco tak bezpečné, aby mě to uspokojilo.
Realita bohužel moc často ukazuje opak. Nakonec je to teda věc víry :-) -
Filip JirsákStříbrný podporovatel
A já nevěřím tomu, že je něco tak bezpečné, aby mě to uspokojilo.
Takže používáte něco ještě daleko méně bezpečného. Mně to tedy logické nepřipadá, ale když to tak chcete… -
Správce hesel nepoužívám z důvodu bezpečnosti a z důvodu možnosti ztráty hesel. Co mám v hlavě, pokud nebudu mít nehodu s mozkem, nezapomenu. Navíc hesla mohu používat na více svých zařízeních. Moje hesla jsou hodně dlouhá, u jedné banky mám problém, že tak dlouhá hesla nepovoluje, což nechápu.
Správce hesel může být lokální, pak ale musí být na všech mých zařízeních (počítače, tablet, mobil atd.) a musím ho nějak stále synchronizovat, nebo mohu využít cloud, ale pak buď dávám svá hesla někomu cizímu, kterému důvěřuji a přes něj je používám/synchronizuji, nebo si to mohu řešit sám přes svůj lokální cloud, ale to vyžaduje infrastrukturu a znalosti. Navíc správci hesel je potřeba důvěřovat.
Mám několik způsobů, jak ty hesla dát dohromady. Pro nedůležité weby mám slabší hesla, na důležité naopak velmi silná, která nikde neukládám. Hesla také čas od času měním u těch důležitých webů.
Co je pro koho lepší si každý musí rozhodnout sám. Vždy záleží, jak s tím člověk nakládá. Oboje má své klady i zápory. Pro mě převažují klady pro dostatečně komplikovaná hesla v hlavě.
-
Filip JirsákStříbrný podporovatel
Vy si dokážete zapamatovat desítky hesel počítačem náhodně generovaných? Pochybuju. Spíš jste si sám vymyslel pár hesel – takže to, že jsou „dostatečně komplikovaná“ si jenom myslíte.
Je zábavné, jak vždycky někdo napíše, že se bojí úniku hesel ze správce hesel, a pak začne popisovat, jak riskuje únik hesla při každém jeho zadávání – protože vůbec nepočítá s phishingem. Správce hesel je dnes zkrátka ten nejbezpečnější způsob zacházení s hesly.
Mimochodem, pro synchronizaci přes cloud opravdu není potřeba, aby provozovatel cloudu měl k heslům přístup – šifrování už bylo dávno vynalezeno.
