Názory k článku Hyper-threading je mrtvý, zámečky v prohlížečích nikoho nezajímají

Zajímavý přehled, hlavně ta část o hyper threadingu se mi velmi líbila. Pro mě akorát na hranici toho, co jsem schopen pochopit a zároveň to není jako bulvár na živě, díky.

Vždycky mě pobaví, když si čtu rady, jak vytvářet bezpečná hesla. Jak používat v hesle mezery, celé věty, jak je mít jedinečná a bez vzoru... což je jako idea krásné, ale poněkud to naráží na realitu. Protože uživatel o parametrech konstrukce hesla nerozhoduje, on se jim pouze přizpůsobuje.
Schválně jsem si spočítal, kolik různých loginů mám, a došel jsem zhruba ke 160. A to ještě pro některé služby vedle vlastního hesla máte nějaký PIN nebo dokonce několik PINů. Zapamatovat si takové množství unikátních přihlašovacích jmen a hesel je zcela mimo možnosti běžného uživatele. Takže zbývá jedině využívat nějaké správce hesel a nebo si všechny údaje zapisovat. První možnost kvůli závislosti na dalším SW nepoužívám, takže je jasné, u čeho jsem skončil.
Požadavky na konstrukci hesla se systém od systému liší, nicméně typicky je mezera zakázána, maximální délka hesla omezena a většina služeb odmítá diakritiku. Když se snažíte omezit počet unikátních hesel na minimum (abyste si je zapamatovali), pak skončíte na průniku povolených znaků a délce, které z dnešního pohledu lze jen těžko označit za bezpečné.
Takže po letech hledání vhodného přístupu jsem skončil u toho, že mám 2 hesla - jedno pro citlivé služby, které pravidelně měním a je bezpečnější, a druhé pro ostatní služby, které měním v 1 - 2 ročním intervalu. Drtivá většina těch citlivých používá dvoufaktorové ověření, takže případný průnik tak jednoduchý nebude, u těch ostatních jsem se zkrátka s rizikem smířil. V prohlížeči na svém počítači mám hesla předvyplněná, jinde se v případě selhání paměti (a výjimek, kterých není málo) můžu podívat do souboru. Jsem jen člověk...

Je samozřejmě chyba, pokud služba zakazuje použití některých znaků. Nový standard od NIST tohle nedoporučuje, naopak říká, že se má uživatel nechat vymyslet heslo třeba z emoji. Technicky není důvod mu to zakazovat.

Mít dvě hesla je velmi nebezpečné, protože ta hesla prostě unikají. Stačí, aby ta jedna „důležitá“ služba přišla o databázi a máte zásadní problém. Mnohem lepším řešením je správce hesel (dnes je zabudovaný do prohlížečů, například) a mít naprosto unikátní heslo ke každé službě. Já to tak mám mnoho let, žádné heslo neznám, ani jedno se nikdy neopakuje. Kompromitací jsem zažil několik (v těch službách), ale nikdy to nepředstavovalo problém, protože služba heslo resetne a já si to jedno jediné heslo vyměním.

To naráží na schopnosti uživatelů. Masy zvládají asi tak čtyřmístný PIN na platební kartě (ani tam si netroufnou jít dál). Užívání správce hesel je utopie. Možná se chytnou prohlížeče s jejich interními úložišti (a synchronizací) - ale tam zůstává diskutabilní bezpečnost.

Jako rozumná kombinace pohodlí se dnes jeví 2FA + zapamatování ověřeného počítače. Uživatel nemusí ověřovat 2FA při každém přihlášení, ale pouze na stroji, kde se přihlašuje poprvé.

Trvání na odlišných heslech ve skutečnosti bezpečnost nezvyšuje tak moc, jak se zdá. Pouze přenáší odpovědnost od poskytovatele na uživatele. Když uživateli někdo prolomí trezor, poskytovatel si umyje ruce. Je to víc alibismus, než skutečná bezpečnost. (Skutečná bezpečnost by byla, kdyby vznikly standardy, jak mají s hesly zacházet poskytovatelé).

Používání správce hesel nesnižuje bezpečnost, i když tím spousta lidí argumentuje. Slýchám to i na školeních. Ve skutečnosti nezvyšuje zranitelnost vašeho počítače, jehož kompromitace je katastrofou v každém případě, bez ohledu na kvalitu hesel. Tady je výsledek 1:1.

Ovšem použití správce hesel eliminuje riziko celkové kompromitace na všech službách, které používáte. Pokud tam máte unikátní heslo, je vám jedno, že dané službě uniklo. Prostě si ho tam vyměníte. Tady je výsledek 100:0.

Celkově je tedy zápas 101:1 ve prospěch správce hesel, ať už je v jakékoliv podobě. Per Thorsheim na přednášce říkal, že lidem doporučuje klidně používat na hesla notýsek, pokud nezvládnou obsluhovat správce hesel. Je to pořád bezpečnější stav, než mít na stovce služeb dvě velmi podobná hesla.

Obecně s vámi souhlasím, ale zajímalo by mě, z jakých zařízení se přihlašujete. Podporuje váš správce všechna? Nikdy se nehlásíte z cizích zařízení? Pokud hesla sám neznáte, jak jste psal v jiném příspěvku, pak jste na tom SW zcela závislý.

"Skutečná bezpečnost by byla, kdyby vznikly standardy, jak mají s hesly zacházet poskytovatelé"

OK, tak v tom případě by bylo pro uživatele nejlepší... wait for it... mít stále dlouhá unikátní hesla s velkou entropií.

Navíc ty standardy existují, vydává je například zmíněný NIST, který je považován za globální autoritu. V NIST Special Publication 800-63B se například tohle řeší velmi podrobně včetně toho, jaké hašovací funkce mají být použity, jak se má solit a podobně.

Ovšem standardy samy o sobě nic neřeší. Když sem na Roota dám formulář a napíšu k němu, že se nemusíte bát, že děláme všechno správně podle doporučení a standardů, tak mi tam stejně napíšete svoje heslo do banky. Stejně musíte počítat s únikem, používáte desítky či spíše stovky služeb. Standard nezajistí kouzlem bezpečnost všech. Lepší je zařídit si bezpečnost u sebe.

dvě hesla bohatě stačí. Jsem na tom podobně jako pisatel výše, mám přes 150 různých účtů. U 99% z nich jsem heslo vytvořil jen jednou, při založení. Hesla mají 32 znaků (pokud to umožňuje jejich systém, malá, velká písmena a speciální znaky). Na Apple používám Keychain, cross OS pak KeyPass. Některé účty nemají heslo změněné i přes 10 let a nikdy jsem neměl žádný problém a mít nebudu ;-). Banky jsou díky nařízení EU jinde, tam to chce i mobil ;-( a další zh*vadilosti... U systémů, kde pravidelně vyžadují změnu hesla používám složeninu tvaru "AktuálníMěsícRok". Jestli někomu pomůže, když mi "ukradne" účet na root.cz, tak ať si to užije... ;-)

Admini, organizace a EU by si měla uvědomit, že je to můj účet a á budu rozhodovat o tom, jak si ho nastavím. Pokud mne rádoby "security" nezajímá, je to moje věc, neměli by mě nutit jejich názory. Znám pár případů, kde klient požadoval min. 12 znaků (jak malá, velká tak speciální znaky) a ve finále, když jsem pak viděl, že jsou hesla uložena v DB v plain textu... :-D

"Admini, organizace a ... by si měla uvědomit, že je to můj účet a á budu rozhodovat o tom, jak si ho nastavím. Pokud mne rádoby "security" nezajímá, je to moje věc, neměli by mě nutit jejich názory"

Tvůj účet... na jejich systému.

Prostě správce hesel pro drtivou většinu hesel je dnes jediné schůdné řešení.

To je otázka. V některých případech může být myslím lepší notýsek s mnemotechnickými pomůckami....
Problém správce hesel může být taky v jeho unifikovanosti, útočník ví, na co útočí a ví jak přesně se k tomu dostat (případně i s využitím jiných metod).

Tohle rikam uz léta (napsal jsem o tom i blog), že všechny ty požadavky na hesla jsou nesmysl a nedodržují je ani ti co tak blahosklone kážou. Nakonec jsem skončil u dvou vecí.
a) všechna hesla ja i cela rodina píšeme do sešitu který je v šupleti, je to na důvere a hlavne když se mi neco stane rodina se dostane k mím účtům. Jenom 2 hesla tam nejsou ;o)
b) vetsina nepotrebných hesel je uložena ve správci hesel firefox, když je potrebuji videt kliknu na ukaž heslo

Hesla si nepamatuji.

@Petr
Je samozřejmě chyba, pokud služba zakazuje použití některých znaků. Nový standard od NIST tohle nedoporučuje, ...

A tohle konstatování je velice často asi tak všechno, co s tím lze udělat.
Mezeru v hesle? Nelze!
Diakritiku? Tak jste normální?
Cože, speciální znaky???

@Nikola
Takže další sw (se vším, co s tím souvisí).
No hurá.

Správce hesel je už velmi dlouho integrovaný v prohlížečích, není potřeba mít další software. I když podle mě není instalace balíčku žádný problém.

Jenže správce hesel v prohlížeči buď neumožňuje nastavit master heslo (Chrome) pro ukládaná hesla, nebo neumožňuje po timeoutu master heslo zapomenout (Firefox po odstranění XUL, kde na to pro starý FF byl plugin/nastavení v about:config, které je teď ignorováno).

Takže bezpečnost se naopak snižuje, pokud nepoužívám nějaký externí token nebo ručně nevlezu hluboko do nastavení a neodhlásím se ručně z bezpečnostního zařízení.

Rozhodně je pravda, že tyhle volby by byly fajn. Na druhou stranu platí pořád to, co jsem napsal už výše: kompromitací zařízení se k vašim heslům dostanu, ať už je máte v prohlížeči uložená nebo ne. Můžu si nainstalovat ošklivé rozšíření nebo keylogger nebo můžu dělat cokoliv dalšího. V tomhle není žádný rozdíl a je nutné se tomu bránit – šifrování disku, zamykání plochy a další klasická opatření. Správce hesel ale naprosto kosmicky vylepší kvalitu vašich hesel a jejich unikátnost. Rozhodně to za to stojí.

Přesně tak, zařízení by se mělo po určité době zamykat, zamykat by se měl i správce hesel po nějaké době co nebyl použitý. Ideální je pokud ho používá i prohlížeč. A pokud počítač při odchodu ihned zamknu, tak myslím neexistuje šance se k heslům dostat. Navíc můžu mít takovou klíčenku s hesly na šifrovaném oddílu, takže by se to nedalo zužitkovat ani nějakým pokusem o brute force s diskem připojeným do jiného stroje...

Hesla s prvním velkým písmenem a číslem na konci ještě jdou, ale jeden článek z minulého týdne mě donutil přemýšlet o trochu jiných "heslech". Zpráva byla o úniku dat. Klasický únik dat a běžný článek. Unikla jména, ID, emaily, hash hesel,... Ale používají SALT, takže se v podstatě nic moc nestalo. Jenže v tabulce uniklých informací mě něco zaujalo. Byl to únik bezpečnostních otázek a jejich (hashovaných) odpovědí. Záleží na konkrétním použití, ale často jde o záložní heslo, se kterým je většinou možné snadno změnit (ehm,.. "obnovit") to původní nebo ho úplně obejít. Hned mi došlo, že je to docela velký potenciální pr*ser o kterém se moc nemluví. Vzhledem k omezenému počtu používaných otázek (většinou jména, města, ulice, školý či datum) a statickému charakteru odpovědí je to zlatý důl. Heslo si můžu změnit kdy chci, ale rodné příjmení matky nebo datum výročí asi těžko.

Shrnuto a podtrženo: Recyklace těchto hesel je v podstatě podmínkou, často je jejich používání vynucené* a počet možných odpovědí je směšně nízký.

* Například Windows 10, kde vždy zadávám odpovědi náhodným a dlouhým hrábnutím do klávesnice. Opakování zadané odpovědi naštěstí nevyžadují.

O tom se samozřejmě mluví a je jasné, že odpověď na otázku je vlastně sekundární heslo, které musí být stejně bezpečné jako heslo hlavní. Jak správně říkáte, je to cesta do systému, která bývá podceňovaná. Taky tam vyplňuji velmi dlouhý a náhodný řetězec. Moje máma se mimochodem jmenuje Jarmila :-).

Ja takto vo Windowse vyplnil na otázku meno môjho prvého psa (alebo domáce zvieraťa, už neviem jak tá otázka bola formulovaná) odpoveď "adgdashesnhewiobi" inak ale v skutočnosti sa môj prvý pes volal "Riki", ale to už som dávno prešiel na Linux, takže už je mi to jedno. Ubuntu žiadne takéto blbé otázky nepýtal.

Na to existuje pěkné řešení. Neodpovidat pravdu, ale zadat náhodné věty či řetězce uložené ve správci hesel.

Ale ma to i své nevýhody, kdysi se mi i jedné banky podařilo zablokovat účet a chtěli po mě odpovědi na jmenované otázky po telefonu... no a diktujte směs náhodných znaků po telefonu...;)

Ta část ohledně HT je zvláštní; používají se množná čísla (výrobci), přitom HT má jen jeden (Intel) a popisovaný problém s Meltdown také...

HT má s lehce odlišnými názvy a více než lehce odlišnými detaily leckdo (minimálně AMD, IBM a Oracle). Část chyb je specifická pro Intel, ale ne všechny.

Vždyť to píši. Názvy jsou odlišné a implementace rozdílná - zmiňovaná chyba se týká jen Intelu. Proto se mi nelíbí ta generalizace.

SMT (jako koncept) je rozumná technologie nikterak neohrožující bezpečnost. Potápět ji jen kvůli tomu, že Intel (nejen, ale především) se nechal unést a zdrbal implementaci, mi přijde zcestné.

„Neučte lidi na zámečky, ty časem zmizí. Nevěřte také adresnímu řádku, protože ten lže.“
Ptám se jako laik, který situaci moc nesleduje: jak tedy v budoucnu poznám, že se nacházím na správném webu? Jak o tom spravím své uživatele? Budou tyto indikační prvky něčím nahrazeny?

V plánu je zámeček úplně schovat. Už teď je to vlastně úplně normální věc, že se šifruje a všechno je správně nastavené. U 80 % načtených stránek už teď zámeček vidíme, čili je naopak velmi neobvyklé, že tam není. Brzy přijde doba, kdy se logika otočí: výchozí bude otevření HTTPS na portu 443 a není potřeba to nijak zobrazovat. Teprve pokud budeme chtít HTTP, budeme muset explicitně říct, že chceme http://neverssl.com.

Díky. Chápu to dobře, že v době, kdy bude mít https 99,9 % webu, už nebude potřeba ověřovat důvěryhodnost stránky, například bankovnictví, protože její podvrhnutí by bylo mimořádně nepravděpodobné?

Ne, bavíme se o zobrazení pro uživatele, ne o pochodech uvnitř. Ty zůstanou stejné, platnost certifikátů se bude ověřovat pořád, stejně jako umístění v Certificate Transparency a podobně. Jen uživatel nebude informován o tom, že je všechno v pořádku. Informován budete v budoucnosti jen o problému: certifikát je špatný, šifrování je slabé, šifrování se nepoužívá a podobně. Stejně jako vás mobil velkým nápisem přes půl displeje neinformuje neustále o tom, že 4G funguje krásně, data tečou a šifrování funguje. To je výchozí stav, který se předpokládá.

To dává smysl :-) Díky za objasnění.

Ech, diky za http://neverssl.com.
Ty hotelove weby, ktere pri prvnim pripojeni unaseji spojeni me neskutecne stvou, a uz mi zacinaly dochazet obvykle weby co nepouzivaji https :)

> jak tedy v budoucnu poznám, že se nacházím na správném webu?
to je nic, ale jak to vysvetlim sve mamince?

Už dnes nemáte šanci vysvětlit mamince/babič­ce/synovi/dce­ři, že adresa

https://www.paypal.com/sjgkevhektke.xyz/stzoehleberrbs.iwzo?uetoekbk#iszo

je správně, zatímco adresa

https://www.paypal.com.sjgkevhektke.xyz/stzoehleberrbs.iwzo?uetoekbk#iszo

je phishing.

Na to myslím stačí vysvětlit základní pravidla tvorby doménových jmen. Ano když Afričan neumí číst a řídí se jen tvarem nápisu, když něco kupuje, tak pak to dopadá podobně...

Acho jo.