Vlákno názorů k článku Hyper-threading je mrtvý, zámečky v prohlížečích nikoho nezajímají od anonym - Hesla s prvním velkým písmenem a číslem na...

Hesla s prvním velkým písmenem a číslem na konci ještě jdou, ale jeden článek z minulého týdne mě donutil přemýšlet o trochu jiných "heslech". Zpráva byla o úniku dat. Klasický únik dat a běžný článek. Unikla jména, ID, emaily, hash hesel,... Ale používají SALT, takže se v podstatě nic moc nestalo. Jenže v tabulce uniklých informací mě něco zaujalo. Byl to únik bezpečnostních otázek a jejich (hashovaných) odpovědí. Záleží na konkrétním použití, ale často jde o záložní heslo, se kterým je většinou možné snadno změnit (ehm,.. "obnovit") to původní nebo ho úplně obejít. Hned mi došlo, že je to docela velký potenciální pr*ser o kterém se moc nemluví. Vzhledem k omezenému počtu používaných otázek (většinou jména, města, ulice, školý či datum) a statickému charakteru odpovědí je to zlatý důl. Heslo si můžu změnit kdy chci, ale rodné příjmení matky nebo datum výročí asi těžko.

Shrnuto a podtrženo: Recyklace těchto hesel je v podstatě podmínkou, často je jejich používání vynucené* a počet možných odpovědí je směšně nízký.

* Například Windows 10, kde vždy zadávám odpovědi náhodným a dlouhým hrábnutím do klávesnice. Opakování zadané odpovědi naštěstí nevyžadují.

O tom se samozřejmě mluví a je jasné, že odpověď na otázku je vlastně sekundární heslo, které musí být stejně bezpečné jako heslo hlavní. Jak správně říkáte, je to cesta do systému, která bývá podceňovaná. Taky tam vyplňuji velmi dlouhý a náhodný řetězec. Moje máma se mimochodem jmenuje Jarmila :-).

Ja takto vo Windowse vyplnil na otázku meno môjho prvého psa (alebo domáce zvieraťa, už neviem jak tá otázka bola formulovaná) odpoveď "adgdashesnhewiobi" inak ale v skutočnosti sa môj prvý pes volal "Riki", ale to už som dávno prešiel na Linux, takže už je mi to jedno. Ubuntu žiadne takéto blbé otázky nepýtal.

Na to existuje pěkné řešení. Neodpovidat pravdu, ale zadat náhodné věty či řetězce uložené ve správci hesel.

Ale ma to i své nevýhody, kdysi se mi i jedné banky podařilo zablokovat účet a chtěli po mě odpovědi na jmenované otázky po telefonu... no a diktujte směs náhodných znaků po telefonu...;)