כמו בכל שאלה של ניחוש סיסמה / חוזק, סביר להניח שהגורם החשוב ביותר הוא "מי התוקף".

להתקפות ניחוש סיסמאות מקוונות, על ידי תוקף שאינו מכיר אותך, החשוב ביותר גורם הוא להבטיח כי הסיסמה שלך לא תנחש לפני שנעילת החשבון תיכנס פנימה. כל עוד הסיסמה שלך לא נמצאת בין כמה מאות הבחירות המובילות, סביר להניח שאתה בסדר. מאוד לא סביר שיש לשער כאן מילים (במיוחד כאלו משיר שאינו כה פופולרי).

אם אתה חושב על תרחיש שבו אתר שיש לך חשבון בו נפגע והסיסמא שלך מסד הנתונים נשבר, ובכן סביר להניח שחשבונך במערכת זו נשרף, ולכן מבחינת עצירת האבטחה של חשבונות אחרים שלך המושפעים, הגורם החשוב ביותר הוא להבטיח שתשתמש בסיסמאות ייחודיות בכל אתר בו אתה משתמש. אם אתה יכול לעשות זאת עם מילות שירים, לא תושפע מהפשרה של סיסמה אחת.

אם אתה מסתכל על תרחיש בו התוקף מכיר אותך, הדברים נעשים מסוכנים יותר, במיוחד אם אתה ' גילינו את התוכנית בה אתה משתמש. יהיה קל יחסית ליצור בסיס נתונים של מילות שירים פופולריות ולהחיל אותו על סיסמה לא מקוונת. אבל מה שעליך לשקול הוא שמישהו שמכיר אותך עשוי לעשות זאת ... זו החלטת סיכון רק אתה יכול לקבל.

כמה שיקולים מעשיים עם תוכנית זו. יתכן שתיתקל בבעיות בשימוש בו באתרים המאכפים שיעורי סיסמה (למשל תווים מיוחדים). ייתכן גם שיש לך בעיות באתרים אשר אוכפים מגבלות עליונות שרירותיות באורך הסיסמה.

מצטער, אבל אתה לא האדם הראשון שחושב על זה כדי שתוכל להמר שהטכניקה הזו תהיה אוטומטית בכמה תוכנות לפיצוח סיסמאות. עדיף תמיד להניח שההאקר מכיר את ערכת הדור שלך בעת הערכת תוכניות מסוג זה.

אז עד כמה זה בטוח? ובכן גוגל מהיר של "מספר השירים בספוטיפיי" העלה את המספר 30 מיליון. ביצוע ספירת מילים על שיר אקראי ( https://genius.com/Tim-minchin-3-minute-song-lyrics) העלה 483 זה בערך מספר המילים בשיר. עבור סיסמא בת ארבע מילים תוכלו לנחש כך: "גלגלי ה"," גלגלי האוטובוס "," האוטובוס הולכים "וכן הלאה (זו לא הדרך החכמה ביותר לנחש, אתה יכול להכניס את הביטויים שלך ל הגדרת hash תחילה להסרת כפילויות).

שימו לב כי שימוש במילים רבות יותר לא ממש מגדיל את האנטרופיה עד כדי כך. יש 483 מילים בשיר, יש 482 ביטויים של 2 מילים, 483 ביטויים של 3 מילים וכן הלאה.

אז, 30 מיליון * 500 = 15 מיליארד או 33 סיביות אנטרופיה או פי 2048 פחות מאובטח יותר מאשר צורת סיסמה של מילים אקראיות למעשה. זו הערכת יתר של אבטחה בגלל אופטימיזציה של ערכת החשיש.

כל סוג של מנהל סיסמאות יפתור לך בעיה זו. נכון לעכשיו, אתה מנסה לסבך סיסמאות יתר. מילות השיר הוא בהחלט רעיון מעניין לסיסמה, והאורך לבדו מאובטח יחסית, אך אם אתה רוצה שיהיה לך משהו מאובטח שתזכור, ולא תגרום לבעיה השתמש במנהל סיסמאות.

זה תלוי מאוד באיזו מידה ההנדסה החברתית מתבצעת.

אם התוקף ידע רק שאתה משתמש במילים של שירים והיו מיליון שירים לבחירה אקראית של מילות השיר, זה יהיה בטוח מספיק עבור חשבונות בסיכון נמוך.

אבל אתה לא בוחר בשירים באופן אקראי. אני מניח שרוב השירים שאתה מאזין הם ממגוון קטן יחסית של ז'אנרים ולהקות. אם לתוקף יש ידע מפורט אודות המוסיקה המועדפת עליך, מספר השירים יצטמצם לכמה מאות והאסטרטגיה שלך תהפוך לחסרת ביטחון.

מידע זה יכול להיות ממש קל: אפשר לשאול את החברים שלך. על הטעם שלך בנוגע למוזיקה, אם הוא לא מכיר אותך בעצמך. אם אתה משתף את המוזיקה שאתה מאזין באמצעות פייסבוק ומזהה או lastfm זה נהיה קל עוד יותר.

אורכו של השבר כבר לא ישחק תפקיד גדול מכיוון שסדר המילים מוגדר על ידי השירים. למעשה, אם אתה משתמש רק במשפטים או בשורות מלאות זה יפחית את האבטחה עוד יותר.

בהנחה שאתה משתמש בשורות מלאות מתוך מבחר של 100 שירים, שכל אחד מהם מכיל 20 שורות שונות (שורות הפזמון לספור רק פעם אחת), בסופו של דבר תצטרכו לפחות 2000 סיסמאות שונות.

אלו פחות סיסמאות אפשריות מאשר בשימוש בשתי אותיות לטיניות אקראיות (אותיות קטנות וקטנות מותרות), כמו "yA" או "UD".

כדי לסיכום, זה רעיון רע להשתמש בטקסטים של שירים כסיסמאות.

כאשר אתה משתמש בביטויי סיסמה של מספר מילים, הסיסמה שלך גדולה מספיק כדי להיות חסין מפני התקפות כוח פשוטות. אבל החולשה כאן היא שאתה לא משתמש ב -4 מילים אקראיות משיר אבל אני חושב שתשתמש במשפט אמיתי עם משמעות בפני עצמה בסדר השיר . אם אנו מגבילים תוכנית אוטומטית למשפטים מ -4 עד 8 מילים (*), נקבל לכל שיר מספר של 5 * מספר מילים. לא הרבה יותר מכמה אלפים לשיר משותף. כשאני חושב על מילון אוטומטי כמו התקפה, אני לא שוקל את המשמעות כאן. אבל אני חושש שאין מספיק שירים כדי להפוך את שיטת הסיסמאות הזו לעמידה בפני התקפה ממוקדת.

במובן זה, תשובה זו אינה שונה בהרבה מזו של ה- BBC: הדפוס הטוב ביותר לבניית הסיסמה היא להשתמש ללא תבנית. זו הסיבה שלמנהלי סיסמאות יש מוניטין יפה כאן, הם מאפשרים להשתמש בסיסמאות אקראיות אמיתיות ש על ידי בנייה עמידות בפני כל התקפות ... למעט סדרת צינור הגומי שכאן יכללו התקפות מקומיות נגד מנהל הסיסמאות, אם סיסמת המאסטר חלשה ...

(*) פחות מ -4 יובילו לביטויי סיסמה קצרים באמת, ויותר משמונה בקרוב מייגע להקליד ידנית.

דבר אחד שחשוב לא מעט הוא איזה שיר תבחר. אם נניח שיש סוג כלשהו של ערכת אוטומציה, הם הולכים לנסות להשתמש במילים מבין 40 סוגי השירים הראשונים לפני שהם מתעמקים במילים לא ברורות יותר. שוב, זה המקום שמישהו שתוקף אותך באופן אישי יכול לשנות דברים: אם הוא מכיר את בחירות המוסיקה שלך, הוא יכול לקחת את הזווית הזו ולהצר את בחירת השיר שלו.

אתה יכול לעשות איזשהו שינוי בסיסי למילות השיר, כמו לקחת את האות השנייה של כל מילה בביטוי ארוך או לשנות אותיות מסוימות למספרים. זה יפחית את הסיכון שלך למישהו שממקד אליך במידה ניכרת.

אני מציע במקום זאת להשתמש במשפטים כולל פיסוק ואז להשתמש רק באותיות (באותיות רישיות) של אותו משפט. הוסף מספרים אם תרצה. הבעיה במילים היא שניתן למצוא אותן במילון, מה שהופך את הסיסמה שלך להרבה פחות בטוחה ממה שהיית חושב.

לזכור משפטים זה די קל. מערכת זו הובילה לכך שיש לי פחות מ -10 סיסמאות ארוכות עם פיסוק מעורב ותווים שאינם מילים, עד 15-20 כשחשוב. זה קצת יותר בטוח, ועדיין קל לזכור.

אתה בטח יכול להשתמש בזה עם המילים שלך אם אתה רוצה.