de a hosszabb jelszó (főleg ha könnyen kitalálható, ismétlődő, etc.) kötve hiszem hogy biztonságosabb, mint egy randomnak tűnő karaktersor

That's where you are wrong, kiddo.

Rock and stone, to the bone! Leave no dwarf behind!

Pont nemrég vizsgáltam hasonlóból. Ha jól emlékszem, 5 random angol szónak nagyobb az entrópiája mint 12 random karakternek

Jó, de két karakter ismételve 10x, az nem 5 random angol szó.

Sarcasm: just one of the many services I offer.

Brute force nak mindegy, hogy értelmes szó vagy nem, csak is a hossz a mérvadó

A hosszabb jelszó mindig jobb, ahogy korábban is írták. Engem pont ezzel a kis-nagybetű / szám / egyéb karakter kötelezettséggel tudnak a sírba vinni.

azon a képen hangosan felnevettem

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Na jól van, akkor ma is tanultam valamit. Hozhatom Stant ide?

Sarcasm: just one of the many services I offer.

kapcsolodo: correcthorsebatterystaple

gyakorlatban egyebkent a minimum ket kis/nagybetu felesleges talan (amig van egy, az is mar kb eleg megfogni az egyszerubb szotaras bruteforceot), egyebkent viszont pl svedeknel banki authenticator van (ld meg google auth vagy blizzard vagy steam), szoval ha feltornek a jelszot se tudnak mit csinalni mert nem tudjak alairni.

a 1337sP34k jelszavakert viszont siman buntibe raknek mindenkit, foleg miota csaladtagnal hard resetelnem kellett a routert a "biztonsagos" exe miatt, csak aztan rendesen felirni a jelszot az mar nem sikerult. ahelyett, hogy beallitotta volna az extrafabouslyhardpasswordiscorrect et.

[ Szerkesztve ]

Don't dream it, be it. // Lagom amount.

nem csak a svédeknél, nekem amióta van netbankom (13 éve) mindig volt második authentikáció. először SMS, mostanra meg QR kód beolvasós-ujjlenyomatszkennelős Android app.

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Én meg ettől akadok ki... tehát ha elhagyom a telefonom, vagy ellopják, akkor nem tudok hozzáférni a bankszámlámhoz, mondjuk nyaralás alatt külföldön... Utálom, hogy mindig a nyamvadék qr kódot kell neki megadni. Nyilván biztonságosabb így, de ha beüt a gebasz akkor jól meg tud szívatni.

Eladó Lego: 42139 All terrain vehicle

Ezért jó, ha több cuccot is használsz, ami tud TOTP-t kezelni, így ha az egyik összefossa magát, még mindig ott van a másik.

Apropó: jelszókezelőt nem használ itt senki? Szerintem körültekintően kiválasztva komoly pluszbiztonságot ad, és még kényelmes is.

[ Szerkesztve ]

na jó, de ha elhagyod a telefont, akkor pl SMS authentikációd sem lesz, illetve egy nyaralás alatt kb 0%, hogy bármi más, 2FA-ra alkalmas akármi legyen nálad, szóval így is, úgy is szopó.

bár nem egy 2FA ad lehetőséget egyszer használatos jelszavak beállítására, amit akár egy cetlin is magadnál tarthatsz vész esetére, ilyen mondjuk jól jöhetne (a cetlire nyilván azt nem írod rá, hogy "Banki jelszavak" )

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

A saját rendszeremben egy pontozós módszerrel döntöm el, hogy "megfelel-e" a jelszó.

Pl. 20 pontot kell elérni (nem feltétlen pont ezek az értékek, csak példaképp).
minden karakter 1 pont.
ha kap számot akkor kap mondjuk +4 pontot.
a kis és nagybetűk használata megint +4pont
különleges karakter +4pont..

azt ha eléri a 20 pontot átmegy a jelszó ... így lehet akár csak kisbetűs mondat, de jó hosszú, de lehet rövidebb de akkor "extra" elemeket kell tartalmazzon... de nem kényszerítek feltétlen minden "spell" és szűzlányvér használatára jelszóhoz.

jelszókezelőt meg használok.. saját android appot írtam ... fapad de rajtam kívül senki se hallgatja le ... tárolni meg egy titkosított gdocba megy a felhőbe...

[ Szerkesztve ]

The human head cannot turn 360 degrees... || Ryzen 7 5700X; RX580 8G; 64GB; 2TB + 240GB + 2TB || Samsung Galaxy Z Flip 5

pontosan. jártam így, nem kicsit volt kellemetlen

új lemezünk: https://wmmd.lnk.to/BMB_RegiVagas

Nálam Bitwarden teszi a dolgát.

KeePassXC-ben van majdnem minden jelszavam, a kulcsfájlt kézzel szórom szét oda ahol kell (frissítéskor kényelmetlen, de legalább maximálisan biztonságos)

én rábíztam a gúgelre. valószínűleg egyébként is tudják, akkor meg nekem is legyen hasznom belőle

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Tudom, barlangrajz, de ez ugrott be:
"
- Kérem, adja meg jelszavát!
- Alma
- Sajnálom, a jelszónak legalább 8 karakterből kell állnia!
- Reszeltalma
- Sajnálom, a jelszónak tartalmaznia kell legalább 1számot!
- 50reszeltalma
- Sajnálom, a jelszónak legalább 1nagybetűt kell tartalmaznia!
- 50KIBASZOTTreszeltalma
- Sajnálom, a jelszóban nem követhetik egymást nagybetűk!
- 50,Kibaszott,Reszelt,Alma,Feldugva,A,Seggedbe!
- Sajnálom, a jelszó nem tartalmazhat írásjeleket!
- 50KibaszottReszeltAlmaRohaggymegHaNemFogadodElEztSe.
- Sajnálom, a jelszó már foglalt!
"

referencia 5700(XT) plexi ARGB-s blokk eladó!

Az ügyfélkapu jelszó mizériáját sikerült párommal átélni múlt héten.
Jött neki is az email, hogy ideje megváltoztatni. Emailben link, át is dobott a megfelelő felületre.
Mivel esélytelen, hogy a mai világban megjegyeznél ennyi jelszót, főleg ha sűrűn kell cserélni rányomott arra, hogy ajénljon neki egy jelszót. Ilyenkor egy pop-upban feldob 3 lehetőséget, ami közül tudsz választani egyet és azt be is írja neked. Igen ám, de amit felajánl jelszavakat azt nem fogadja el a rendszer! Kb 30 javaslatot próbáltunk de egyik sem volt jó. A pláne az, hogy amikor saját jelszót próbáltunk nekünk ki se írta, hogy mit kellene módosítani.
Összességében úgy sz*r az egész, ahogy van.

Nálam pont ezt játszotta el RobotCache.com fiók nyitásnál.

Már készültem hogy egy gagyi PC-s kliens gagyi oldala, de mikor nem engedett 12-15? karakternél hosszabb jelszót, de azt 2 számmal, nagy és kisbetűvel, 2 speciális karakterrel kellett kötelezően megfejelni, és ezt csak egyenként olvasta mind a fejemre, akkor kínomban már csak azt tudtam elképzelni, hogy ezek tényleg az XKCD stripet akarják élőben kifigurázni, nem lehetnek ennyire nyomik.

"Para mis amigos todo, para mis enemigos la ley"

You'll never forget your password again with this system!

Nemrég szoptam ezt végig, hogy megnézzem az 1%-ot. Nem lehet belépni a Kaü-n, új jelszót csináltattam, azt meg nem veszi be. A lényeg, hogy a böngészőből törölni kell a kukikat, utána már jó (vagy inkognitót használni) De hogy a feljesztők kurvára csuklanak emiatt, az hétszentség. És meg is érdemlik.

Brute force nak mindegy, hogy értelmes szó vagy nem, csak is a hossz a mérvadó

Ez nem igaz. Ennyire brute force-olni nem lehet, mert akkor soha nem érne a végére, mindenki dictionaryket használ.

DRM is theft

Keepass, keeweb, lastpass. A keeweb tetszik a legjobban a letisztult felületével.
Én mindig 15 - 20 karakteres random jelszavakat generálok, így esélytelen hogy megjegyezzem őket. Keeweb nálam szinkronizált drivera + megára így bármikor elérhetem a jelszavakat.

Furcsa, több ezer emberrel találkozunk és egyik sem fog meg igazán. Aztán megismerünk valakit, aki megváltoztatja az életünket. Örökre.

Szintén Bitwarden.
Self-hosted, szintén?

DRM is theft

self-hosted jelszó manager?
elérem bárhonnan? van hozzá app?
mert akkor lehet hogy rápillantanék

Gvella Glan! | There are two types of people: Those who can extrapolate from incomplete data

Teljesen nyílt forrású, nem csak a kliensek, de a szerver is.

... és Firefox extension is.

Átálltam LastPass-ről Bitwarden-re. Sokkal jobban tetszik, mint az előző, + 10 pont a self hosted verzióért.

[ Szerkesztve ]

Furcsa, több ezer emberrel találkozunk és egyik sem fog meg igazán. Aztán megismerünk valakit, aki megváltoztatja az életünket. Örökre.

Valami eszméletlen ostoba konstrukció lehet, ami miatt nem fogadja el a 11 karakteres jelszót - ugyanakkor a leet abc ugyanúgy szótárazható, én kifejezetten ellenzem a használatát jelszóképzésre.

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Általánosságban a mostani hashek túl erősek a sima brute force-hoz. Nem tudom, hogy milyen jelszóra gondolsz, de gyorsan utanászámolva egy sima nyolckarakteres, csak betűket és számokat tartalmazó WPA2 jelszó feltörése se triviális, mert így is 62^8 lehetőség van, a hashcat meg legjobb GPU-kon is csak pár millió hash/secet hoz - ha kétmillióval számolok, az akkor is 3,5 év.

Ezen túl ráadásul egy csomó esetben amúgy is nem irányított támadás van, a támadók bőven megelégednek azzal, ha a berzett jelszavak egy részét fel tudják törni és a dictionarykkel meg mintákkal viszonylag gyorsan törhető 123456, p4ssw0rd, ItsASecret bőven elég nekik, nem fogják a KCGa4Ggu-t is megtörni, ahogy az látható az időnként előkerülő jelszóadatbázisokban is.

DRM is theft

Egyéb okoskodás?

Mármint azon túl, hogy az NTLMv1-nek az MD4 alapú hashe az így 2020 táján nagyjából annyira számít biztonságosnak, mint a ROT13? Azt persze, hogy meg tudtátok brute force-olni, de ennek bármi normális hashalgoritmust érintő revelanciája nincs.

[ Szerkesztve ]

DRM is theft

Tudtam, hogy nem állod meg.
1. Az számít, hogy mi fordul elő a gyakorlatban. Az elmélet meg egy másik dolog. Konkrét eseten talántunk a fenti konfigurációval, ami biztos vagyok benne, hogy nem egyedi.
2. Az alap állítás az volt, hogy "Brute force nak mindegy, hogy értelmes szó vagy nem, csak is a hossz a mérvadó". Ez általánosságban teljes mértékben igaz, hiszen brute force törés ugyanannyi idő alatt talál meg egy értelmes jelszót, mint egy értelmetlent. Ebbe az evidenciába sikerült belekötnöd. Az másodlagos, hogy hány karakterig van értelme így törni: az alap állítás általánosságban igaz volt (persze rontana a tévedhetetlen önimázsodon ezt beismerned - inkább kötöd az ebet a karóhoz, egyre jobban beégetve magad... ).
3. Hány darab sérülékenység vizsgálatban vettél részt életedben? Én már túlvagyok páron...

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Az NTLMv1-nek olyan remekül sikerült a handshake-e, hogy offline is lehet jelszót törni.

[ Szerkesztve ]

DRM is theft

Köszönöm, ez már értelmesebb hozzászólás volt.

Ettől az egész jelszó ellenőrzéstől megvadulok. Ha én, mint felnőtt és gyámság alatt nem álló polgár úgy döntök, hogy a jelszavam egy darab egyes, akkor úgy döntöttem, és tessék elfogadni. Max egy igazolás kérése, hogy tudatában vagyok a jelszó gyengeségének, enyém a felelősség, bla bla bla...