Domanda:
Perché l'utente sceglie la password?
PyRulez
2015-04-14 00:54:56 UTC
view on stackexchange narkive permalink

Quasi tutti i servizi web che posso immaginare richiedono all'utente di scegliere la password. Perchè è questo? Il sistema non potrebbe scegliere una password migliore? Non deve essere un pasticcio complicato; vedi questa risposta. Gli utenti trovano semplicemente le loro scelte più convenienti? Quando selezioni la password per l'utente, conosci l'entropia, invece di porre alcune restrizioni che potrebbero impedire loro di utilizzare uno schema a bassa entropia.

Perché permettiamo all'utente di scegliere la password?

Sebbene non sia una relazione uno a uno, le società di carte di credito in Canada scelgono i numeri PIN (con chip card) per gli utenti da molto tempo.
Se mi fai ricordare la tua password, dimenticherò il tuo servizio.
Non importa quanto sia sicura una password che costringi l'utente a utilizzare se la scrive o la mette su pastebin perché non la ricorda.
@Vality: non è del tutto vero. Se scelgo una password debole su un servizio web, chiunque nel mondo può provare a indovinarla. Se uso una password complessa e la scrivo su un post-it sul mio monitor al lavoro, un numero molto piccolo di persone di cui generalmente devo fidarmi ha comunque accesso ad essa. Se lo scrivo in un'applicazione di gestione delle password protetta da una password che non scrivo, è ancora più difficile per chiunque altro accedervi.
Un esempio concreto: la mia banca online ha generato una password per il mio account, che è lunga solo 5 caratteri e non può essere modificata. Non è una sensazione felice ...
@LarsEbert Non dire a nessuno la tua banca.
@PyRulez Nessun problema. Non avrei postato quel commento se fossi stato ancora con quella banca!
Se sceglierai una password per me, ne sceglierai una più debole di quella che avrei scelto io stesso. Una parte significativa dei siti in cui mi è consentito scegliere una password finisce per rifiutare quella che ho scelto perché per qualche oscuro motivo ha deciso di porre un limite massimo alla lunghezza della password. Se ne scegliessi uno per me, sono sicuro che sarebbe ancora più debole di quanto consentito da quei limiti di lunghezza arbitrari.
@kasperd ricorda il pubblico tipico di Security.SE non ha nulla a che fare in termini di comportamento di sicurezza con quello degli esseri umani laici ... :-)
@SteveDL Il punto è che, applicando una password specifica, è garantito che perderai alcuni utenti o ridurrai la sicurezza per altri utenti.
L'entropia delle password per i servizi web è sopravvalutata. Limitare i tentativi di accesso a uno al secondo e / o richiedere un CAPTCHA dopo alcuni tentativi falliti è molto più facile da applicare rispetto alle password ad alta entropia e fornisce circa lo stesso livello di sicurezza.
@Dennis Apparentemente le password vengono utilizzate per proteggere i dati utilizzando la crittografia. Nessuno schema di crittografia noto incorpora la tecnologia CAPTCHA (e buona fortuna a progettarlo).
Bene, questa è una questione completamente diversa. Per la crittografia, la password entropica a 44 bit del fumetto XKCD non è sufficiente.
@Dennis l'ho notato nel post.
Offrimi il Single Sign-On e non inserirò alcuna password. :)
Uso una password lunga e sicura che ha un significato speciale per me e che ho digitato un milione di volte, quindi non è una seccatura. Avere una password generata casualmente, anche leggibile, non sarebbe così facile da ricordare o veloce da digitare come una che ha un significato speciale E un'elevata entropia. Invece di generare password, costringere gli utenti a creare password ad alta entropia.
@Dennis La limitazione della velocità a un tentativo di password al secondo non aiuterà il 40% degli utenti che in genere scelgono una delle principali TEN password comuni. Ciò che li aiuterebbe è farli usare una password diversa (e qui puoi discutere di QUANTA entropia hai effettivamente bisogno, ma torna comunque all'entropia).
@RenéG è fantastico, hai una password super forte ... che hai poi condiviso su alcune dozzine di siti diversi. A quel punto non importa quanta entropia ci sia, uno degli altri siti conosce la tua password. http://xkcd.com/792/
@avid No, ho condiviso un hash della mia password
@RenéG ti manca un punto chiave sulla realtà dei servizi IT: la maggior parte degli sviluppatori non sa come implementare correttamente l'autenticazione. Molti siti che utilizzi saranno compromessi in futuro e probabilmente la metà di essi utilizzerà un hashing debole che può essere annullato. Alcuni potrebbero persino essere compromessi nella misura in cui gli aggressori possono registrare attivamente le nuove password che vengono digitate, ostacolando ulteriormente la tua sicurezza. Avere un'unica password significa accettare un compromesso totale per tutti i tuoi servizi: sii strategico e mantieni una password univoca ** per i tuoi account importanti **.
@SteveDL o anche oltre, forse quegli stessi sviluppatori sono dannosi nei confronti di altri siti .... http://xkcd.com/792/
@AviD inimmaginabile: D
@Eric sei sicuro di questo. Ho scelto il mio pin per la mia carta in Canada.
@Fogest Sì, è stato inviato per posta con la mia MasterCard.
@Eric che deve essere specifico per MasterCard. Per il mio visto ho scelto il mio
Una domanda simile: "Perché l'utente sceglie il nome utente?"Sarebbe facile eliminarli entrambi seguendo uno schema di autenticazione diverso.
Undici risposte:
#1
+72
AviD
2015-04-14 01:31:51 UTC
view on stackexchange narkive permalink

Perché, davvero?

Consentitemi di ignorare per un momento la domanda e di rispondere alla vostra domanda implicita: dovremmo?
Ovvero, dovremmo continuare a chiedere agli utenti di creare la propria password, che spesso è debole, invece di basta che il sistema generi una password complessa per loro?

Bene, sono dell'opinione controversa che qui ci sia un compromesso piuttosto forte: avere una password sicura e SAPERE quanto sia sicura (come fai notare), da un lato, e dall'altro lato c'è la sensazione di sicurezza dell'utente. "Usabilità", in una certa misura.

Penso che ci siano diversi aspetti in questa sensazione di sicurezza: alcuni utenti vorrebbero assicurarsi di avere una password complessa (ad esempio tramite un gestore di password o diceware); alcuni utenti vorrebbero selezionare una password facile; e alcuni utenti desiderano utilizzare la stessa password ovunque. E sì, molti utenti semplicemente si aspettano di essere in grado di impostare la propria password, per qualsiasi motivo, quindi oltre a qualsiasi causa specifica, dovrai comunque combattere la battaglia di rieducazione, che è tutt'altro che facile .

Inoltre, non dimenticare che una volta ottenuta una buona password complessa per l'utente, l'utente (spesso non tecnico) deve ancora capire cosa farne - anche le passphrase diventano difficili da ricordare dopo la prima dozzina o giù di lì, o se lo usi solo ogni 6 mesi ... L'utente non tecnico lo salverebbe molto probabilmente in un documento Word sul desktop o nella posta elettronica. (E ovviamente scrivi la password del sistema operativo su una nota adesiva allegata allo schermo).

Ora, non sminuire queste ragioni o queste cause per l'utilizzo di password deboli: noi del settore della sicurezza abbiamo creato questo scenario per le persone semplici nel corso degli anni. Ma in realtà si tratta di: quanto deve essere sicuro il tuo sito. Qual è il rischio che l'utente può decidere di assumersi e quanto di questo è il rischio del sistema che dovrebbe essere tolto dalle mani dell'utente.

Quindi, in conclusione: Sì, penso che la maggior parte dei siti con requisiti di sicurezza non trascurabili dovrebbe offrire la generazione di password / passphrase. A seconda del profilo e dell'architettura, potresti offrire 3 opzioni quando registri un account (o cambi password, ecc ...) - assicurati solo di visualizzare la password solo dopo aver avvertito l'utente di non navigare a spalla:

  • Genera passphrase - con un numero di parole configurato o flessibile (predefinito)
  • Genera password pazzesche con un'entropia ridicola, ad es. per il salvataggio nel gestore delle password
  • Creane uno tuo.

In effetti questo è quello che raccomando da tempo (varianti dipendenti dai requisiti specifici ...).


Tornando alla tua domanda originale, perché quanto sopra non è stato fatto?
Immagino una combinazione di sistemi legacy e cattive abitudini; cattiva educazione (la stragrande maggioranza dei siti ha ancora politiche e raccomandazioni sulle password BAD) e forse solo una mancanza di consapevolezza di una soluzione migliore.

Sì, questo è perché le password fanno schifo. :-)

E come utente, voglio * scegliere * il mio livello di sicurezza. Riutilizzo una certa password (facile) un po '. È quello che uso per gli account spazzatura, o cose che altrimenti non hanno bisogno di protezione nel mio caso.
@Paul Draper Password reuse = 0 entropia (forse un po 'o due in più se hai un elenco di password da cui selezioni casualmente).
Inoltre, riguardo a tale raccomandazione, hai risorse relative a questo (casi di studio, articoli, siti web)?
@PyRulez, potresti voler mostrare i tuoi calcoli.
@PaulDraper Se il tuo "algoritmo" è "usa sempre * questa * password", allora -log2 (100%) = 0.
@PyRulez, è un calcolo scadente. Se il mio "algoritmo" è "usa sempre * questa * password" su example.com, allora -log2 (100%) = 0.
@PaulDraper Anche se usi 4 determinate password abbastanza spesso, è ancora solo 2 ^ 2 = 4 che significa 2 bit di entropia.
@PyRulez la realtà è un po 'più sfumata. Pochi professionisti non della sicurezza hanno più di una manciata di password, di cui creano variazioni. Non ci sono metriche di sicurezza della password che tengano conto pienamente di questo fenomeno, poiché la comunità della sicurezza non ha ancora sviluppato gli strumenti per studiare gli effetti del riutilizzo delle password e i modelli da collegare a tali strumenti per stimare i rischi di diverse strategie di riutilizzo. Leggi i documenti di Cormac sui portafogli di password e guarda attentamente il nostro gruppo (http://sec.cs.ucl.ac.uk/) se vuoi saperne di più. Abbiamo un team che lavora proprio su questo.
@SteveDL se la password viene riutilizzata così com'è (senza trasformazioni formulate) e riutilizzata su qualsiasi sito, l'entropia è irrilevante e inutile da calcolare. Dal momento che sei già andato e hai esposto la tua password a chiunque lo chiedesse, la forza bruta è diventata inutile (in generale). Se c'è qualche "formula", di solito è piuttosto banale e trasparente, e l'entropia * aggiuntiva * sarebbe un calcolo simile alla prima casella di xkcd - forse il nome del sito, forse le iniziali, ecc. - 3 bit al massimo per quello, poi un'altra coppia per la posizione - prima / dopo / mezzo ...
Una domanda importante è se la password protegge l'utente o se la password protegge l'accesso dell'utente alla formazione di qualcun altro (ad esempio un account aziendale).
@CodesInChaos è assolutamente d'accordo, questo è ciò a cui alludevo (probabilmente troppo sottile) con: "Quanto rischio può decidere l'utente di assumersi su se stesso e quanto di questo è il rischio del sistema che dovrebbe essere tolto dalle mani dell'utente . "
@AviD è per questo che sto dicendo che ciò che conta è quali password vengono riutilizzate e dove. Anche le trasformazioni possono essere relativamente banali da trovare, soprattutto se hai già diverse password della vittima.
C'è qualcosa di sbagliato nel memorizzare le password in un documento Word sul desktop?
Memorizzare le password sul desktop senza alcun tipo di crittografia è piuttosto dannoso, perché un utente malintenzionato che ottiene anche solo un accesso di sola lettura alla tua casella potrebbe ottenerle. Preferisci utilizzare un KeyPass o simile per mitigare questo rischio. Per quanto riguarda la "password su una nota adesiva", onestamente penso che non sia un grosso problema, la sicurezza fisica è ben lungi dall'essere la preoccupazione principale nella maggior parte degli attacchi e se l'aggressore può leggere la tua nota adesiva, molto probabilmente può avere un accesso fisico sulla maggior parte delle tue scatole, il gioco è già finito.
"Genera password pazzesche con un'entropia ridicola, ad esempio per il salvataggio nel gestore di password" - Sarei interessato a sapere se qualcuno ha effettivamente scelto questa opzione, poiché i gestori di password possono generare password pazzesche per se stessi. Non fa male, ma sembra un po 'come offrire un servizio di abbaiare ai proprietari di cani ;-)
@Dillinur Penso che stesse scherzando (si spera.)
@PyRulez - in realtà non lo ero. Tutte le mie password sono in un documento di Word sul desktop. Sei ora in grado di rubare la mia identità online?
Rende la fase di post-sfruttamento molto più semplice. Qualsiasi vulnerabilità che dà accesso in lettura al tuo filesystem avrà un impatto enorme e maggiore.
@paj28 Non io, ma ogni singolo programma sul tuo computer può farlo.
@Dillinur - Ero incline a concordare con i tuoi pensieri sui post-it. Tuttavia, oggi ho visto [questo] (http://www.theregister.co.uk/2015/05/01/london_rail_station_exposition_signal_system_passwords/)
Direi che questo è un rischio più prevenibile (e meno incline a verificarsi). È più probabile che tu venga forzato rispetto a quanto registrato secondo me, ma il tuo chilometraggio può variare.
#2
+30
tim
2015-04-14 01:11:12 UTC
view on stackexchange narkive permalink

Ottenere la password per l'utente

Le uniche volte in cui ho visto sistemi che impostano la password per l'utente, viene inviata all'utente tramite posta elettronica (ovviamente in chiaro ), che è ovviamente una cattiva idea [*] (e SMS, Mail, ecc. non sono molto migliori).

Quindi rimarrebbe la visualizzazione della password durante la creazione dell'account (che potrebbe anche essere un cattivo idea a causa del surf con le spalle). Presumo che questo porterebbe a molti utenti che lo trascurerebbero o non si renderanno conto che è importante. Gli utenti sono abituati a ricordare / annotare / memorizzare le password quando le creano da soli, ma non sono abituati a leggere qualche pagina dopo aver creato un account; molti probabilmente lo ignorerebbero.

[*] perché chiunque abbia accesso all'account di posta dell'utente (forza bruta, utente dimenticato di disconnettersi, ecc.) non avrà accesso. Se un utente malintenzionato utilizza la reimpostazione della password per ottenere l'accesso, un utente lo noterebbe almeno.

Fare in modo che l'utente ricordi la password

Gli utenti devono conoscere le proprie password. In genere, hanno un paio di opzioni per questo (memoria, annotazione o memorizzazione in un file o in un gestore di password). Uno dei principali (memoria) non sarebbe pratico con il tuo approccio [*], che presumo sia il motivo principale per cui i siti web non generano password per gli utenti.

[*] anche con password generate facili da ricordare, gli utenti avranno ancora più difficoltà a ricordarle rispetto alle password che hanno scelto loro stessi.

Esperienza utente

La sicurezza non è l'attività principale della maggior parte dei servizi web. Spesso è più importante che gli utenti siano felici e molti utenti non saranno così felici se non possono scegliere le proprie password (perché non vogliono ricordare le password generate e non vogliono scriverle, e lo fanno anche non voglio usare un gestore di password). Gli utenti desiderano semplicemente utilizzare un servizio e tutto ciò che lo rende più complicato può potenzialmente portare una percentuale di persone a utilizzare un servizio concorrente.

Conclusione

Le password sono sempre un compromesso tra usabilità e sicurezza e non lasciare che gli utenti scelgano le password riduce troppo l'usabilità di un servizio per la maggior parte di loro (ea causa dei problemi di ottenere effettivamente la password generata per l'utente, potrebbe anche non aggiungere tanta sicurezza).

+1 per il primo punto, il cervello umano medio rimane ancora l'archiviazione più sicura di dati sensibili grezzi. (da un punto di vista architettonico ovviamente);)
Trovo il primo punto piuttosto dubbio, con l'accesso all'account di posta dell'utente, puoi già reimpostare la sua password praticamente per qualsiasi sito web.
@Dillinur sì, l'ho menzionato. Ma il ripristino è diverso dal conoscere la password perché l'utente la nota e può quindi adottare misure (come cambiare password, ecc.). Inoltre, potrei immaginare che gli utenti riutilizzino le password generate per loro su siti Web che consentono loro di scegliere la propria password (in modo che debbano ricordare meno password).
+1 Per l'esperienza dell'utente. Non ho utilizzato i servizi perché limitavano troppo la scelta della mia password. Se non avessi nemmeno la possibilità di scegliere la mia, mi arrenderei immediatamente e darei allo schermo il dito medio. Regola numero uno, non far incazzare gli utenti, lascia che facciano quello che vogliono.
#3
+17
MGOwen
2015-04-14 09:03:03 UTC
view on stackexchange narkive permalink

Le organizzazioni vogliono che gli utenti siano responsabili.

Se l'utente ha scelto la password, può essere incolpato di averne scelta una non valida.

Sfortunatamente, nel mondo reale, le organizzazioni potrebbero dover essere più preoccupate di sembrare che si assumano parte della responsabilità delle intrusioni che di assicurarsi che non possano accadere.

Gli utenti vogliono scegliere qualcosa che possono ricordare

Molti utenti non scriveranno le loro password (lasciando da parte se questa è una buona idea o meno). Preferiscono scegliere qualcosa che pensano di poter ricordare. (Questo è particolarmente importante per le migliaia di siti che non dovrebbero aver bisogno di una password ma costringono gli utenti a sceglierne una).

Il tuo punto sulla colpa è azzeccato. La maggior parte dei siti web ti dice di scegliere una password complessa univoca e non scriverla mai. Nessuno sarà effettivamente in grado di farlo per tutti i propri account online. Ma ora è colpa loro, piuttosto che dei siti web! La soluzione? Gestori di password!
#4
+11
Kurt Tappe
2015-04-15 10:26:51 UTC
view on stackexchange narkive permalink

Un intervistato ha toccato la risposta giusta, ma non l'ha approfondita abbastanza, quindi lo farò.

Stai ponendo la domanda da una prospettiva incentrata sul computer o sull'IT. Ma perché esiste? Per servire il cliente. Ripeto: il cliente non è lì per servirti, tu sei lì per fare ciò di cui ha bisogno che tu faccia.

Quindi con questo in mente , rivisitiamo la domanda: perché permettiamo ancora ai clienti di scegliere le proprie password? Perché non impostiamo le password per i clienti?

Perché se imponiamo le password ai clienti, cosa pensi che facciano? Abbiamo imposto loro qualcosa di immemorabile che devono sapere in seguito. garantisco che prenderanno un post-it e scriveranno la password.

Hai fallito. Le password scritte su carta sono un errore di sicurezza. Non vuoi mai che ciò accada . E prima di incolpare il cliente in questo caso, sei tu quello che lo ha costretto a utilizzare una password che non ha avuto la possibilità di creare. Non hanno avuto alcuna possibilità di renderlo memorabile. Hai detto loro "Memorizza 'F82 $ fVq9' e non annotarlo". Come cliente la mia prima reazione sarebbe "Vaffanculo". Le aziende non possono dire ai clienti cosa fare. I clienti troveranno modi per ribellarsi, incluso scrivere le tue password casuali. Non combattere la natura umana. Tu. Volere. Perdi.

Questo è il motivo per cui permettiamo ai clienti di scegliere le password. Se il tuo sito vale qualsiasi sale, fa come la maggior parte dei siti oggi, controlla la forza della password scelta. Garantisce che la password sia lunga 8 caratteri, abbia due cifre, un carattere maiuscolo e un simbolo.

E hai comunque fallito il tuo obiettivo originale perché i computer di oggi possono forzare le password di 8 caratteri in pochi secondi . Dico solo ".

Vuoi una vera sicurezza con password che il cliente sceglie e di cui sei anche soddisfatto della forza? Ecco qui: https://xkcd.com/936/

Penso che tu abbia perso il punto della domanda, anche se l'hai letto fino in fondo. L'OP si riferisce specificamente alle passphrase in stile xkcd (anche ad esso collegate), e menziona esplicitamente come il tuo "Memorize 'F82 $ fVq9'" è rotto, e in genere ciò che gli utenti fanno comunque - * che è ciò che l'OP sta cercando di correggere * . L'intera questione del requisito della password è qualcosa che * IT * ha inventato e impone, non è sicuramente qualcosa per servire il cliente.
Sono per lo più d'accordo con questa risposta, ma non credo che le password scritte siano così dannose come suggerito. Estendendo questa risposta, possiamo dire che alcuni dei nostri utenti sono clienti e alcuni sono dipendenti. In determinate circostanze, potrebbe avere senso generare password per i nostri utenti dipendenti.
@AviD - Ciò che puoi memorizzare / usare facilmente è chiaramente * NON * ciò che posso memorizzare / usare facilmente; * NESSUNO * può generare una passphrase facile da ricordare per un'altra persona (senza poi abituare l'utente facendogli saltare frequentemente quel particolare cerchio per un periodo prolungato). Qualunque cosa tu generi per me potrebbe anche essere "F82 $ fVq9"; richiede solo più sequenze di tasti per carattere, per così dire.
@StanRogers questo in realtà è un buon punto: le liste di parole generiche sono generiche e non tengono conto di cose come differenze culturali, barriere linguistiche e problemi di globalizzazione in generale. Per non parlare delle idiosincrasie personali ... Ecco perché ho consigliato di * offrire * passphrase generate e mai di * applicarle *. Quindi sarebbe meglio nel caso generale, e tornare allo status quo nelle eccezioni.
Penso che questa risposta indichi alcuni punti molto buoni / importanti. Noi dell'IT spesso mettiamo le nostre esigenze davanti a quelle degli utenti. È molto meglio lasciare che l'utente scelga una password con cui si sente a proprio agio e che soddisfi i propri requisiti di sicurezza. L'altro punto da considerare è quanto sia difficile creare effettivamente un sistema che generi password 'casuali' che siano facili da usare (cioè ricordabili) E non esibiscano un bias / modello che potrebbe risultare in una sicurezza complessiva più debole se qualcuno indovinasse il modello
#5
+6
Scott
2015-04-14 03:21:27 UTC
view on stackexchange narkive permalink

Pensaci in questo modo, se scegli la password dell'utente per loro, la dimenticheranno e dovranno utilizzare sistemi di reimpostazione della password.

La "password dimenticata" di solito è meno sicura del password, rendendo così la password più sicura, ma causando più reimpostazioni della password rende l'intero sistema meno sicuro poiché sarebbe più difficile rilevare tentativi fraudolenti di "password dimenticata".

Modifica: presumo che tu non lo faccia " t lavorare per una banca o per un silo di armi nucleari. Se lo fai, ignora il mio consiglio.

Perché un sistema non sarebbe in grado di creare una password memorabile? È un compito semplice.
Conta quante password hai, immagino che sia compreso tra 50+. Nessuno può ricordare così tante password, anche se sono memorabili.
Beh, di certo non li stai riutilizzando, vero?
@PyRulez Definisci "memorabile". Il tuo provider Usenet (che usi principalmente attraverso un'API esposta e la chiave tra la tua interfaccia software) ti fornisce la passphrase "Elefanti blu, mangia solo 12 rape verdi" (punteggiatura e numeri intenzionali). Torni dopo non aver utilizzato l'interfaccia lato utente per 6 mesi, perché desideri modificare i piani o acquistare più quote di download. Dangit, qual era quella passphrase? Qualcosa sui dinosauri rosa e sulle cipolle?
@ PyRulez Sì, riutilizzo le password. Se decidi come pubblicare le foto di gatti per me sul mio account reddit, sarai anche in grado di pubblicare le foto di cupcake per me sul mio instagram. Vivrò con una di queste terribili conseguenze: i servizi non importanti devono concentrarsi sul prendere il meno possibile del mio cervello, in modo che io possa concentrarmi sul ricordo di password ad alta entropia per il lavoro, le banche e altre cose che hanno una conseguenza se il la password è resa pubblica.
Se lavori in un silo di armi nucleari, la password è "00000000" (sul serio!).
#6
+4
paj28
2015-04-14 17:17:59 UTC
view on stackexchange narkive permalink

Non scelgo le mie password. Uso un gestore di password che genera password casuali per me.

Tuttavia, la maggior parte dei siti web si basa sull'idea che gli utenti memorizzeranno le proprie password. È molto più facile per un utente memorizzare una password che ha scelto da solo, piuttosto che una a lui assegnata. Anche in pratica, gli utenti in genere utilizzano la stessa password su molti siti e, sebbene la stampa in piccolo indichi loro di non farlo, il processo di registrazione non può fermarli.

Sento fortemente che "memorizza il tuo il modello "password" è difettoso e un gestore di password è una scelta migliore per quasi tutti. Ma questa non è la realtà; Non ho cifre, ma anche tra i miei amici esperti di tecnologia, utilizzare un gestore di password per tutto è raro.

Il problema con l'approccio del gestore di password è che o lo hai solo sul tuo computer principale, o ti fidi di una terza parte con tutte le tue password (almeno che hanno la crittografia giusta). Non sono riuscito a superare la paura di lasciare che qualche servizio di sincronizzazione sincronizzi le mie password con _everything_.
@romkyns: puoi utilizzare il tuo gestore di password e sincronizzare il file crittografato tramite un servizio cloud o una chiavetta USB
#7
+2
killermist
2015-04-14 05:04:00 UTC
view on stackexchange narkive permalink

In molte situazioni, ci si aspetta che l'utente sia il proprio watchdog della sicurezza perché l'utente del sistema non è la minaccia per il sistema. Le minacce al sistema sono gli amministratori e gli operatori di livello dipendente che in virtù della posizione hanno un'elevata esposizione e autorizzazioni / diritti all'interno del sistema.

Senza un sistema già gravemente difettoso, James Random Person non sarà in grado per generare e aggiungere al suo account $ 4 milioni da bit e byte, tutto da solo. Lui, o qualcuno che agisce come lui, può davvero danneggiare solo il proprio account. La vera minaccia proviene da coloro che hanno privilegi / diritti elevati, che si trovano all'interno. Se James Random Person ha una password di "xxxx22" e il suo account viene compromesso, questo dipende da lui, non da te.

Sì, password / passphrase sicure sono un'ottima idea. Ma non appena inizi a costringere gli utenti a usarli, gli utenti si arrabbieranno e se ne andranno.

In un mondo privo di bug, potresti avere ragione. Tuttavia, non credo che siamo ancora al punto da poter liquidare l'escalation dei privilegi come irrilevante.
#8
+2
Conor Mancone
2018-04-11 17:10:35 UTC
view on stackexchange narkive permalink

Nonostante questa domanda abbia già un miliardo di risposte, proposte molto recenti per i browser meritano di menzionare un'altra possibilità. Sì, l'attuale soluzione per la password fa schifo. Tuttavia, la risposta non è migliorare le password. La risposta è abbandonare le password. È uscita una nuova proposta da W3C e Fido per spingere il supporto nativo del browser per l'autenticazione dell'utente esterno: chiavi hardware, biometria, ecc ... Ecco solo un paio di articoli:

https: // techcrunch .com / 2018/04/10 / fido-alliance-e-w3c-have-a-plan-to-kill-the-password / amp / https://fidoalliance.org/fido- alleanza-e-w3c-raggiungono-importanti-standard-pietra miliare-nello-sforzo-globale-verso-un'autenticazione-sul-web-più semplice-più forte /

Ovviamente questo è un lungo lontano dall'essere di uso comune. Vale anche la pena ricordare che ci vorrà molto tempo (se mai) prima che opzioni di accesso come queste sostituiscano completamente le password. Le password saranno disponibili per molto, molto tempo. Tuttavia, se stessi costruendo un sistema che necessitava di una sicurezza utente di prim'ordine, non mi preoccuperei di fornire un'opzione di generazione di password alternativa. Vorrei semplicemente supportare le attuali best practice per le password e fornire supporto per schemi di autenticazione alternativi come quelli sopra non appena la tecnologia sarà possibile.

#9
+1
Justin J. O'Boyle
2015-04-14 04:28:32 UTC
view on stackexchange narkive permalink

Altre persone l'hanno già menzionato, ma ritengo che un utente debba avere il controllo della sicurezza del proprio account.

Detto questo, sono d'accordo che molte password non sono molto sicure e dovrebbero certamente essere controllate da un lato client (quindi non stiamo inviando password grezze attraverso la rete) per verificare la complessità e se la password non ha punteggio abbastanza alto, chiediamo all'utente di creare una password più complessa.

Anche se la password ha una modifica richiesta l'utente sta ancora elaborando la modifica e come se ho sempre sentito a scuola "se lo scrivi non lo dimenticherai" e penso che lo stesso valga in questa circostanza con la creazione di password.

Fuori tema, ma consiglio vivamente 1Password per gli utenti che hanno problemi a ricordare le password.

#10
  0
WoJ
2015-04-15 18:08:59 UTC
view on stackexchange narkive permalink

Quando si seleziona la password per l'utente, si conosce l'entropia, invece di porre alcune restrizioni che potrebbero impedire loro di utilizzare uno schema a bassa entropia

Per avere il meglio di entrambi i mondi, potresti anche calcolare l'entropia (o qualunque meccanismo tu ritenga appropriato) mentre digita la password scelta. Questo è il meccanismo utilizzato in molte pagine di registrazione:

enter image description here

enter image description here

Ci sono molti vantaggi di questo metodo (l'utente sceglie la sua password, è consapevole che questa è "buona" o "cattiva", ...).

Assicurati solo che la tua filosofia di ciò che costituisce una password buona e cattiva abbia senso e che la tua l'implementazione è amichevole per i gestori di password (semplicemente ODIO questi siti che rompono Lastpass in nome di dio-sa-cosa)

L'entropia delle password è una funzione del metodo di generazione. Supponendo che tu l'abbia generata in modo ovvio, piepiepiepiepiepie non è una buona password e non c'è intrinsecamente alcun modo per determinare l'entropia dalla password.
@PyRulez: l'entropia della password è una [funzione matematica] (https://en.wikipedia.org/wiki/Password_strength#Entropy_as_a_measure_of_password_strength) e può essere calcolata al volo. Questa è una terribile indicazione della forza della password e il tuo esempio è molto buono: l'entropia è di 84 bit (buono!) Ma se l'attaccante sa come è costruita questa particolare password (la stessa parola ripetuta più volte) allora diventa un cattivo. Se la regola applicata è che si compone di 6 parole, lettere minuscole - è molto buono, ecc.
È una funzione matematica del processo, non una password. (-somma (p log p)). Supponendo di aver ricevuto una torta a caso dall'elenco dei randall, è leggermente più di 11 bit (il numero di volte che l'ho ripetuto è alquanto casuale). Tutto l'aggressore deve eseguire un semplice attacco del dizionario, tranne che prova a ripetere la parola più volte.
#11
  0
hildred
2015-04-17 11:10:22 UTC
view on stackexchange narkive permalink

Ok le password fanno schifo. In realtà ho trovato più prove di errori precoci di password rispetto a sistemi di password ben progettati quando ho esaminato le password come metodo di controllo dell'accesso prima dei computer. Ci sono purtroppo tre metodi che ho visto per "affrontare" il problema.

  1. analisi del rischio di costo: decidi che il rischio è piccolo e il costo è grande, quindi non fare nulla (ci sono molte risposte che argomentano da questo punto di vista su questa domanda).

  2. password migliori: al centro la tua domanda sta cercando un modo per farlo. Purtroppo questo è difficile e costoso (costo opportunità al minimo). Ad esempio, nel mio tempo libero, per un periodo di mesi, ho fatto uno sforzo per configurare un generatore di password integrato nella scadenza della password di accesso del mio computer utilizzando pam. Non ho fatto progressi significativi e i componenti di base sono stati rimossi dalla mia distribuzione scelta per i bug.

  3. qualcosa di diverso dalle password: ho fatto uno sforzo per configurare l'accesso basato su smartcard su il mio computer prima di consigliarlo al mio capo. Non ho trovato nessuno che me ne venda uno per testare. Spero che questo sia cambiato nell'ultimo anno, ma l'ultima volta che ho verificato che erano meno disponibili rispetto a prima negli Stati Uniti.

Lo trovo deprimente.



Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 3.0 con cui è distribuito.
Loading...