Új hozzászólás Aktív témák

• #31 Egon nagyúr FіkuszKukіsz #29

  Új Válasz 2016-03-01 19:02:49 #31

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Egon

  nagyúr

  válasz FіkuszKukіsz #29 üzenetére

  Nem gondolnám, hogy így van.
  Vegyünk egy példát. Win-es környezetben (márpedig a legtöbb munkahelyen Active Directory van), beállítod, hogy a jelszó mondjuk min. 10 karakter hosszú legyen, és engedélyezed a bonyolultságot. Ez azt fogja jelenteni, hogy a kisbetű-nagybetű-szám-speciális karakter négyesből, legalább háromnak szerepelnie kell a jelszóban. A Crysislab kutatása szerint, a magyar nyelvterületen használatos leggyakoribb jelszavak egyike pl. a "budapest" szócska. Ha valaki ezt nagybetűvel kezdi, és hozzábiggyeszti mondjuk a születési éve utolsó két számjegyét (tipikus), akkor a (mondjuk) "Budapest83" szócska jön létre, amit a rendszer el fog fogadni, holott minden lesz, csak nem biztonságos.
  Szerintem a rendszeres, biztonságtudatosság-fokozó oktatás és kampány, valamint ellenőrzés az, ami (jobb esetben) segíthet abban, hogy a dolgozók túlnyomó többsége normális jelszót válasszon. Persze nyilvánvaló, hogy ettől még szigorú policy kell.

  "Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

• #33 Egon nagyúr FіkuszKukіsz #32

  Új Válasz 2016-03-01 19:19:59 #33

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Egon

  nagyúr

  válasz FіkuszKukіsz #32 üzenetére

  Jah, tisztában vagyok vele. Csak azt nem tudom, hogy ennek mi köze van a jelszavak erősségéhez...
  Az, hogy mennyi ideig érvényes, max. akkor releváns, ha olyan hash-algoritmust használsz (pl. B-crypt), ami nem teszi lehetővé a túl gyors törést. Az alapértelemeztt NTLM v1-es hashből már évekkel ezelőtt 350 milliárd hash-t lehetett generálni másodpercenként, egy viszonylagosan nem túl drága konfiggal. Ergo ilyen szempontból cseréltethetnéd kétnaponta a jelszavakat, amire kb. mindenki lázadna (még a három hónapos jelszócsere sem egyszerű, főleg ha több rendszert is használ a júzer).
  Hányszor ronthatod el megintcsak nem releváns (általában a hash-t törik, nem a jelszót): nyilván nem érdemes végtelenre állítani, de nem gondolnám, hogy az 5 és a 10 engedett próbálkozás között szignifikáns különbség lenne biztonság szempontjából (sokkal fontosabb, hogy logolva legyen, illetve riasszon az üzemeltetésnél, ha mondjuk kettőnél többször próbálkoznak, és hogy ilyen esetben meg is legyen keresve a felhasználó, hogy tényleg ő cseszte-e el a jelszavát többször is, vagy valaki próbálkozik).
  Ismétlődések kizárásának akkor van jelentősége, ha kompromittálódott az előző jelszó.
  Summa summarum: attól, hogy (szélsőséges példák) csak max. egy hétig érvényes egy jelszó, max. háromszor ronthatod el, és a következő 4096 jelszónak el kell térnie legalább 9 karakteren az előző jelszótól, még be lehet azt állítani, hogy "Budapest83"... Ergo szükség van oktatásra is (még egyszer: nem becsülöm le a policy jelentőségét, de önmagában kevés).
  Manapság már nem a képernyőre ragasztják ki a jelszavukat a felhasználók, hanem egyből a monitor típusát adják meg jelszónak, hogy ragasztani se kelljen...

  [ Szerkesztve ]

  "Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

• #37 Egon nagyúr FіkuszKukіsz #36

  Új Válasz 2016-03-01 20:21:04 #37

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Egon

  nagyúr

  válasz FіkuszKukіsz #36 üzenetére

  Az NTLM v1-nek már nem ajánlott a használata pont ezért.
  Szerinted én nem tudom? Poénból hoztam fel a B-cryptet?

  De a cikk nem is hash törésekről szól.
  LOL, akkor mégis miről szól szerinted, amit linkeltem?

  Inkább hagyjuk. Eddig kb. mindent tételesen cáfoltam, amit írtál, az okoskodásból meg nem kérek. A témát részemről lezártam.

  [ Szerkesztve ]

  "Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

• #38 Egon nagyúr Phvhun #35

  Új Válasz 2016-03-01 20:25:28 #38

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Egon

  nagyúr

  válasz Phvhun #35 üzenetére

  Na ja.
  Szimpla matematika, hogy a bonyolultság fokozásával lineárisan, a jelszó hosszal viszont exponenciálisan nő a variációk száma.
  Viszont a szótáralapú támadások nehezednek a bonyolultság fokozásával (különleges karakterek).
  Nagy általánosságban pedig azt gondolom, hogy a jelszavak ideje lejárt. Kétfaktoros autentikáció kell.

  "Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Új hozzászólás Aktív témák