IT в России и мире в реалиях мирового кризиса
1,298,792
7,820
|
VictorS ( Слушатель ) |
| 21 мар 2019 08:57:10 |
На ВДНХ сделали карту знакомсв
новая дискуссия Новость 509
Все бы ничего, но народ ржет, Голубой сектор отделили от Розового
ОТВЕТЫ (13)
|
|
Mich1970 ( Слушатель ) |
| 21 мар 2019 22:15:45 |
Цитата: JanJan от 21.03.2019 12:24:43
У меня как то на служебном ноутбуке был пароль "семидесятипятимиллиметровый". Я его вслепую набирал всегда буквально за три секунды. Начальнику один раз понадобился ноутбук, пока я был в отпуске. Он мне потом сказал "Ты псих параноик, три человека не могли правильно его ввести"
--
Как выбрать пароль
Напилася я пьяна, не дойду я до дому,
Довела меня тропка дальняя до вишнёвого сада
Будет выглядеть так:
nypndydddmtddvs
|
|
Удаленный пользователь |
| 21 мар 2019 22:50:56 |
Цитата: Mich1970 от 21.03.2019 22:15:45
Занудства ради, гораздо лучше
- набирать не латиницей, а просто не переключая раскладку - yzgylzlllvnlldc
- если уж совсем лень использовать спецсимволы, то можно хотя бы использовать фразу с цифрам и русскими буквами, для которых на клавиатуре нет английских букв - х, ъ, ж, э, б, ю, ё
А профессионалы используют менеджеры паролей и встроенную в них автогенерацию. Тогда достаточно помнить только мастер-пароль
З.Ы. не реклама, но passwordstore . org. Для тех кому не лень заморачиваться с pgp-ключами и держать git для хранения
|
GT-R ( Слушатель ) |
| 21 мар 2019 23:46:28 |
Для интереса, почитайте про т.н. rainbow files. Оптимизма по поводу менеджеров паролей для профессионалов поубавится. Только хардкор, только многофакторная аутентификация.
|
|
Удаленный пользователь |
| 22 мар 2019 00:47:08 |
Цитата: GT-R от 21.03.2019 23:46:28
Слышали звон? Так вот, меня вы им не напугали
- радужные таблицы на типичный сгенерированный пароль символов в 30 занимают настолько большой объём, что их просто нет в природе. Скажем, если использовать оба регистра только английских букв, 26 + 26 + 10 цифр + десятка полтора спецсимволов, то это будет грубо 75 в 30-той степени, или 10 в 58 степени, если онлайн калькулятор не наврал. Умножая на длину хэша, получаем порядка 10 в 60 степени. Террабайт - это всего-то 10 в 12 степени, если считать его в степенях 10, а не 2, так что потребуется всего-то где-то террабайт террабайтов террабайтов террабайтов террабайтных дисков для хранения - нету столько дисков на планете. В наблюдаемой вселенной атомов всего-то примерно 10 в 80-той степени.
- эти таблицы бесполезны чуть более чем полностью, если хэш от пароля считается с солью, разной для каждого пароля, просто потому что на каждую соль нужно считать отдельную таблицу
- для применения этих таблиц на практике нужен доступ на чтение хэшей паролей в БД, который обычно не раздают всем желающим
А про многофакторную аутентификацию ... на миллиардах сайтов её нет. Что же, совсем на них не ходить что ли? Не говоря уже о том,что пароли бывают не только от сайтов ...
|
|
GT-R ( Слушатель ) |
| 22 мар 2019 02:54:55 |
Заказывайте диск за ~$700 overnight - завтра утром пришлют все хэши 16 символьных паролей. Прежде сложения порядков, не забываем, что хэши имеют коллизии.
Наезды типа "слышал звон" не воспринимаю. По подтверждению Вами Ваших credentials, пришлю в личную почту номер своего CISSP - можете проверить на ics2.org
|
|
Удаленный пользователь |
| 22 мар 2019 11:06:26 |
Цитата: GT-R от 22.03.2019 02:54:55
Гы, я и сам способен посчитать хэши. Вот только есть несколько алгоритмов хэширования, ну и соль. Еще раз, на каждую соль нужна отдельная таблица. А коллизии вам не очень помогут при составленнии таблиц, Не верите мне, держите ссылку
ЦитатаК примеру, для паролей длиной не более 8 символов, состоящих из букв, цифр и специальных символов !@#$%^&*()-_+= , захешированных алгоритмом MD5, могут быть сгенерированы таблицы со следующими параметрами:
- длина цепочки — 1400
- количество цепочек — 50 000 000
- количество таблиц — 800
При этом вероятность нахождения пароля с помощью данных таблиц составит 0,7542 (75,42 %), сами таблицы займут 596 ГиБ
То что вам впариват про все 16-символьные за 700$ - это профанация и развод на деньги. Только 8-ми сивольные, с явно урезанным алфавитом, только md5, только 75% хешей - уже пол-террабайта. Арифметику не обманешь.
Ну и про соль и почему она делает бессмысленными радужные таблицы ниже по той же ссылке
|
Поверонов ( Слушатель ) |
| 23 мар 2019 11:34:35 |
keylogger на все ваши пароли. Перенос пароля копи-пастом элементарно перехватывается жабоскриптом из браузера и отправляется куда захочет. Clipboard открыт для всего интернета.
|
|
pkdr ( Слушатель ) |
| 23 мар 2019 00:15:26 |
Зачем, если можно обойтись связкой keepasx и любое файлохранилище типа дропбокса?
Сорри за офтоп.
|
|
Удаленный пользователь |
| 23 мар 2019 01:03:19 |
Цитата: pkdr от 23.03.2019 00:15:26
pass - это просто скрипт, состоящий из одного файла и он работает просто из коммандной строки, причём этим уже можно пользоваться. При этом он понимает pgp и git, что делает его необычайно мощным и гибким. Разумеется, к нему приделаны и gui-морды, и расширания для браузеров, и программы для android и ios, и много других гитик ...
Чего такого может он, а kepass в любых его проявлениях не может ? Да вот например - я из дома добавил несколько паролей и по каким-то причинам не синхронизовал базу, а потом на работе добавил ещё несколько паролей, не видя добавленного дома. Я по-любому что-то потеряю при синхронизации, или добавленное дома, или добавленное на работе. А через git всё смерджится, и более того - бонусом доступна вся история изменений, а иногда это нужно
Кеераss и его аналоги - для чайников, а для умеющих git - pass на порядок лучше
З.Ы. Lastpass удобней чем keepass и его производные, и у него даже есть бесплатный вариант, которого чайникам хватит за глаза
|
|
Head790 ( Слушатель ) |
| 23 мар 2019 12:31:32 |
Всё - для чайников либо более продвинутых чайников:) Пароли, кроме мастер-пароля(и соли, в некоторых реализациях), вообще запоминать нет необходимости, если их генерировать и вычислять(на этой же системе или любой другой с соотв. программой генерации или браузерным расширением), например по домену сайта(названию программы или ещё чего либо запароленного), соли и мастер-паролю, как описано в PBKDF2, например. Ну и без 2FA сейчас никуда.
|
|
Старпом ( Слушатель ) |
| 21 мар 2019 13:56:18 |
У этого Когана русских образов в голове нет? Нах нам эти голивудские жевачки.