Kā reiz pirms kāda laika nomainīju uz teikumu ar vairākiem vārdiem.

Exactly! Tāpēc mani tracina, piemēram, Apples apsēstība ar obligātajām prasībām pret speciālajiem simboliem. Saprotu labo nodomu, bet patiesība ir tāda, ka, lai cik krutu paroli es uztaisītu, tā vēl jāspēj atcerēties un speciālie simboli ir tie, kas spēj saputrot galvu. Lai gan arī bez tiem būtu gana droši.

Es personīgi izmantoju šādu metodi. Uzģenerēju paroļlapiņu: http://passwordchart.net/ un tad mana vienkāršā parole: kabelis pārvēršas par ~kko tādu: F6v!A1l$3U&ap#4QI$x74j*D/1Ne

Paroļlapiņu jāizdrukā un jāglabā naudas makam ekvivalentā vietā. Ja grib ērtības, tad var uztaisīt speciālu "paroļu klaviatūras layoutu", taču tas zināmā mērā samazina drošību.

No mnemoniskajām metodēm izmantoju "pirmo burtu metodi". malktlnvttemekdssltmktdatsd ~= Miglā asaro logs...

Pat ja parole ir par plikiem zirgiem, pastāv zināma iespēja, ka kāda mājaslapa paroli saglabās, to nešifrējot. Lai samazinātu iespēju, ka kādas mājaslapas uzlauzšanas gadījumā ļaundarim tiek pieeja pie visām citām lapām, katrai lapai vajag unikālu paroli. Visvienkāršākais ir kombinēt mājaslapas nosaukumu, piemēram, "veci pliki zirgi gle", kur g ir pirmais burts no google.com, bet le - pēdējie 2 burti. Priekš hotmail, parole būs "veci pliki zirgi hil".

Tieši šo es izgudroju pagājušajā nedēļā. Paroļu lapiņas es zaudēju, neloģiskas burtu, ciparu un zīmju kombinācijas aizmirstu, tādēļ mazliet dīvains saliktenis ar simboliem dažu burtu vietā ir ļoti ok ikdienas lietošanā.

Sensitīvas paroles ar random simboliem esmu iegaumējis, pārējās ģenerēju vismaz 16 simbolu garas ar lastpass. Nav nekas jāatceras.

Kāpēc gan ne KeePassX?

Drīzāk jau vajadzētu parunāt par keyloggeriem, paroļu zagšanu atvērtos wifi utt. Boti ārvalstīs vai tad sajēdz burtsimbolu paroles no latviešu valodas?

Starpcitu parole diezvai tika tā vienkārši minēta. Links, kuru iesūtīja man, bija īsināts 4x un gala links ir redzams šeit + virustotal tas ir atzīmēts kā malware divās datubāzēs.

https://www.virustotal.com/url/63c4105ce9517484823629dc6794bf6f32d3591428474d8863e7d00310986ab2/analysis/

Paroles maiņa ir ok. Ir ok arī nevirināt visus linkus, ko Jums iesūta. :)

Autorizācija, kas balstīta tikai uz parolēm ir lemta neveiksmei jau no paša sākuma. Un ir pilnīgi vienalga vai tev pieci pliki zirgi vai ¤%&/#RTW/&.. Tas ir nedrošs autorizācijas veids, jo balstās tikai uz vienu faktoru. Otrs vājais posms visā šajā pasākumā, ir aizmirsto paroļu atgādināšanas/resetošanas process. Kaut vai pēdējais skaļais gadījums, kad kādam žurnālistam tika nahrenizēta visa info no visiem ābola devaisiem - tas varēja notikt tikai pateicoties vājajam paroļu resetošanas procesam (http://www.wired.com/gadgetlab/2012/08/apple-amazon-mat-honan-hacking/all/)

Šobrīd vienīgais pareizais un drošais veids ir izmantot 2F autorizāciju visur, kur vien tas iespējams. Paroļu autorizācija nāk no pašiem datoru pirmssākumiem un tas ir jau vairāk nekā 20 gadus novecojis autorizācijas veids. Ja tev nav 2F autorizācija, vari uzskatīt, ka teorētiski tu jau esi upuris..

Taisni gribēju ieminēties par to, ka vismaz Google un Yahoo jau labu laiku piedāvā 2-faktoru autentifikāciju. Laacz, lūdzu, uzraksti arī par to! Tas ir ne mazāk svarīgi, jo visas Tavas superslepenās paroles ir pie kreisās pakaļkājas, ja kāds dabon piekļuvi Tavam e-pastam.

Pārējiem cilvēkiem, kas varbūt nezin, kas ir 2F autentifikācija - Tu piesaisti savu mobilā telefona numuru pie sava e-pasta. Tad, kad ielogojies e-pastā, Tev uz SMS pienāk kods (bezmaksas!), kuru vēl papildus jāievada, lai varētu tikt klāt. Tagad neviens bez Tava telefona nevarēs tikt pie Taviem e-pastiem.

Lai procesu atvieglotu, vismaz GMail gadījumā, ir vēl 2 iespējas - var ielikt ķeksi "atcerēties šo datoru 30 dienas", un tad kādu brīdi kods nebūs jāievada. Tas noder uz saviem mājas/darba datoriem.

Tāpat arī, ja Tev ir smartfouns, tad var dabūt arī appu, kas šo kodu ģenerē, pat bez interneta vai telefona zonas (tas tiek rēķināts no pulksteņlaika un ir derīgs samērā nelielu skaitu minūšu).

Varbūt iedvesmai derēs šis rakstiņš, vai kāds, uz kur tas linko: http://www.codinghorror.com/blog/2012/04/make-your-email-hacker-proof.html

P.S. Ja vajag palīdzību rakstiņa veidošanā, es piesakos, jo arī jau sen vēlos popularizēt šo lietu. Atsūti man uz e-pastu savu Skype vārdu, varēsim diskutēt dzīvajā. :)

a man iepatikās komentos minētā pirmo burtu metode... :) Tagad pielipa dungot dziesmiņas ar pirmajiem burtiem... aaargh... :D

Es mēdzu izgudrot tāāādas paroles, ka jau pēc pusstundas to vairs neatceros. Pat ja es atceros, tāpat internetbankas pēc kāda laika piespiež nomainīt paroli. Tāpēc es diezgan bieži eju uz banku, lai atjaunotu savu internetbankas paroli.

Risinājums? Paroļu menedžeris, piemēram "KeePass"! Es tagad nemaz neatceros, kāda ir internetbankas parole, atceros tikai galveno (master) paroli un tālāk ir tikai CTRL+V.

Kā jau zināms, katrā vietnē jāizmanto cita parole. It īpaši jāsargā e-pasts, jo, ja to uzlauzīs, paķers līdzi VISU interneta vietņu kontus.

Patiesībā "veci pliki zirgi" ir tikai nedaudz drošāks variants. Vienkārši brūtforsējot jāpārlasa nevis burtu kombinācijas, bet vārdu. Ņemot vērā, ka vidusmērā cilvēka vārdu krājums ir daži tūkstoši, tad iespējamo variantu skaits ir samērā neliels, ja tiek lietoti īsi teikumi.

Vot "zaļi rūķĪši rietošās saules staros dzēra aizvakardien@s tēJu" būs stipri smagāks variants.

Raksta īsā versija.

Pret konkrētu džeku ir veikts "atentāts", kā rezultātā ir uzlauzta viņa parole. Visiem tagad nepieciešams doties un nomainīt paroles pret 30 simbolu gariem tekstiem ar prefiksiem un postfiksiem.

Neturpiniet būt upuri.

Pavisam nesen nolēmu ieviest kārtību paroļu lauciņā. Iepriekš bija gan vārdi ar papildus simboliem, gan pirmo burtu metode. Nebija mainītas gadus 10 :) Un zināju jau sen, ka ar brute-force tās būtu laužamas maksimāli 2 stundu laikā. Kādreiz sporta pēc atguvu XP paroles nelaimes putniem, kas tās bija aizmirsuši (vienkāršāk protams ir reset-ot uzreiz). Izvēlējos KeePass - 20 simbolu master parole un tāpat visas citas - dažādas 20 simbolu random paroles (100+ biti).

lietoju garas un sarežģītas paroles, iesaku to visiem, bet nesenā twitterspama uzrašanās nav saistīta (manuprāt) ar kādu 'brutte force", drīzāk ar kaut kādiem vīrusiem u.c. drazwāri

Domāju paranoja mazliet nevietā. Varētu padomāt, ka paroļu laušana ar bruteforce ir ikdiena. imo lielākā daļa paroļu noklīst vai nu tāpēc, ka tās ir 12345 qwerty vai ar phishing metodēm. Tādu aunu pietiek lai viņu kontus izmantotu vēl 10 gadus bez jebkādiem bruteforce.

Un nez cik eksemplāriem pirms un pēc, pieminot zirgus tavā piemērā, būs MZGD garā versija? :) (kas nav no tā laika - Mans zirgs grib dirst)

cenšos galvā vizualizēt vecu zirgu :) nesanāk.... Bet laikam jau cenšoties vien atcerējos :)

Nevajadzētu aizmirst, ka paroles maksimālā iespējamā sarežģitība ir ierobežota ar bitu skaitu, kas tiek izmantots hash funkcijā. Protams 128 vai labāk 256 biti nav maz, bet tomēr.

Pret brute force jebkura prātiga sistēma tiek aizsargāta ar mākslīgu pauzi pēc nepareizi ievadītas paroles, ir arī vietas, kur parole tiek bloķēta. Attiecīgi arī paroli "trallala" var nebūt viegli uzminēt pie šī nosacījuma. Sliktāk ir ja "aizvelk" paroļu hash failus - tad protams šāda parole ilgi neturēs.

Vari kaut vai eseju ierakstīt parolē, bet ja serveris un savienojums nebūs drošs (kriptēts) tad nekādas jēgas. kas gribēs, tas nosnifos. jo īpaši LTK tīkls ir ļoti caurs... kā minimums viena mikrorajona ietvaros. un tur arī viss beidzas.

Ideja laba. Visiem raudātājiem - raksts ir domāts tiem, kas visur tur vienādu grūti atminamu paroli. Nav runa par neuzlaužamām parolēm, runa ir par veidu kā vieglāk atcerēties paroles, nezaudējot drošību. Visas paroles var uzlauzt, dažādos veidos. Par to nav runa.

Jā, beidzot laacz sāk rakstīt arī kaut ko sakarīgu. Tātad, es piekrītu tiem, kas saka, ka pareizākais ir izmantot 2 faktoru autentifikācijas (tas ir, tās ir jānodrošina attiecīgajiem servisiem). Kāpēc? Ļoti elementāri, jo gandrīz vienmēr pirmais faktors ir parole jeb kaut kas, ko lietotājs zina (tātad, var arī izmuldēties vai citādi neuzmanīgi šo informāciju atklāt), taču otrais vienmēr ir kaut kas, ko lietotājs nezina un nevar ietekmēt - viņa biometrija (pirkstu nospiedumi) vai "tokens". Pat ja pārķer tokenus, nianse ir tāda, ka tas tokens ir derīgs tikai neilgu laika sprīdi un jebkādu svarīgu darbību apstiprināšanai vajadzīgs jauns tokens. Par augstas drošības nepieciešamības sistēmām cilvēki parasti uzskata internetbankas, apdrošināšanas sistēmu kontus un citus, kur glabājas "jūtīga" informācija (kā personas kods, piemēram). Bet es teiktu, ka saistībā ar e-pasta ciešos saistību ar šo visu (paroļu atjaunošana...), jāsāk arī pret e-pasta kontu izturēties kā pret paaugstinātas drošības vidi, kurai arī nepieciešama 2 faktoru autentifikācija vai vismaz iespēja to izvēlēties. Protams, ka visiem savienojumiem jābūt šifrētiem, par to pat nevar būt ne runas! Kāda jēga uzsvērt zema līmeņa servisus, kas neko no šī nenodrošina un apgalvot, ka viss ir ļoti nedroši!? Nesen bija gadījums, kad atklāja viena deputāta interneta pārlūkošanas vēsturi, kas glabājās Google kontā. Izrādās, ka šim patīk skatīties zoofīlijas aktus un šis meklē "eskortservisu Ogrē". Protams, smieklīgi, bet ņemsim vērā, ka šāda informācija tiek iegūta un ir interesanta tikai tad, ja esi politiķis, slavenība vai nodarbojies ar "lielām lietām", piemēram, biznesu. Publiskots viss tiks tikai, ja esi politiķis vai slavenība - tāds viņiem bizness! Ejot politikā, cilvēks jau pieliek sevi pie kauna staba pēc definīcijas, pat būdams krietni "tīrāks" par sabiedrības vairumu...

Vēl piebildīšu, ka, manuprāt, 2F kombinācija "something, that user knows" (parole) un "something, that user is" (biometrija) ir derīga tikai iekšējā lietošanā, kur dati nelien ārā pa Firewall nemaz uz "internātu", bet interneta autentifikācijai labāk būtu "something, that user knows" un "something, that user has" (tokens).

Vērtīgi.

Nu kādēļ muldēt par lietām, no kurām nav ELEMENTĀRAS sajēgas?? Kāds muļķītis kaut kur Netā uzraksta, un latvju pajoliņi atkārto kā Bībeles patiesību!! Vairāku ar tukšumiem atdalītu vārdu uzminēšana ar vārdnīcas metodi NAV sarežģītāka par viena vārda uzminēšanu. Attiecīgi "pieci latvju lohi gudri muld" uzminēšana aizņem 2^5=32 reizes vairāk laika, nekā "zirgs". Un tās ir joprojām ir pāris sekundes...

Anton, tevi skolā matemātiku ar lineālu vajadzēja mācīt! [varbūtība ka uzminam cik ir vārdu] reiz [varbūtība ka uzminam ar ko atdalīti vārdi] reiz [varbūtība, ka aiz/pirms vārdiem seko vēl kādi simboli/skaitļi] reiz [1 vārda uzminēšans varbūtība] reiz [2 vārda uzminēšans varbūtība] reiz ... [ntā vārda uzminēšans varbūtība] reiz [vēl kautkādi simboli]

Nu ja godīgi, tad viss atkarīgs kā paroles tiek glabāts, kādā kodējumā. Ja utf-8 tad bitu skaits uz simbolu atšķiras, ja kādā citā formātā (ANSI) tad atkal itu skaits uz simbolu atšķirās. Tāpēc ja godīgi, tad vari kaut vai prozu glabāt, bet ja zina kodējumu tekstam kādā glabājas db (letiņiem 70% UTF-8), tad aptuveni zini kā lauzt vaļā.

P.S- Te aktīvi ieska lietot atstarpi, bet nu tas ir tas pats spec simbols, kur viens simbols tiek kodēts izmantojot vairākus citus, tas pats notiek ar $#^$*@(!) simboliem. Tie neglabājas tīrā veidā. Tāpēc ir stulbi uzskatīt ka parole: "es gribu drosu paroli" būs kaut par 1 sekundi ilgāk uzlaužama par paroli: "es%gribu&drosu^paroli" nebūt nē. Bet ja a un s aizstāj ar kādu citu simbolu, tad šī parole sastāvēs no vairāk simboliem un vairāk bitiem, kas to padarīs par grūtāk uzminamu paroli. Un nāksies ilgāk mocīties. Bet kāda jēga vispār taisīt brute force, ja normāls serviss paņem un noloko pēc 3 vai 4 mēģinājuma? Vienmēr būs labāk nozagt DB un kodēt to vaļā. Tas notiek ahunā ātrāk. Pietiek atkodēt 1 paroli (pats uztaisa kontrolietotāju ar kontrolparoli) un zināsi gan kodējuma algoritmu gan tā saucamo iesālīto vārdu.

Tā kā visi mēs paļaujamies uz koderu kosīnusu elkoņos. Ja tie nespēs nosargāt serveri un datubāzi, tad varam lietot garākās paroles, bet neko tas nedos. bet ja koderis ir pratis savu darbu, tad parole "P@r0l31_gaizins" būs viss kas nepieciešams.

Tāpec jau sensenos laikos, kad koderis bija kaut nedaudz apveltīts ar saprašanu, parastajam mirstīgajam pateica, lai tas lieto neordinārus simbolus kā !@#$%^&*()_+|\ savās parolēs, un to būs grūtāk uzminēt no cilvēciskā faktora, jo koderis parūpēsies par otro pusi. Jo ja šī sitēma nebūtu strādājusi, tad praktiski jebkurš forums būtu nonests uz ausīm utt. Bet pārsvarā to saitu nones uz ausīm, ja ir bijis "meistars", kurš pažēlo tos 60ls gadā par droši parakstītu ssl sertifikātu + paroles normālu kriptēšanu un datubāzes piekļuves kontroles ieviešanu. Un protams servera un tā programmatūras atjauninājumi nav jāignorē, ja vien pats netaisi labojumus manuāli.

Nu es jau saku, bet utf-8 4 baitus. Tāpēc rakstīju, ka arī svarīgāka ir servera puse nevis lietotāja izdoma. Un ir labāk, ka lietotājs veido paroles, kuras nav pārāk sakarīgas, lai atslēgtu cilvēcisko faktoru. Bet nu ja godīgi, mūsdineās parole ir noiets etaps, jo pārāk daudz lietotāju ir saradušies un aizvien palielinās varbūtība, ka cilvēki lieto vienādas paroles. Bet nu paroļu topi pierāda, ka populārākās paroles reti izmanto !@#$%^&*()_+ simbolus.

usinss, man šķiet ka tu neesi sapratis vienu būtisku lietu - paroles NEGLABĀJAS. Datubāzē glabājas hash vērtība parolei. No šī viedokļa skatoties nav nekādas starpības, vai hash tiek iegūts no l3~3!x@4k3r vai tu-stulbeni-neatkodisi-sho-paroli. Abos gadījumos tev ir neizprotama skaitļu virtene no kuras tieši tu nekādu vērtīgu informāciju neiegūsi.

bet nu hash jau ir tā kodētā parole, kaut vai checksum. Bet ja es izveidoju testa ACC, kur zinu visus mainīgos, tad samērā īzī varu izvilkt ārā pārējās paroles. vispirms vienkārši jātiek galā ar saviem datiem.

Diemžēl paroļu sarežģītībai nav izšķirošas nozīmes. Kapēc? Kā mainot paroli tā tiek nosūtīta un pārbaudīta uz sarežģītību? (atbilde ir baisa - plain text) un tas attiecas uz 90% sistēmām

usinss, es tūlīt nogāzīšos no krēsla! Lūdzu apraksti konkrētu procesu, kā tu "īzī izvelc paroles" un kā šajā procesā darbosies tavs testa akaunts?

Izlasīju rakstu un arī komantārus, bet tā arī nepamet sajūta, ka paroles a un b ir vienādi drošas: a) 1111 b) 5_peleeki_vilki_mezhaa_churaa

Varbūtības aprēķinos ir jāskaita nevis cik ilgu laiku prasa piemeklēt dažādas kombinācijas atkarībā no pielitoto simbolu sarežģītības un daudzuma, bet gan visi citi faktori - vienas(!) paroles lietošana visur; paša servis drošums, datora drošums nno kura to pieslēgšanos veic, interneta pieslēguma drošums, lapiņas drošums uz kuras tā parole uzrakstīta un pielīmēta pie monitora.

No biznesu procesu vadības viedokļa skatoties, papildus sarežģītība un ņemtne ar mobilo telfonu pavairo iespējamās variācijas un varbūtiskos variantus kādām kaut ko un kaut kad izshēmot.

Intereses pēc savam Googles loginam tiko pamēģināju nepareizo paroli iebarot. Neskaitīju, bet pēc kāda 10 vai 15 mēģinājuma izmeta "kapču". Attiecīgi parolei jābūt tik drošai, lai bruteforce savos pirmajos 1-15 mēģinājumos to neatkož. Pārējos variantos parole ir vienādi droša.

V.

p.s. Starp citu, parole 1111 man bija 1997.gadā hotmail.com epastam, ko lietoju bezgala ilgi ~10.gadus laikam. Tavu brīnumu, neviens tur nebija ielīdis. Pēc tam man Hotmails uzmacās ar paroles maiņu, izveidoju tam kaut kādu supergaru hārdkōru, to aizmirsu un arī par pašu kontu attiecīgi aizmirsu. Sanāca, ka drošā parole ir nedrošāka - savu maila akountu biju spiests zaudēt.

BTW Windows 8 instalācijas laikā pieprasītais Microsoft acoount arī ir izvēlīgs uz paroles simbolu skaitu. Ne mazāk par 8, ne vairāk par 16, jābūt obligāti 2 simboliem Upper Case un kas tur vēl.

8 simbolus es saprotu, bet pārējo gan lieku (Microsoft ērtību dēļ) varēja nesarežģīt!

Mūsdienās vairs nav svarīgi kāda ir Tava parole, jo ja mēs saslēdzam vairākus GPU kopā, saliekam smukā kubikmetra čupā, dzesējam un vēl pie tam zinam kādā hešā vajag atkost šo paroli, mums ir svarīgi vai mūsu ģenerētais hash atbilst Tavas paroles ģenerētajam hešam, un vēl ja nu gadījumā ar to nepietiek varam izmantot Rainbow Table ...

Bet piekritīšu OP, lai nebūtu pārāk viegls mērķis, labāk pierakstīt uz lapiņās paroli līdzīgi šai "nodIAS89)#!@Nn##" un ar laiku jau iegaumēs.

Bet lielākoties viss ir atkarīgs no hosta drošības, viņš var uzstādīt optimizētu PBKDF2, kur iespējams ir 200 h/s vai arī SHA-1,kur ir iespējams 480m h/s .. utt.