Ежегодное штормовое предупреждение (о паролях)

понедельник, 16 апреля 2007

Diary Spirit

Администратор

22:06 Ежегодное штормовое предупреждение (о паролях)

Каждую неделю в администрацию приходят письма, смысл которых: "Взламали днев!!! Памагитиии!!!"

Да-да, орфография сохранена. Пишут именно так, потому что иначе не научились. И в 99 случаях из 100 безграмотность в использовании русского языка сопровождается безалаберным отношением к паролям.

Популярные пароли:

12345 - встречается в дневниках 1482 раза

1234 - 843

123 - 900

123123 - 330

111 - 242

1111 - 493

11111 - 242

666 - 528

666666 - 374

777 - 217

qwerty - 830

Разумеется, здесь перечислены не все волшебные комбинации, незнакомые никому в мире, кроме самих владельцев паролей. Более редкие, но все же популярные в народе повторы остальных цифр, букв и подряд расположенных на клавиатуре клавиш, используются так же сотнями или десятками.

А вот и чемпионы:

пароль, совпадающий с логином - 2214

пароль, совпадающий с коротким адресом дневника (shortname) - 3224

Иными словами, даже больше, чем один пользователь из ста, считает, что пароль, совпадающий с коротким адресом его дневника использовать безопасно.

Наконец, имеется несчетное множество паролей, совпадающих с датой рождения или номером аськи, которые указаны в Профиле пользователя, а также паролей, весьма напоминающих номера собственных телефонов, имена и фамилии.

Конечно, наши пользователи не уникальны и не одиноки в этом мире. Например, здесь можно почитать о "самых лучших" паролях у американских пользователей.

Но все же, родные наши! Не вы ли у себя самый(ая) любимый(ая) и ценный(ая)? Для чего надо подвергать опасности свой дневник, регистрируя подобный пароль? Неужели вам так недорог ваш дневник, что сложно запомнить в качестве пароля любое слово, использовать в нем пару заглавных букв, цифр или знаков? Защитите себя сами и избавьте администраторов от ненужной работы по выяснению вашего авторства после того, как ваш пароль подберут и удалят списки Избранного, ПЧ, настройки дизайна и сами записи, прочтут вашу переписку по U-mail, напишут гадости вашим друзьям, разошлют от вашего имени спам...

А еще, проверьте, пожалуйста, какая почта указана в настройках Профиля? Если вы давно ей не пользуетесь, измените адрес почты на действующий.

Спасибо.

---------------------

UPD Поступили советы наших опытных пользователей %)

pash_ka: берём слово, заменяем пару букв, добавляем цифру, знак плюс, подчёркивание.

По поводу генерации паролей: генерировать случайный набор букв-цифр бесполезно. Его всё равно не запомнишь, записывать надо. Если записывать, то лучше в менеджер паролей (кому нужен free - Password Agent, KeePass) у которого и генерилка есть.

Швыня: есть хорошая программа personal passworder, которая сгенерит и сохранит все пароли, одной кнопочкой скопирует в буфер, влазит даже на дискету.

Брать по адресу: http://www.dvasoft.com/ru/passworder/

Whatze Phuck: телефон бабушки и ее инициалы, хрен подберут!

Лиилит: я рекомендую для повышения брутоустойчивости пароля и не сильного его усложнения:

1) выбрать легкое для вас слово и повысить в нем регистр второй\последней\предпоследней буквы

например, в слове password:

- passwoRd

- passworD

2) Заменить буквы "о" на цифру "ноль" а букву "S" на цифру "пять":

- pa55w0rd

Insaned: программа генерации запоминающихся паролей - http://slil.ru/24141630

Edward Nigma

Пользуюсь таким методом уже давно: хороший пароль - слово набранное в неправильном языке и регистре. Например: hJPFHBQ - Розарий, Gfhjkm - Пароль

и в обратную сторону: Дфтвысфзу - Landscape.

И ещё вариант посложнее. Смысл в том, чтобы набрать английское слово русскими буквами с включенным английским языком. Например тот же ладшафт (Landscape) Будет выглядеть так: Kfylcrtqg - Ландскейп

Такие пароли с одной стороны легко запоминаются, а с другой - тяжело подбираемы.

запись создана: 26.03.2007 в 19:39

URL

zenny

27.03.2007 в 16:26

Удивительно, но всегда находят виноватых) Вы думаете виноваты пользователи? Нет... Не угадали! ) Виноваты все!)

Уже довольно часто встречаю в инете сайты, где при регистрации сложность пароля обязательно проверяеться! Если пароль слишком прост, то система просто не регистрирует нового юзверя)))) Почему бы также не сделать и на дайрике? А для того чтобы у всех были пароли "не простые" проверять при входе пароль юзера и если что заставить его сменить!.. Кодинга то на полчаса!

Впирот!

URL

U-mail Профиль

Василиск

27.03.2007 в 16:35

zenny, не вижу смысла. На дайрах не проводятся кредитно-денежные операции, нет секретных военных сведений. Ну, а если человек идиот, и для него IE и интент соединение одно и тоже, то поделом ему. Это его проблемы.

URL

U-mail Дневник Профиль

zenny

27.03.2007 в 16:46

Сэр Дьявол. Согласен... Но раз админы запостили это видимо их так задолбали юзвери, что они и на такие меры пойдут))). Мое дело предложить... )))))

Лиилит, а может искали часто повторяющие хеши, а уж потом их взламывали... Хм... Пожалуй нет) Хотя информация о парах логин/логин опровергает эту версию.... Но может они хешировали логин и сравнивали с паролем-хешем?)))) Но давай узнаем, что думает по этому поводу администрация ==))

URL

U-mail Профиль

Stina

27.03.2007 в 16:51

Надо писать то, что на мониторе написано!)) вверх ногами там, или задом наперед, это как уж нравится... у меня написано вот SyncMaster940N - и циферки даже есть, и буковки! Но это вариант для таких, как я, склеротиков

URL

U-mail Дневник Профиль

Василиск

27.03.2007 в 16:58

menuselectstudioworks500e?

URL

U-mail Дневник Профиль

Fenrirsha

27.03.2007 в 17:02

Будет впредь наука, тем кому взломали.

URL

U-mail Профиль

pash_ka

27.03.2007 в 17:05

Люююди! Я прочитал 3 предыдщуие страницы коментов (никто мне пирожок с полки не принесёт за это?) и вижу, что тут сказали уже практически всё, что было можно и начали повторятся.

Но вот чего, кажется, не было- так это идеи обойтись вообще без паролей.

Давайте каждый обзаведется клиентским SSL-сертификатом, будет носить его с собой на флэшке и использовать вместо пароля при входе в дайри.

А если ещё помечтать...

У каждого человека есть USB-брелок с чипом-процессором и зашитым в памяти этого устройства закрытым ключом. При регистрации на сайте сохраняется соответствующий открытый ключ (тоже записан в брелке).

При авторизации на сайте, сайт генерирует идентификатор сессии, посылает его клиенту. Клиент (используя USB-брелок) подписывает его своим закрытым ключом, сайт проверяет подпись (используя указанный ранее, при регистрации, открытый) и если подпись верная - использует этот идентификатор для идентификации клиента при последующих запросах.

При этом закрытый ключ хранится в брелке, брелок им подписывает и шифрует данные, но никогда не передаёт в комп. Т.о. взлом невозможен если только физически не завладеть брелком.

URL

U-mail Дневник Профиль

pash_ka

27.03.2007 в 17:10

Stina H. Andy

у меня написано вот SyncMaster940N

Это приглашение ломать Ваш дневник?

URL

U-mail Дневник Профиль

Чудной Лис

27.03.2007 в 17:11

pash_ka

А чтобы обезопасить сам брелок, его можно встроить в систему залпового огня..

URL

U-mail Профиль

Василиск

27.03.2007 в 17:14

pash_ka, ок ты программируешь всю эту систему, и каждому юзеру дневников выдаешь по бесплатной флэшке.

URL

U-mail Дневник Профиль

Stina

27.03.2007 в 17:17

pash_ka не, это у меня на мониторе так написано! в дневнике по-другому написано))

URL

U-mail Дневник Профиль

pash_ka

27.03.2007 в 17:17

Чудной Лис

Надо быть проще: грамм 100 тротилла внутрь и большую красную кнопку...

URL

U-mail Дневник Профиль

pash_ka

27.03.2007 в 17:20

Сэр Дьявол

А ты меня спонсируешь. Договорились!

Stina H. Andy

Так ещё интереснее: будем подбирать правильный способ написания указанной надписи...

URL

U-mail Дневник Профиль

Edward Nigma

27.03.2007 в 17:26

Мдам, криптография отдыхает.

Позволю себе дать простой совет. Пользуюсь таким методом уже давно. Хороший пароль - слово набранное в неправильном языке и регистре. Например:

hJPFHBQ - Розарий

Gfhjkm - Пароль

и в обратную сторону:

Дфтвысфзу - Landscape.

И ещё вариант по сложнее. Смысл в том, чтобы набрать английское слово русскими буквами с включенным англиским языком. Например тот же ладшафт (Landscape) Будет выглядеть так:

Kfylcrtqg - Ландскейп

Такие пароли с одной стороны легко запоминаются, а с другой - тяжело подбираемы.

URL

U-mail Дневник Профиль

Лорд Странник

27.03.2007 в 17:39

По ходу дела, только случайно, не псевдо, пароль вломоустойчивый. А заучить пароль - не такая уж и большая проблема, поверьте мне.

URL

U-mail Дневник Профиль

pash_ka

27.03.2007 в 17:50

Edward Nigma

Если говорить о веб-сайтах, где брутфорс легко ловится админами и потому не метод, Ваши пароли хороши.

А если, например, о запароленных архивах, тогда не катит. Потому что берется словарь тысяч на 100 слов, десяток вариантов преобразований слов из словаря, и получается 1 миллион вариантов. Если скорость проверки, скажем 100 вариантов в секунуд (а это, поверьте, совсем не много) пароль будет найден за 3 часа.

URL

U-mail Дневник Профиль

дуглас сполдинг

27.03.2007 в 17:56

могу предложить неплохую идею (ИМХО), как составлять пароли.

берем любое слово, пусть будет пароль.

набираем его, а потом при помощи punto switcher переключаем раскладку...

имеем: gfhjkm.

и все просто))))

URL

U-mail Дневник Профиль

Рем

27.03.2007 в 17:57

Вняла совету и сменила пароль на такой что без поллитра не разгадаешь...

URL

U-mail Дневник Профиль

татута

27.03.2007 в 18:02

мои любимые пароли - писать русское слово на английской раскладке:

пароль - gfhjkm

раз1два2три3 - hfp1ldf2nhb3

URL

U-mail Дневник Профиль

Чудной Лис

27.03.2007 в 18:19

Aemaeth Feinsgular

Непробиваемость пароля для архива - в его не-словарности и длине. Сомневаюсь, что возможно взломать пароль из беспорядочных символов длиной эдак 50-60 за вменяемое время..

URL

U-mail Профиль

Edward Nigma

27.03.2007 в 18:20

pash_ka

Речь в первую очередь шла о паролях для блогов.

Если уж говорить о паролях для архивов и документов, то тут другое дело. Хорошо бы примешать ещё цифры, символы, смешать регистр, смешать языки, и длина паролей не меньше 5 символов. Например: шAm%98а/|а Гарантирую 12 дней непрерывной тчетной работы системы подбора при скорости 70 000 паролей в минуту(у меня примерно такая).

А вообще я уже не пользуюсь паролями в архиве. Легче упаковать архив чем-нибудь своим, алгоритм подбора ключа к которому известен только тебе.

URL

U-mail Дневник Профиль

Ляська

27.03.2007 в 18:22

Пошла, и добила в свой многострадальный пароль еще два знака, чтоб не переживать

По поводу незапоминаемости случайных комбинаций букв/цифр:

у меня вот давно уже сочетания типа z5!6F_g68h*jBG набираются на автомате и, как ни странно, запоминаются.

Простые слова, наоборот, чаще забываю)

Это, конечно, не так сложно, как упомянутое в первых комментах нечто длинное-длинное, но для обычного юзера вполне терпимо.

А когда только "начинала" в Интернете, запоминала пароли пальцами - до сих пор иногда, задумавшись, набираю старые пароли - ловкость рук развивается))

pash_ka

Предлагаю вживлять что-нибудь в подушечки пальцев. Чтоб уж наверняка.

А еще бывает сканирование сетчатки...

А по поводу всяких там надписей на тетрадках, мониторах и прочем близстолалежащем - ну, не знаю...

Я вот вне дома регулярно захожу, неужто монитор с собой таскать?

Надежнее, наверное, действительно в блокнотик, блокнотик - в сейф, сейф - на дно морское.

А вообще, если администрация будет регулярно что-то такое говорить, я, как параноик знатный, доведу-таки пароль до 30 символов...

URL

U-mail Дневник Профиль

Edward Nigma

27.03.2007 в 18:25

Чудной Лис А запомнить?

URL

U-mail Дневник Профиль

Зеленая пантера

27.03.2007 в 18:26

)) да уж)) у меня еще вчера пароль был четыре символа)))

а теперь... 14)) прогресс налицо))

URL

U-mail Профиль

JasperGROM

27.03.2007 в 18:30

кг/ам

URL

U-mail Дневник Профиль

RavenLock

27.03.2007 в 18:32

Ага... статистика есть, приступим к подробу :-D

URL

U-mail Профиль

Чудной Лис

27.03.2007 в 18:40

Edward Nigma

Главное алгоритм запомнить

Взять любую последовательность, например, простых чисел. Между ними вставлять буквы из алфавита - гласные большие, согласные маленькие. Просто к примеру - что тут запоминать? А длина выйдет внушительная.

URL

U-mail Профиль

Aemaeth Feinsgular

27.03.2007 в 18:49

Чудной Лис Ну так да. Если есть алгоритм связавающий последовательность символов пароля, то запомнить нет проблем. Но если честно, мне легче написать коротенькую прогу по упрятыванию файла, и поди разбери, как я его там прячу, и как нужно действовать для открытия.

URL

U-mail Дневник Профиль

Чудной Лис

27.03.2007 в 19:00

Aemaeth Feinsgular

Вариант, конечно, но, например, у меня самое важное всегда есть с собой на флешке. Мне нужен доступ к данным и программам с любого терминала, при этом очень важно сжатие - носитель-то не резиновый

Поэтому очень удобно пользоваться всё же rar-ом.

URL

U-mail Профиль

n_gun

27.03.2007 в 19:02

Один из самых любимых вариантов — предложение на английском, разбитое цифрами и капсом. Например:

i9LoVe7Di@ry1

URL

U-mail Дневник Профиль

← Предыдущая Первая 2 3 4 5 6 7 8 ... Следующая → Последняя