השאלה שלי לא נוגעת לעוצמה המתמטית של סיסמאות, אשר ברור שתלוי בתוכן שנבחר וכיצד ניתן לבצע סיסמאות, אלא יותר לחיזוי הכמות הכוללת של סיסמאות אפשריות. סביר להניח שצצים בשיטה זו.
זו שאלה טובה, ואני הולך לצאת מהמקובל כאן, חבש את כובע נייר העץ שלי ואומר "לא, זה זה לא רעיון טוב. " למה? בואו נסתכל על זה בהקשר של דליפות סנודן.
מכיוון ש GCHQ מרגל אחר כל התנועה באינטרנט הבריטי, ו על פי דליפות סנודן, תעבורת האינטרנט שלך משותפת עם חמש העיניים. גם אם אתה משתמש ב- HTTPS, זה רעיון רע.
"אבל מארק באפלו, אתה שוב חובב נזיר מטורף!" תחשוב על זה. הזמן לפיצוח הסיסמה שלך הצטמצם לפתע ובאופן משמעותי. כיצד?
- GCHQ לוקח היסטוריה של החיפושים המקוונים שלך. הם ככל הנראה יודעים מתי נרשמת לאתר מסוים בזכות XKeyscore.
-
אם הם יודעים מתי נרשמת לאתר זה, הם יראו שהלכת Google.com בערך באותה תקופה וחיפשה מילות שירים. גם אם אתה משתמש ב- HTTPS, העובדה שהתחברת ל- google.com באותה תקופה ואז ביקרת באתר שמארח מילות שירים, היא כל מה שהם צריכים כדי להתחיל לשבור את הסיסמה שלך.
- גם אם הם לא יכולים לראות את התנועה, הם עדיין יכולים לראות שהתחברת. גם אם אתה משתמש ב- HTTPS, זה לא מונע מהם לארח אתרי ליריקה בעצמם. זה גם לא מונע מחברות לרשום את תוצאות החיפוש שלך, וזה לא מונע מהחברות לספק את התוצאות האלה לאף אחד. אם הם יודעים איזה סוג של שירים אתה אוהב, או לא אוהב, זה מקל עוד יותר.
-
עכשיו הם יכולים לכתוב אלגוריתם כדי לפצח את הסיסמאות שלך הרבה יותר קל מאשר לאלץ כל שילוב אפשרי. או אפילו יותר טוב, השתמש בפצח סיסמאות מוכן עם מילון מסופק של התוצאות האלה.
אבל מארק באפלו, הממשלה לא עוקבת אחרי!
כל זה בסדר גמור. בדרך כלל אינך צריך לדאוג לגביהם אלא אם כן אתה פושע. או שאתה מודע לפרטיות. או שאתה חוקר אבטחה.
יש עוד היבט חשוב שעליך לשקול, שלדעתי הוא גרוע בהרבה מהממשלה: חברות פרסומות והאקרים "אבל מארק באפלו , אני משתמש ב- NoScript (נהדר) ו- Ghostery (Ghostery מוכרת את המידע שלך)! " רוב האנשים לא משתמשים בהם. ואנשים רבים שעושים זאת, גם לא משתמשים בכלים אלה כשהם משתמשים בסמארטפון שלהם.
ישנם מסלולי נתונים בכל מקום, במיוחד אם אתה הבעלים של טלפון חכם (במיוחד אנדרואיד), ויש המון חברות שיווק מרושעות שימכרו את הנתונים שלך במורד הנהר את הסיכוי הראשון שהם מקבלים. או אולי הם לא חברות מרושעות, אבל הם נפרצים על ידי האקרים.
כל אדם עם "צורך" יכול לקנות את הנתונים האלה, והמי שמבוטל מספיק יכול לגנוב אותם. אמנם זה נראה כמו דאגה מטורפת לדבר כל כך קטן עבור רוב האנשים, אבל זה מחמיר הרבה יותר כשאתה מתעמק בתחום הקבלנות הפדרלית. זו אחת הדרכים שמתחילות הפרות אבטחה.
ניתן לבצע את כל השלבים שצוינו קודם ללא XKeyscore. ניתן לעשות זאת בקלות רבה באמצעות מאגרי שיווק עצומים.
עצור את נייר הזכוכית, סמן.
אם הייתי חובש את כובע נייר העץ שלי עכשיו, הייתי מאמין למאמר זה נעשה כחלק מתכנית להחלשת הסטנדרטים בכוונה. אני באופן אישי מאמין שהחלשת התקנים מהווה סיכון ביטחוני לאומי, במיוחד כאשר הקבלנים הפדרליים מאמצים את אותם סטנדרטים מוחלשים.
באופן אישי הייתי דואג יותר לחברות שיווק והאקרים מרושעים מאשר לממשלה . במיוחד כשסטנדרטים מוחלשים בכוונה הם ש עוזרים למדינות שעלולות להיות עוינות להשיג גישה בלתי מורשית לתשתית קריטית ולקניין רוחני.
אך ברצינות, הדבר מחליש את הסיסמה שלך
עכשיו בואו נדבר על מספרים והנדסה חברתית.
עם כוח ברוטלי רגיל של סיסמה זו, סביר להניח שתזדקק לתווים הבאים בהתבסס על מדיניות סיסמאות זו: pre> abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789! @ # $% ^ & * () -_ + =
זה 76 תווים אפשריים. בשיטת סיסמה זו, בהנחה שרוב האנשים ישתמשו ב-6-7 מילים כדי ליצור את הסיסמה, ואולי יוסיפו סמל אחד - ! @ # $% ^ & * ()
שהוא הנפוץ ביותר - בתוספת מספר , תצטרך לבדוק - עבור סיסמה בת 8 תווים - שילובים של 1,127,875,251,287,708
כדי למצות את שטח הסיסמה. זה יכול לקחת הרבה זמן בלתי תלוי בהתאם לאלגוריתם הגיבוב ו חומרה.
בואו נשתמש ב- md5 כדוגמה (זה נורא, אבל זה זול מבחינה חישובית. בבקשה אל תעשה ' לא להשתמש ב- md5; אני משתמש בו רק כדוגמה) . כדי למצות את מרחב הדמויות של סיסמה בת 8 תווים, ייקח 4 שנים לפצח אותה עם תחנת עבודה זולה. בערך 4 שנים 25 ימים 7 שעות 46 דקות 54 שניות. אם תעלה את אורך הסיסמה ל 9, זה ייקח יותר מ -309 שנים. זכור שכוח העיבוד גדל במהירות.
לימוד פרמטרים נוספים על סיסמת המשתמש מאפשר לך לפשט זאת. נניח שאתה בוחר בשיר הבא: תינוק היכה אותי פעם נוספת . זה השיר האהוב עליך, ואני יודע את זה מכיוון שהנדסתי אותך חברתית לספר לי. בואו לבחור ביטוי לירי צפוי ליצירת סיסמה עם: הכו לי תינוק פעם נוספת . זה הופך להיות HmBomT
. עכשיו בואו נוסיף קצת עלה עם מספר. עכשיו יש לנו H @ BomT3
. עכשיו שאנחנו מכירים את השיר המועדף עליכם ואת הביטוי המועדף עליכם, זה מה שמרחב האלפבית של הסיסמה שלכם הופך להיות:
hHmMbBoOmMtT1234567890! @ # $% ^ & * () -_ + =
כפי שאתה יכול לראות, שטח האלף-בית הזה מצטמצם משמעותית. זה הרבה הרבה יותר מהיר אם אתה יודע באיזו אופי הסיסמה מתחילה, אבל נניח שלא. בואו נניח שזה עבר אקראי. עכשיו הפחתת את הזמן הדרוש למיצוי שטח הסיסמה לשילובי 2,901,713,047,668
, לוקח 3 ימים לפצח את הסיסמה עם תחנת עבודה זולה. בואו נשדרג אותו ל -9 תווים. עכשיו זה לוקח 137 יום 15 שעות 47 דקות.
אתה יכול לחשב זאת בעצמך (טקסט: מותאם אישית). כמו כן, כל זה מניח ש אין לכם אשכול GPU ייעודי.
EDIT :
הגעתי לתשומת ליבי שיש עדויות לפתרונות חומרה מותאמים אישית המוקדשים לפיצוח bcrypt, אחד מהם הוא הרבה פחות יקר ממערך 25-GPU, משתמש פחות בהספק, והוא עדיף בהרבה מכל הבחינות. אנא קרא את המאמר המדהים הזה אם אתה רוצה ללמוד עוד.
אך האם לא עלינו פשוט להגדיל את אורך הסיסמה?
כן, אתה יכול . למען האמת, זה מגביר מאוד את האנטרופיה כאשר אתה מגדיל את אורך הסיסמה.
עם זאת, אז זה הופך להיות מעצבן להיכנס - במיוחד עבור סביבות ארגוניות הדורשות ממך לצאת בכל פעם שאתה עוזב את המחשב. נוסף על כך, קשה מאוד לזכור את הסיסמה הזו.
בסופו של דבר אתה עלול לשכוח אותו לאחר הזנת סיסמאות שונות ונאלץ לשנות כל כמה חודשים. גרוע מכך, אתה יכול לשכוח את זה מיד ולהיאלץ לבקר בדלפק העזרה של ה- IT כדי לאפס את הסיסמה שלך. זה גורם לעלויות לעסק ולאיבוד התפוקה.
למעשה, שיטה טובה יותר תהיה xkcd מצרך נכון של סוללות סוסים
. אתה יכול להשתמש באותיות גדולות איפשהו, ובמספר במקום אחר, או שאתה יכול להקל עוד יותר תוך כדי הגדלת האנטרופיה: משהו כמו בנזין מצרך לסוללה נכון
. קל מאוד לזכור, קל מאוד להקליד וקשה מאוד למחשבים להישבר. זכור גם כי זה צריך להיות נוצר באופן אקראי מרשימת מילים משנת 2048.
עבור אתרים, אמליץ על מנהל סיסמאות כגון KeePass. לא הייתי משתמש ב- LastPass מכיוון שהוא חשוף להתקפות דיוג. אתרי אינטרנט יכולים לדעת שהפעלת LastPass, מכיוון שהדפדפן שלך שולח מידע זה לאתר אם נדרש זאת! זה חלק מאופן טביעת אצבעות הדפדפן עובד.
עבור כניסות ארגוניות ואחרות שאינך מסוגל להשתמש איתן במנהל סיסמאות, אמליץ על גרסה של מצרך נכון לסוללות סוסים
עם מילה נוספת. אולי נכון בנזין מצרך לסוללות סוס
? הרבה יותר קל לזכור.