Názory k článku Postřehy z bezpečnosti: konec světového dne hesel
-
DannyStříbrný podporovatelKolem hesel je toho vice a u nas se to bohuzel prilis neakcentuje. Pritom NIST SP 800-63B mimo jine v sekci 5.1.1.2 uvadi, ze by se nemely vynucovat periodicke zmeny hesel a jsou tam i dalsi veci, co (ne)delat. Obdobne se vyjadruje britsky NCSC.
Bohuzel spousta radoby-bezpecaku se tim neridi a vymysli ruzne obskurdni politiky. A vladne tomu NUKIB, ktery to cpe i do legislativy, vcetne te nove kolem NIS2. Meli sanci udelat moderni predpis, ale dopadlo to jako vzdycky. Smutne je, ze se na NIST SP 800-63B primo odvolavaji, ale zda se ze jeho textu zcela neporozumeli.
-
Zrovna NÚKIB na tom není ohledně pravidel k heslům až tak špatně. Je tam: pro povinnou změnu hesla v intervalu maximálně po 18 měsících, přičemž toto pravidlo se nevztahuje na účty sloužící k obnově systému v případě havárie.
(viz 82/2018 §19 odst 5 f))
Přičemž to platí pouze pokud používáte heslo. NÚKIB vás nijak nenutí hesla používat!
Což není proti tomu, co hlásá zmiňovaný NIST.
Neříkám, že je to dokonalé, ale špatně to není.
-
Filip JirsákStříbrný podporovatelPoužívat hesla vás nutí spousta systémů, protože prostě jinou možnost než přihlášení heslem nemají.
Vynucování povinné periodické změny hesla je proti tomu, co tvrdí NIST a co tvrdí bezpečností experti. Vynucování pravidelné změny je špatně a vede to ke slabším heslům.
-
Pardon, ale už jak je to formulované je to úlet. Pracuju někde pět let a budu mít pět hesel. Fakt dík. Což by nebyl problém kdybych neměl účty na desítkách dalších míst. V praxi to skončí přidáváním nějaké krátké sekvence na konec hesla a pokud bude systém dostatečně chytrý a pozná to, máte na papírkový problém zaděláno jedna radost.
-
DannyStříbrný podporovatel
18 mesicu je porad periodicka zmena. NIST rika, ze by se tyhle veci delat proste nemely, nikde tam nemate ani carku o tom, ze 18 mesicu je OK. To je lokalni vymysl NUKIBu.
Proble. je, ze s odkazem na tu vyhlasku spousta bezpecaku tu periodu jeste zkrati a defacto pouzije stejnou argumentaci jako NUKIB. V podstate tim vsichni obchazi to, ze bezpecnostni incidenty se nikomu moc monitorovat nechce a pouziva se to jako alibisticka ochrana proti pripadnemu uniku hesla. Obycejna ceska lenost. A i tohle je v rozporu s tim, co rika NIST.
-
Filip JirsákStříbrný podporovatel
To jsou takové hezké teorie. Reálně si nemůžete pamatovat desítky bezpečných hesel, takže varianta „hesla jen v hlavě“ nepřipadá v úvahu.
-
Filip JirsákStříbrný podporovatel
Ne. WebAuthn otisk prstu nepoužívá. WebAuthn je založeno na asymetrické kryptografii, otisk prstu je nanejvýš způsob, jakým je privátní klíč chráněn v nějakém konkrétním zařízení.
-
-
Filip JirsákStříbrný podporovatel
muze kdokoli ziskat otisk aniz by to majitel vedel
Nemůže. Web nemůže získat otisk dokonce ani tak, aby to majitel věděl. Prohlížeče nemají žádné API pro získání otisku prstu. -
S Windows Hello mám "hezkou" zkušenost. Ve firmě dostal zaměstnanec nový notebook se čtečkou otisků. Před zaměstnancem ho měl v ruce admin, který provedl úvodní nastavení (přihlásil se svým jménem a heslem). Pak šel notebook zaměstnanci, který se napřed přihlásil jménem a heslem a pak si nastavil přihlašování otiskem. Po asi půl roce volá, že mu zmizely ikony a vůbec plocha "je nějaká divná". Po bližším zkoumání se zjistilo, že jeho otisk ho přihlásil na účet admina!
-
Pouzivani mrkvosoftiho autenticatoru, windows hello nebo googli sluzby nezni jako vyhoda oproti heslum na papirku. Naopak to zni jako krok zpet a zbytecna zavislost na treti strane.
Cimz chci rict ze at jsou vyhody jake jsou, zpusob prezentovani je pomerne spatny u obou firem. Kdyz k tomu pripoctu, ze sem tam i mainstreamovymi medii jde zprava o tom jak nam velci technogiganti vykradaji nase data, pak se nelze divit ze prumerny uzivatel muze mit nechut k pouzivani neceho takoveho na prihlasovani ke vsem sluzbam. -
Filip JirsákStříbrný podporovatel
Průměrný uživatel vyděšený rádoby „ajťáky“ na diskusních fórech může mít takovou nechuť. Uživatel, který si umí dát dohromady dvě a dvě, si uvědomí, že kdyby chtěl Microsoft ve Windows nebo Google v Androidu krást uživatelům hesla, tak k tomu mají prostředky už dnes, a nepotřebují k tomu nějaké další nástroje.
-
Smazaný profil
2 Ratbatcat: jo presne neco podobneho me taky napadlo, kdyz jsem to cetl. A hlavne kdyz by s tim byl problem, tak se ovce uzivatel NIKAM nedovola na domluvu. Indicke call centrum, kde tomu moc nerozumi a jeste lzou, to fakt nezachrani. A MS to nezajima, faktury posilaji porad a pritom uz je to asi 10mesicu, co jsou celo firemni ms office 365 nepristupne pro vsechny. Clovek muze mit tickety, pravidelne volat s indii a do uctu se uz neprihlasi, protoze MS nepromyslel vsechny varianty kdyz tu appku nasilim nutil a tak nekoho proste vyblokovali a pohoda. No stat se tohle treba u PC a pak se nemoct nikam prihlasit protoze MS vam treba zablokuje pc nebo ho prohlasi za zastarale…. Sileny. Ale “experti” jako jirsak tu tyhle zvracenosti budou porad hajit a jeste si u toho hrat na nejaky techno guru…
-
Tihle “experti” zijou ve svem uzavrenem krouzku a kontakt se svetem evidentne nemaji. Indicky MS support je kategorie sama o sobe, hlaska o nedostupnosti nejakeho jejich serveru a 3 mesice se nas snazili presvedcit ze staci restartovat server xxx.xxx.microsoft.com a ze kdyz to udelame tak nam to bude fungovat. Eskalace vyresila uplny kulovy. Ticket o nejakem problemu s jejich authenticator je otevren pres rok a za tu dobu udelali uplny hobno.
-
Filip JirsákStříbrný podporovatel
WebAuthn je otevřený standard, implementací můžete mít, kolik chcete. Nemusíte používat nic ani od Googlu, ani od Microsoftu, ani od žádné jiné velké firmy.
-
DannyStříbrný podporovatel
Kdyz se dotycny subjekt rozhodne, ze nebude WebAuthn pouzivat, tak ho pouzivat proste nebude. Vynuti si pouziti te sve vlastni aplikace. Priklad tu mame uz dnes a ani nemusime behat daleko - staci seznam.cz a jejich MFA ;-) O bankach nemluve. Z ceho dovozujete, ze Google ci Microsoft se podobnou cestou nevyda taky?
-
Filip JirsákStříbrný podporovatel
Kdyby chtěli něco takového udělat, mohou to udělat zcela nezávisle na WebAuthn. Takže aspoň můžeme být rádi, že WebAuthn a passkeys zpřístupní pro ostatní.
-
No a to je presne to, o cem jsem tu psal, na coz jste samozrejme reagoval, ale tak nejak mimo.
Ocividne temhle systemum nerozumi ani relativne odborna spolecnost tady na rootu (relativne vuci prumeru populace, to kdybyste jako obvykle chtel slovickarit). Staci si precist diskuzi tady, a pod nedavnou zpravickou.
Jak takovym systemum rozumi bezny BFU? Nijak. Ma o tom milion zkreslenych nebo zadnych predstav. Pokud M$ a google nedokazou prezentovat bezpecnejsi zpusoby prihlasovani, jak k nim muze mit duveru bezny uzivatel? -
Filip JirsákStříbrný podporovatel
Běžný uživatel se do Googlu přihlašuje tak, že napíše svůj e-mail a na mobilu mu vyskočí notifikace, že se pokouší přihlásit a jestli to chce povolit. Uživatel odklikne, že ano, a potvrdí to PINem či otiskem prstu. Nově to bude dělat tak, že mu na mobilu vyskočí notifikace, že se pokouší přihlásit a jestli to chce povolit. Uživatel to odklikne, že ano, a potvrdí to PINem či otiskem prstu. Jediný rozdíl je v tom, že doteď to tak dělal jenom při přihlašování do aplikací a byl to proprietární protokol Googlu, zatímco nově to bude moci použít i při přihlášení přes webový prohlížeč.
Pro uživatele to tedy bude jednodušší, protože se nebude přihlašovat jinak do aplikací a jinak na webu, ale v obou případech stejně.
No a protože je to otevřený standard, mohou to začít používat i další weby.
Žádné odborné znalosti pro to nejsou potřeba. A to, že se k tomu vyjadřují lidé, kteří vůbec netuší, o co jde, to není problém technologie.
-
Mno myslel jsem ze v tom vasem dlouhem prispevku bude neco k veci, ale ne. Vami popsany workflow prihlasovani jaksi nesouvisi s problemem, ze google i mikrosoft spatne prezentuji system, a to natolik ze mu nerozumi ani odbornejsi spolecnost, natoz BFU.
Jasne, piste si tady co chcete, ale tohle diskuzni vlakno zacalo s jinym problemem, tak by mozna bylo lepsi kdybyste si to svoje psal nekde jinde, aby ta diskuze nebyla zmatena a popletena. -
Filip JirsákStříbrný podporovatel
Tohle diskusní vlákno začalo tím problémem, že vy nechápete, jak fungují služby, o kterých se v článku píše.
Netuším, na základě čeho si myslíte, že Google a Microsoft prezentují nějaký systém, a že tomu systému nerozumí ani odbornější veřejnost.
Tomu, aby diskuse nebyla zmatená a popletená, by v tuto chvíli nejvíce pomohlo to, kdybyste do diskuse vůbec nepřispíval.
-
Ja nechapu? At ctu svuj prispevek jak chci, porad tam nevidim ze bych psal neco o sobe. Jen jsem psal jak to podle mne vidi BFUcka.
Ano, M$ i Google prezentuji sve autentizacni metody, aplikace do telefonu, je to psane i v tom clanku pod ktery prispivate:
" Microsoft na svém blogu připomenul výhody přihlašování pomocí Mcrosoft Authenticator, Windows Hello for Business a FIDO2 bezpečnostních klíčů. Google oznámil podporu passkeys (otisk prstu či obličeje, zámek obrazovky nebo hardwarový bezpečnostní klíč) na osobních účtech."
Pak staci trochu zagooglit abyste nasel
https://www.microsoft.com/en-us/security/mobile-authenticator-app
https://developers.google.com/identity/passkeys
A na tech strankach jsou velmi vagni popisy funkce, coz je to co kritizuji jiz ve svem uplne prvnim prispevku v tomhle diskuznim vlakne.To ze tomu nerozumi odbornejsi verejnost vyvozuji z prispevku tady v diskuzich na rootu, kde chodi v prumeru znalejsi spolecnost. Coz jsem psal cca 2 dny zpatky. Jestli trpite vypadky pameti, mozna by stalo za to si zpetne precist o cem tu lidi pisou.
Je fascinujici jak mate komentar uplne ke vsemu, ale nedokazete udrzet tema diskuzniho vlakna a jeste mi vycitate mi to co sam delate.
Mne z toho vyplyva, ze jste troll, ktery by stalo za to zabanovat.
-
Filip JirsákStříbrný podporovatel
K>: O sobě jste prozradil to, že nevíte, co ty autentizační nabízejí za služby a jak fungují. Běžní uživatelé žádné podrobné popisy funkcí nepotřebují. Uživatel zjistí, že někde chce použít 2FA, při vyhledávání aplikace zjistí, že to podporuje i Microsoft Authenticator, který už má nainstalovaný, tak ho použije
Za „odbornější veřejnost“ nepovažuju komentující, kteří si nedokážou zjistit základní vlastnosti standardu, který chtějí komentovat. A vymýšlejí si nesmysly o sdílení otisků prstů, o závislosti na účtu u Microsoftu nebo Google a podobně.
-
Filip JirsákStříbrný podporovatel
K>: Trollíte tu zatím jenom vy. Nezjistíte si, co která služba/technologie umožňuje, ale hlavně, že na to máte silný názor. O passkeys vyšel před nějakou dobou článek tady na Rootu, o FIDO2 myslím také. Microsoft Authenticator je mobilní aplikace, která funguje jako ověřovací token pro přihlašování ke službám Microsoftu a zároveň jako autentikátor pro TOTP (se zálohováním a synchronizací přes cloud). Windows Hello for Businnes je rozšíření Windows Hello pro společnosti, umožňuje centrální správu.
-
Filip JirsákStříbrný podporovatel
K>: Napsat to můžete, kolikrát chcete. Nic to nemění na tom, že je nepodstatný názor na způsob prezentace od někoho, kdo si nejprve něco vymyslí, pak proto hledá potvrzení v oficiálních dokumentech a nenajde ho tam.
-
Filip JirsákStříbrný podporovatel
K>: Aha, takže vy víte, že tam závislost na třetí straně není, ale vymyslel jste si, že to „zní jako“ závislost na třetí straně. Takže když před něco přidáte „zní jako“, můžete tvrdit libovolnou lež. Takhle jste to myslel?
-
Filip JirsákStříbrný podporovatel
K> Bylo by fajn, kdybyste váš „osobní názor“ nezevšeobecňoval, že to tak mají všichni uživatelé.
Jenom abych pochopil, co přesně vám teda vědí – chápu to správně tak, že když je název firmy součástí oficiálního názvu produktu, zní to pro vás tak, že když ten produkt budete používat, budete závislý na té firmě? Takže třeba když budete používat Apache HTTP Server, stáváte se při provozu svého webu závislý na Apache Foundation?
Také by mi připadalo fajn, kdybyste napsal, zda teda podle vás při použití všech nebo některých způsobů autentizace uvedených v článku vzniká či nevzniká závislost na třetí straně. Ne zda to tak zní, ale zda to tak skutečně je. Protože zatím to zní, jako byste doteď nevěděl, jak ty jednotlivé způsoby autentizace fungují, takže byste tu celou dobu jenom trollil, protože by vám vůbec nešlo o podstatu problému.
-
Jirsak: kdyz to nekdo nepochopi natrikrat, napoctvrte uz to urcite nepomuze. Jasne jste ukazal, ze jste spatne cetl muj prvni prispevek, a pak jste akorat trollil a o vsech kolem trvrdil ze nicemu nerozumi, misto abyste se snazil pochopit o co v diskuzi jde.
Jo, chybu udela kazdy, ale rozmazavat to soustavne dokola, to uz je jen vase specialita.Ladis: co? Jaka fakta?
-
Filip JirsákStříbrný podporovatel
K>: Já jsem to pochopil hned napoprvé, že jenom trollíte a nemáte nic konkrétního – ani k závislosti na třetí straně, ani ke špatnému způsobu prezentování. Ale dal jsem vám šanci to napsat a ukázat, že jsem se mýlil. Vy jste ji ani napočtvrté nevyužil. Ani napočtvrté jste nenapsal X vypadá jako jako závislost na třetí straně. Ani napočtvrté jste nenapsal X je prezentováno špatně.
Já bych tu vaši chybu soustavně dokola nerozmazával, ale když vy, místo abyste ji přiznal nebo se aspoň v tichosti vypařil, se pořád tváříte, že jste žádnou chybu neudělal a obviňujete všechny okolo… Přitom by bylo tak snadné dokázat, že za vaším komentářem byla nějaká myšlenka. Stačilo by ji napsat…
-
Ech, tohle vase trolleni ale bylo slabe. Mnohem slabsi nez to predtim.
Jen opakujete co jsem napsal ja. Napriklad:
"obviňujete všechny okolo" - ne, ja obvinuju jen vas, ze jste troll. Nikoho jineho jsem neobvinil. Vy jste obvinil me ze nic nechapu, i vsechny ostatni diskutery: "nepovažuju komentující, kteří si nedokážou zjistit".Jak se mohu mylit, kdyz prezentuji svuj subjektivni nazor na kvalitu prezentace? Fakt nechapu. Kdybych napsal "zpusobuje to zavislost na treti strane", pak se mylim. Ale to jsem nenapsal, jak jsem uz nekolikrat napsal. Proc na tom soustavne trvate? Takhle trollite dost slabe. Zkuste lip, dam vam jeste jednu sanci.
-
Filip JirsákStříbrný podporovatel
Nikoho jineho jsem neobvinil.
Obvinil jste Google a Microsoft že dělají v přihlašování krok zpět a vytvářejí závislost na třetí straně. Přičemž jste nikdy nenapsal, v čem ta závislost má spočívat. Obvinil jste je, že to špatně prezentují – aniž byste napsal, v čem je ta prezentace špatná.Vy jste obvinil me ze nic nechapu
Neobvinil jsem vás, že nechápete nic. Obvinil jsem vás, že nechápete různé způsoby autentizace – a podle vašich komentářů to tak vypadá.i vsechny ostatni diskutery
Ale kdepak, žádné „všechny ostatní“. Jenom ty, kteří si vymýšlí nesmysly o sdílení otisků prstů, závislosti na účtu u třetí strany nebo sdílení stejného klíče pro všechny účty.Jak se mohu mylit, kdyz prezentuji svuj subjektivni nazor na kvalitu prezentace?
Protože ten váš subjektivní názor nevychází ze znalosti věci, ale z ničím nepodložených a chybných domněnek.Proc na tom soustavne trvate?
Protože je to jediná konkrétní věc, kterou jste napsal. Nenapsal jste, proč by to tak mohlo vypadat pro někoho jiného. Ani přes opakované výzvy jste nenapsal, proč je podle vás způsob prezentace špatný. Takže musíme předpokládat, že o žádném důvodu, proč je ten způsob prezentace špatný, nevíte. Což znamená jednu ze dvou možností – buď jen trolíte, nebo se v tom názoru mýlíte, protože vycházíte z ničeho.Za celou dobu jste nebyl schopen napsat „to zni jako krok zpet a zbytecna zavislost na treti strane, protože A, B, C“ a „zpusob prezentovani je pomerne spatny, protože X, Y, Z“. Místo toho se pořád točíte na nesmyslech. To je vcelku podezřelé a člověk snadno získá dojem, že žádné A, B, C, X, Y, Z nevíte. Zní to, jako byste jen trolil.
-
Filip JirsákStříbrný podporovatel
K dotazum - vse jsem uz napsal, si to prectete znova. Zkuste treba muj prispevek z 10.5. 7:49.
V tom příspěvku není nic o domnělé závislosti na třetí straně. Druhá věc, která se vám nelíbila, je prezentace pro běžné uživatele – přičemž v odkazovaném komentáři jste odkázal na dvě stránky, z toho jedna je vývojářská dokumentace. To mi nepřipadá jako prezentace pro běžné uživatele. Takže zbývá „vágní popis Microsoft Authenticatoru“ – a to už jsem vám vysvětloval v reakci na váš uvedený komentář, že běžný uživatel nepotřebuje žádný podrobný popis funkcí. Protože běžný uživatel buď dostane pokyn, že pro přihlašování k firemním nebo školním aplikacím potřebuje Microsoft Authenticator a dostane odkaz na návod, jak to nastavit. Nebo druhý případ, běžný uživatel chce nebo potřebuje použít 2FA, možná dostane seznam doporučených aplikací. Pokud ne, vyhledá si odpovídající aplikace na Google Play nebo Apple Store. V seznamu aplikací uvidí Microsoft Authenticator, který už má nainstalovaný, nebo se pro něj z nějakého důvodu rozhodne, tak ho použije. Opět – vůbec ho nezajímá žádný detailní technický popis toho, jak ta aplikace funguje.Takže platí, co jsem psal – mýlíte se, protože píšete o chybné prezentaci pro běžné uživatele, ale argumentujete věcmi, které běžného uživatele nezajímají.
-
Filip JirsákStříbrný podporovatel
Gratuluju k objevu, že tam, kde vědí alespoň něco malinko o komunikaci, poskytují informace adekvátně cílové skupině, bez balastu, který by byl adresátům k ničemu. Můžete to teď pozorovat na dalších místech. Třeba v restauraci vám dají jídelní lístek s nabídkou jídel a pití a nepřidávají tam pro jistotu návod na použití pračky a seznam českých jehličnanů. V návodu k pračce zase nenajdete fejeton a mapu Brna, protože co kdyby se to někomu hodilo.
-
Filip JirsákStříbrný podporovatel
Predevsim ten ucet muze ta treti strana kdykoli z libovolneho duvodu zrusit, a tim znemoznit nejen prihlaseni, ale i pristup k datum.
Který účet a která třetí strana? Když se budete přihlašovat třeba do Alzy, máte účet u Alzy a Alza bude mít s vaším účtem spárován veřejný klíč, který používáte pro autentizaci. Kde je tam jaká třetí strana, která by mohla zrušit nějaký účet? -
Filip JirsákStříbrný podporovatel
Soukromý klíč máte ovšem uložený na mobilu, ne v žádném cloudu. Synchronizaci tokenu mezi zařízeními passkeys řeší.
-
JmJStříbrný podporovatelChci videt ty tisice nadsenych beznych uzivatelu, kterym to urcite ma zjednodusit zivot a kteri kdyby jen trochu mohli, tak by zahodili vsechny slavne chytre telefony a jine kraviny a kteri proste jen chteji v klidu fungovat ve svem svete a kteri fakt netouzi po tom, ucit se kazdy rok jiny, zarucene ten nejlepsi zpusob prihlasovani se nekam.
Jedna banka tak druha jinak, google tak, facebook jinak, web o autech onak, v praci ctvrtak a na urad paterak. V mobilu forti token, google auth, ms auth a pred sebou zarnou budoucnost, ze jednou se budem hlasit vsude stejne, protoze ted uz mame prece ten nej otevreny standard.
Kulovy. Tohle je uz 20 let furt dokola a nechytilo se poradne nic, jen kazdy tlaci do svych veci to jeho zarucene nejstandardnejsi reseni, ktere budou uzivat do roka vsichni. A pod zaminkou super veci jako dvoufaktor pres sms mami z uzivatelu tel cisla atd.
Toz tak.
-
Presne tak.
Me osobne ovsem vzdy dojima nejvice nabidka na tema "nemusite si u nas zrizovat dalsi ucet, muzete se prihlasovat ... prostrednicvim, google, fb, ...."
Aby si pak clovek pocetl na nejakem to forku, ze to vecne lidem nefunguje.
Uzasne je to treba u her, hra koupena na steamu, vyzaduje bezici cojavim uplay a ten vyzaduje "propojeny" ucet u provozovatele hry. Tohle nesprovozni ani ITk ktery se tim zivi.
BTW: Zrovna uplay a dvoufaktor znemoznil znamemu si zahrat koupenou hru. Nakonec mu ten dvoufaktor po asi mesici dohadovani se vypnuli.
-
Filip JirsákStříbrný podporovatel
Nemohl by by 2FA zavést i Root?
Jinak služby zmíněné v článku se obvykle používají pro jednofaktorovou autentizaci (až na Microsoft Authenticator, ten lze použít i pro 2FA).
-
-
Filip JirsákStříbrný podporovatel
Já MojeID používám. Ale ti, kteří kvůli 2FA přestávají služby používat, tu pořád mají na výběr i přihlášení bez 2FA…
-
Jo, nápad zbavit se hesel je príma. Teda by byl, ale není, ono by to tak jako prvně chtělo vyřešit pár věcí kolem, které rozhodně vyřešeny nejsou.
1.Lost authenticator recovery - Už vidím tu smršť chytráků jak se sesypou že to dávno vyřešené je - opravdu? Pro 99% uživatelů, a ne jen pro pár geeků, co vědí, že si ty klíče v Yubi mají tak jako zálohovat? A i když jsem v druhé části světa? A nejde to pak naopak zneužít k obejití?
2.U SSO služeb zaručené poskytování služeb. To, co v drtivé většině případů je "Váš account byl zrušen, protože naše AI vyhodnotilo, že jste porušil podmínky. Máte právo držet hu** nebo si popovídat s naším chatbotem" je poněkud mnohem horší variantou, než ten papírek.
3.Privacy preserving ověření, např. pseudonymní. Opravdu není dobrý nápad, aby se přes Google nebo M$ účet autentikovalo třeba na https://forum.mamrakovinu.cz/, nebo naopak aby pro fórum https://anonymnialkoholici.cz/ se předával hlavní účet...
-
Filip JirsákStříbrný podporovatel
Ad 1. V čem se to liší od hesel?
Ad 2 a 3 Tak si vyberte ta řešení, která nemají žádné SSO ani nepoužívají Google nebo Microsoft účet. V článku jich je zmíněno několik.
-
Ad 1. Třeba v tom, že hesla si na kus papíru umí zazálohovat i důchodce. A ani mu není třeba zdůrazňovat, že to má dělat.
Myslíte, že nejaký laik dokáže zazálohovat systém, do kterého nevidí pořádně ani profesionálové specializovaní na něco trochu jiného?Na rozdíl od hesel tohle bude neprůhledná skříňka naplněná černou magií. A jak se rozbije, tak přijdou o všechno.
-
Filip JirsákStříbrný podporovatel
Pokud si někdo bude zálohovat hesla na kus papíru, má špatná hesla – používá slabá hesla a používá je opakovaně.
Na zálohování něčeho není potřeba do systému vidět, pokud ten systém má dobře vyřešený způsob zálohování. Předpokládám, že Google, Apple i Microsoft nabídnou možnost zálohovat si ty klíče do cloudu spolu s ostatním nastavením systému.
Běžným uživatelům to bude bez problémů fungovat a budou to mít zálohované stejně jako hesla z prohlížeče a ostatní nastavení systému – pokud nepřijde nějaký „ajťák“, který jim to rozbije s tím, že přeci nemůžou mít klíče uložené v cloudu u Applu, Googlu nebo Microsoftu.
-
>Pokud si někdo bude zálohovat hesla na kus papíru, má špatná hesla – používá slabá hesla a používá je opakovaně.
Co to je za blbost? Prohlížeč vygeneruje heslo, např. kUkLDysdH6rB642DDKyRyzdpi, to si jej nemůžu napsat na papír? Třeba moji rodiče to tak dělají, jsou permanentně doma na home-office a hesla mají v notesu v šuplíku u počítače. Ke každé službě zvláštní silné vygenerované heslo (oni těch služeb zas tak moc nevyužívaj). Tento systém jim funguje a doufám, že jim nikdo místo toho nenanutí passkeys.
9. 5. 2023, 21:14 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Dělat to tak můžete, ale počet lidí, kteří to tak dělají a mají skutečně bezpečná hesla, je tak malý, že nemá smysl se tím zabývat.
-
1. Pak není nejmenší důvod něco měnit.
2. a 3. Opět jste nepochopil. Já vím, co použít, jde tu o těch 99% běžných užovek, které tenhle nepřipravený *) nesmysl akorát dostane do stavu, který je ještě horší než současný. A problémů s nelokálním Win10 účtem jsem jen ve svém okolí zažil několikráte víc než je zdrávo.Tipnu si - tohle dopadne asi jako implementace IPv6 ;-)
*) <tin foil>Osobně si nemyslím, že je to nepřipravené, zvláště když někteří nejvýraznější aktéři celé šarády naprosto nepokrytě po jakémkoli dalším zaháčkování šmírování pasou.</tin foil>
-
Filip JirsákStříbrný podporovatel
Pak není nejmenší důvod něco měnit.
Důvod může být ten, že se to liší v jiných vlastnostech – a v těch je nový systém lepší.Já vím, co použít, jde tu o těch 99% běžných užovek, které tenhle nepřipravený *) nesmysl akorát dostane do stavu, který je ještě horší než současný.
Vznikl standard, který může implementovat kdokoli. Standard už je implementován v některých prohlížečích a operačních systémech, takže ho může začít používat kdokoli. Google to začal používat u svých služeb místo proprietárního řešení. Postupně to začnou nabízet i další poskytovatelé jako bezpečnější alternativu. Bude trvat několik let, než se to rozšíří tak, že to bude běžné. Běžným uživatelům to výrazně pomůže, protože budou mít něco, co je snazší na použití, než správce hesel, a budou to mít bez práce – nebudou muset žádný správce hesel shánět a instalovat.Tipnu si - tohle dopadne asi jako implementace IPv6 ;-)
Jako že v některých státech to bude mít přes 50 %? V budoucnosti k tomu asi dojde, ale rozhodně to není na pořadu dne.Osobně si nemyslím, že je to nepřipravené, zvláště když někteří nejvýraznější aktéři celé šarády naprosto nepokrytě po jakémkoli dalším zaháčkování šmírování pasou.
Jasně, Microsoft potřebuje k potenciálnímu šmírování uživatelů na Windows autentizační aplikaci, protože operační systém nemá žádnou šanci zjistit, jaké stránky uživatel otvírá ve webovém prohlížeči. A Google potřebuje kvůli potenciálnímu šmírování takovou funkci zabudovat do webového prohlížeče a Androidu, protože webový prohlížeč ani operační systém na mobilu vůbec nijak nemohou zjistit, které webové stránky uživatel navštěvuje.A to není zdaleka vše. Hospodští budou na záchodech ve svých hospodách instalovat měřáky, aby zjistili, kolik toho u nich lidé vypijí a snědí. ISP vám do routeru podstrčí svůj software, aby mohl sledovat, k jakým IP adresám se připojujete. A v bytovém domě bude vlastník domu snímat otisky prstů z tlačítek ve výtahu, aby zjistil, kdo má pronajatý byt ve kterém patře.
