O heslech

Ti paranoidnejsi z nas sifruji rovnou cely diskovy oddil hesly delsimy nez dvacet znaku (velka, mala pismena, cislice, interpunkce):-D

Nemyslím si, žeby si to preháňal. Si proste opatrný. Tak ako ja. No keď už niekto ide po firémnych informáciách, tak má po ruke nejakého experta, ktorého by ste silnejším heslom akurát potrápili. Inak nemyslím si, žeby polícia mala nejakých super expertov. I keď je to v podstate jedno, ak sa bavíme o legálnom softvéry a legálnych činnostiach firmy.

S tými Wi-fi sieťami je to už iné. Môže bývať v paneláku plnom dôchodcov, no k nim chodia ich deti a vnúčatá, ktoré to už s technikou trocha vedia. A keby chceli tým dôchodcom zriadiť internet, tak ich môžu pripojiť aj takto načierno. Takisto by sa mohli na lavičkách pred bytovkou začať zhromažďovať ľudia s notebookmi a využívať váš bezplatný AP. :D Sám som sa čudoval, koľko Wi-Fi sietí je nezabezpečených. Keď som bol v zime na lyžovačke v Tatrách a býval som v strýkovom byte, tak pripojiť sa v paneláku na internet nebol žiaden problém. Boli tam asi 4 siete a žiadna nebola zabezpečená. A to nie je v okolí žiadna reštaurácia ani nič podobné s verným AP. Jednoducho typický ľudia, ktorí prídu domov, zapoja wi-fi router, zistia, že to funguje, a o ostatné sa nestarajú.

Jednoducho treba pochopiť mentalitu ostatných ľudí a zmieriť sa s tým, že neprijímajú naše rady. Aspoň máme internet zadarmo. ;)

Podla mna to s heslami a bezpecnostou netreba prehanat. Optimalne riesenie je take, kde je co najmensi pomer diskomfortu zamestnanca voci bezpecnosti. Kludne podla mna staci aby heslo bolo dostatocne dlhe, nebolo slovnikove a obsahovalo navyse nejake cislo - taketo hesla sa tvoria lahko nahradenim jedneho pismenka dlhsieho znameho slova za ine a pridanim cisla (napr.: strohcek32, jozemko46, mitacik85, intermet77 a pod. :-)

A este k tej ochrane WiFi. Osobne si myslim, ze jedine realne ucinne zabezpecenie je WPA2 s dostatocne dobrym heslom a pri jej pouziti uz ine ochrany ako napr. filtrovanie MAC adries nema vyznam. Kto vie / resp. nejako sa mu postasti prekonat WPA2, tak pre toho uz obidenie MAC filtra nie je ziaden problem.

Dle mě je kompromis hesla pro běžného uživatele 6 znaků a dva z malé, velké, číslo. Problém je v tom, že když jim dáte složitější heslo, tak si ho napíšou na lísteček a dají někam na stůl.

Pro větší bezpečnost je pak, dnes, lepší použít jinou metodu než heslo. Otisk, kartu, RSA ID token.

Ad wifi - zazil som uz aj takyto scenar (nie na vlastnej kozi): naburanie wifi, rozosielanie spamu, zablokovanie od providera. Prvykrat zadarmo, druhykrat by to uz bolo udajne za poplatok. Takze riziko nie je len v poskytovani bezplatneho pristupu na internet. Nehovoriac o tom, ked niekto cez vase wifi nabura nejaku instituciu.

Pri krádeži notebooku kvôli dátam ak sú dáta nešifrované, tak zisťovanie hesla nebude nikto robiť - proste ten disk pripojí do iného systému. Takže predpokladám, že na prístup k dátam to heslo skutočne treba. V tom prípade by som povedal, že tie hrozby sú tak zhruba odhadnuté a zložité heslo pomôže.
Pri wi-fi: Ja som doma nechal wi-fi nezabezpečené schválne. Ja tiež niekedy využívam cudzie wi-fi, tak nech môžu ľudia využívať moje. Ale nejak si prestávam byť istý, či je to dobrý nápad.

Jakékoliv zabezpečení je vždy kompromisem mezi bezpečností a uživatelskou přívětivosti. Pochopitelně také platí, že čím lepší zabezpečení, tím vyšší náklady. Je už pak na zvážení každého, do jaké míry se mu vyšší zabezpečení vyplatí a kdy to nemá smysl. Na druhé straně, to, že jsem paranoidní neznamená, že po mě nejdou ;-)

Dělám do IT dost dlouhá. Mé rychlé shrnutí:
- Pokud něco mám v poště na Seznamu, Google, Yahoo... tak heslo je k těmto mailům takovou hračičkou. Copak asi víme o lidech co spravují mailové servery někde z Indie?
- MS Windows (sedmičky jsem s tím ještě neskoušel)- Díky jednomu SW umístěnému na CD/flašce během 10ti minut odhesluji všechny účty (v práci mi za to ještě poděkují a uvaří kafíčko). Průměrně tak u 30 userů za rok.
- Mobilní telefonu - odblokovány za asi 100 Kč.
...
Takže zbývá jedině šifrování. Ale k ho užívá?

Ad heslo - IMHO jediné důležité parametry jsou délka a neslovníkovost, pro brute force útok má velké písmeno stejnou váhu jako malé, ledy by útočník věděl, že jsou použita jen malá.
Ad wifi - nejde jen o zneužití té konkrétní sítě, ale o možný odposlech. Jedno jsem zkoušel prohledávat dumpy kismetu (získané na různých místech jako zcela vedlejší produkt hledání sítí) a nestačil jsem se divit.

Můžu se zeptat, k čemu je dobré vynucení změny hesla po určité době? Pokud jsem tak neopatrný, že někdo mnou zadávané heslo „náhodou“ zahlédne, zahlédne ho náhodou znova i po změně. Pokud na mne někdo útočí cíleně, a získá moje heslo jednou, nebude problém získávat o každou jeho změnu. Podle mne je vynucení změny hesla nejjednodušší způsob, jak bezpečnost ve skutečnosti snížit, protože bude mít uživatel heslo někde napsané.

Přesně tak. Toto je nejčastější chyba administrátorů (bezpečáků) amatérů. Myslet si, že čím přísnější politiky na heslo, tím větší bezpečnost. Od určité úrovně to funguje přesně obráceně. Většina lidí rezignuje (či spíše je donucena rezignovat) a heslo nebo jeho variabilní část si píší na papírky/pod klávesnici ... Mluvím o přístupových heslech např. do OS/domény... A běžném vzorku uživatelů. A je to vlastní zkušenost. prostě i zde je třeba selský rozum a elementární psychologie.

nic se nesmí přehánět, s takovými pravidly bych vás poslal do míst kde záda ztrácí slušný název taky...

Žádné heslo resp. jeho autor neodolá španělské botě ;)

Takové jelito, kteté dělá obchodního zástupce (a jistě je mistrně ovládá práci s počítačem a zjevně je s problematikou IT srozuměn mnohem lépe než kdejaký pochybný ajťák), má zajisté všechna hesla stejná, v lepším případě navíc intranetové/mailové poctivě uložené v prohlížeči nejlépe v nechráněném tvaru (neukládám přece hesla jenom proto, abych je nahradil zadáváním hesla dalšího), o přihlašovací heslo do domény se případně postará operační systém sám, který ho cachuje pro případ, že doména není k dispozici. Data potřebná pro připojení do VPN najdu taktéž poctivě uložené na v počítači. Mám pokračovat? ;)

Samozřejmě tvrzení, že mě nemůže nikdo okrást a jestli tak ho nebude nic z toho počítače zajímat, zůstává neotřeseno, stejně jako neotřese vírou v boha žádným logickým argumentem. Patří to do skupiny dalších tvrzení, že "mám auto plně pod kontrolou při rychlosti 180 km/h", že "nemusím vyhazovat prachy za pojištění, když se mi nemůže nic stát", atd.

Přesvědčení, že "moje wifi nikoho nezajímá" je vůbec vtipné, hloučky na lavičkách už tu byly, sestra ještě může doufat, že tihle wifi turisti jsou povětšinou děti, které to dělají akorát ze srandy... Koneckonců takové chování není žádnou novinkou, že. Kdo by se přece obtěžoval vykrádat zrovna můj byt, kdo by bral zrovna moje auto? ;-)

Mám otázku k těm pravidlům na heslo: jak se pozná, že se změnily aspoň 4 znaky? Myslel jsem si, že se ukládá jenom hash, z toho by to asi nešlo poznat.

Jinak k těm heslům: pokud jsou pravidla na hesla moc přísná, uživatelé to nějak obejdou. Pokud sedí v kaneláři, napíšou si je na papírek. Případně si najdou nejjednodušší heslo, které už projde, a to obměňují pořád dokola (variabilní část hesla).

A čo takto passphrase? Napríklad také heslo "no uz fakt neviem ake heslo sem dat kurnik sopa" - to asi nie je ľahko cracknuteľné heslo, ale nespĺňa vaše štandardy.
Tiež je rozdiel, ako dôležitý je systém, do ktorého to heslo je. Ak na tom stojí firma, budjiž, ale ak má užívateľ vymýšlať 10 hesiel do 10 systémov a všetky podľa rovnakých podmienok a nemôžu byť rovnaké, to už je na psychiatriu.

ad hesla - podle me je dobrym kompromisem slozite heslo (10 a vice znaku, mala, velka pismena, cislice, spec.znak) ktere se nemeni, pripadne se meni zridka (1x za rok)
ad sifrovani wifi/zmena hesla - urcite! nechchci nekomu delat providera pripadne (pokud pouzivam win sdileni souboru) poskytnout svuj filmovy a warez archiv o fotkach nemluve (.. i kdyz v dobe facebooku)
sifrovani disku - taky dobry napad, v linuxu neni problem a pokud jsou na pocitaci citliva data tak zcela urcite

Souhlasím s těmi, kteří tvrdí, že politika častého měnění hesla je spíš kontraproduktivní. Pokud jde o to, že někdo jiný odkouká heslo při psaní, protiargumentem je papírek. Pokud jde o snahu hrát si na kočku a myš se vzdáleným útočníkem, který se snaží heslo prolomit hrubou silou, není přece problém spustit paralelně několik sekvencí (dejme tomu 2 až 3). Rychlost prolomení se samozřejmě sníží (na polovinu nebo na třetinu), otázka je, co to udělá s bezpečností těch hesel, když musí každý člověk mít za rok 8 různých hesel. Kdyby uživatelé museli mít heslo o jeden znak delší a nemuseli ho měnit několik let, bylo by to z hlediska útoku hrubou silou podle mě bezpečnější.

Přidám se k zastáncům volnější "heslové politiky". V mém prvním zaměstnání (pojišťovna) taky byla naprosto nesmyslná heslová politika. Výsledek byl, že polovina uživatelů měla heslo na papírku na monitoru a druhá na papírku v šuplíku. Co taky jiného, když to po vás jednou za měsíc vybaflo "změňte heslo" a to teď hned, okamžitě si něco vymyslete. Navíc vás to nepustilo k přihlášení (tedy k práci) dokud jste něco nevymysleli.
Teď jiné heslo do každého systému (a že jich bylo asi pět), jiná frekvence obnovy, při 3 krát zadaném špatně blokace,... fakt maso.
Ve firmě je podle mě nejúčinnější blokace nějak spojená s HW, tedy že systém ověřuje, že počítač je oprávněn vstupu (tedy IP adresa, MAC adresa, "časové okno"). Pokud chtějí jo zabezpečení tak čipovou kartu + PIN.

[7] Dobrý nápad to není. Nevadilo by, kdyby si někdo "na Vás" jen skočil do mailu či podobně. Problém nastane, pokud začne páchat trestnou činnost. Trestně je např. držení dětské pornografie, crackování cizích mašin... jakmile to proteče přes váš router a začne se tím zabývat policie a následně státní zastupitelství, jste ve velkém průšvihu.

Firemní předpis vylučující určité znaky (musíte mít číslo, malé a velké písmeno) nebo délky (nejméně 6 znaků) zjednoduší útočníkům práci.
Změna hesel po nějakém čase je užitečná kvůli externistům, kteří je často dostanou od uživatelů.
Většinou centrálně přidělované heslo=papírek.

Ten princip zmeny hesla kazdy 3 mesice, s nemoznosti opakovani,... jsem mel na skole. Bylo to extreme nesnesitelny. To heslo jsem pouzil tak 1-2x do mesice, takze jsem si ho musel tak po 5ti prihlaseni vzdy zmenit. Pravidelne jsem ho zapominal, no hrozny...

Menenie hesla kazde 3 mesiace je imho zhovadilost na n-tu. Som za to, aby ludia pouzivali silne hesla s adekvatnou dlzkou a kombinaciou znakov idealne podla vzoru "oblubeny vyrok". Tym sa ale ako admin diskvalifikujem na pravo vyzadovat od nich aby take heslo vymyslali kazde 3 mesiace - viacmenej ich donutim urobit nejake zverstvo a-la heslo na papieriku a pod.
Co sa tyka uvadzanych prikladov, tak su trosku derave nakolko tam nepadlo ani slovo o sifrovani dat, takze naco lamat heslo, ked si mozem z daneho ntb harddisk vymontovat, pripojit k lubovolnej inej beziacej masine a veselo citat "doverne" dokumenty.
Ad WiFi, pri jednoduchosti nastavovania WPA2-ky nevidim dovod, preco ju nepouzivat aj ked je to v domacom prostredi kanon na vrabce.

OK ale spat k heslam a davam otazku do plena: 90 dni na nove heslo je naozaj otravne malo, na druhej strane ziadne heslo nevydrzi naveky. Kolko je podla vas idealna doba?

[21] Jak může externista dostat heslo interního uživatele? Není chyba právě tady? Každý uživatel (i dočasný) by měl mít svůj vlastní uživatelský účet (pro externisty klidně může být guest s heslem, které se mění.

[23] Pokud heslo nebude možné držet řádově roky, uživatelé budou rozumnou práci s hesly bojkotovat - viz příspěvek Patrika Chrze. Data taky nebudou na světě navěky, zrovna tak jako uživatelé.

Z matematického hlediska IMO změna hesla nemá moc velkou účinnost, protože nikdy nevíš, kam se dostal útočník v sekvenci pokusů o uhádnutí hesla. Jak jsem psal předtím, stačí pustit několik souběžných sekvencí (například jedna hledá furt dokola slabá hesla, druhá jede silná od "poloviny" do konce, třetí jede od začátku do poloviny). To, že s heslem někam sekvenci "uhneš", ničemu nepomůže. Když například změníš heslo z Karel na Karla a sekvence je u "Janek", najde to heslo jen o chvíli později; pokud ho změníš na Josef, najde ho dřív. Pokud bude sekvence u "Marek", zdánlivě jsi unikl, ale pokud pojede zároveň další sekvence, která bude v tu chvíli u "Borat", dostihne Tě dřív, než sekvence č. 1 dojde ke slovu "Zorka". Pokud budeš mít heslo Karlos, pomůžeš si víc.

Politika ve Svaťasově firmě mi přijde jako extrémní příklad. Pokud bude potřebovat útočník na uhádnutí hesla řekněme 1000000 pokusů (kdyby šel přes klasický bruteforce, bylo by to mnohem větší číslo) a bude za počítačem sedět pořád a každých 5 minut vyzkouší 3 hesla, bude mu to trvat, pokud dobře počítám, cca 3 roky. Za 3 roky při (poměrně dost nízkém) platu 10000 měsíčně vydělám 360000 korun (a to nebudu pracovat 24/7), za 360000 korun v pohodě podplatím zaměstnance, který mi heslo předá a za zlomek této sumy mi uklízečka opíše heslo z papírku, který má zaměstnanec nalepený na monitoru.

Myslím, že jsi trefil hřebíček na hlavičku, když jsi zmínil šifrování dat. Heslo samo o sobě nic neřeší.

"Pokud heslo nebude možné držet řádově roky..."
to znie ako triezvy odhad. Ono aj ked sa ja sam zamyslim nad tym ako casto som ochotny bez reptania vymenit jedno "silne" heslo za ine, tak dospejem k udaju "nie viac ako raz za rok".
Vazne by ma zaujimali argumenty ludi zastavajucich tendenciu casteho menenia hesiel (90 dni a podobne zrudnosti).

Moj prispevok bol ta­ky dlhy ze som sa roz­hodol spravit z ne­ho blog.
http://trsek.blog.root.cz/2009/11/19/znova%C2%A0hesla%C2%A0a%C2%A0maju%C2%A0vyznam

Ak ma podozri­evate ze sa sna­zim na teme pri­zivit mate prav­du. ;o)

Já myslím, že přísná bezpečnostní politika vede k tomu, že si uživatelé poznamenají heslo někam na kousek papíru a třeba si ho přilepí na monitor nebo ho nosí s sebou u ntb. To v tom horší případě ... V tom lepším si heslo pamatují, ale pak stačí třeba nabootovat třeba SLAX a ten mi zpřístupní disky na počítači bez nějakých problémů a bez ohledu na sílu uživatelského hesla. Samozřejmě pak se dají data buď rovnou kopírovat a nebo (v horším případě) instalovat nějaký keylogger a získat tak plnohodnotné heslo a následně tedy i přístup do firemní sítě (na mail atp.). Takže IMHO jediným pořádným řešením je používat šifrovaný oddíl disku nějakým silným šifrováním a tam si ukládat důležité (firemní) dokumenty a nebo naopak na lokální disk neukládat vůbec nic a všechno posílat přes net (což přináší zase jiná rizika) na nějaký zabezpečený firemní server.