Det är ett bra sätt att generera lösenord för en människa men inte nödvändigtvis ett bra sätt för maskinen att validera att lösenordet är svårgissat. (det var det andra fallet jag skrev om).M MrDizzy skrev:Nja skulle säga att bästa lösenorden är lösenordsmeningar på typ minst 20 tecken.
inga siffror eller specialtecken behövs
det blir säkert ändå.
som tex:
vafanettnyttjavlalosenordnuigen
och är enkelt att komma ihåg
Ta bara en rolig losenords mening och du är hemma
Många kommer testa med thisisareallylongpassword eller vad för exempelmening som de läser.
Nu vet jag inte hur långa dina password är - men det beteendet du skriver är typiskt när password trunkeras till 8, 10 eller 12 första tecknen i strängen och ignorerar resten och med det inte ser ändringarna som görs i slutet i strängen, vilket inte var ovanligt äldre passswordshantering av flera olika skäl.M MrDizzy skrev:
Har man det i dagens inloggningssystem så bör man ta de som sköter det i örat och säga att de måste göra något åt det då det inte är acceptabelt säkerhetsmässigt idag.
Du får prova att korta passwordet 1 tecken i taget tills tills sista-sifferändringen biter (dvs ser att man byter passwordet) och stannar det på 8 tecken så är styrkan inte speciellt hög - dvs om man har 95 tecken att välja mellan för var teckenposition (stora, små, siffror och symboler typisk ascii-tabellen), så ger 95 upphöjt till 8 = ~6,63 *10¹⁵ kombinationer, motsvarar 52,6 bit i entropi och det är sådant som provas igenom samtliga alternativ på minuter, ja sekunder idag om det inte är någon inlagt keystretchning
Sedan skall man inte glömma bort https://xkcd.com/936/
Obs skiljetecknen mellan orden är jätteviktiga, vilket många missar - och behöver nödvändigtvis inte vara mellanslag.
Sedan bör orden i passfrasen slumpas fram ur en lista som dicewares olika ordlistor (finns på olika språk numera) och man bör har minst 5 ord, helst 6 ord i passfrasen om det skall hålla för attack i tusentals år eller tusentals parallellarbetande datorer med många grafikkort var och en när det inte har keystretchning i nyckelhanteringen (dvs. den skapade hashen av passordet så återmatas hashningen och hashas igen ett känt antal tusen gånger innan man tar det slutliga värdet och på så sätt gör att det går åt mycket tid och resurser per test, dvs. istället för miljoner tester i sekunden per password kanske det stannar på 1 test per 2 sekunder vid tillräckligt många iterationer - idag hundratusentals till miljoner iterationer)
---
Men för att passfras skall fungera så förutsätts att hela ordsträngen hashas - inte att det trunkeras till 8 eller 12 tecken första tecken i strängen, så man bör kolla det i obekanta system om man ändra sista bokstaven i sin sträng - om det ses som ny password eller att det ses som den gamla.
Redigerat:
Jag använder sedan många år antingen https://www.passwordcard.org/en där jag skriver ut och plastar in och har det tillsammans med betalkorten och tänkt för password som man inte behöver komma ihåg och lätt kan resetas.
Med kortet, startpunkt och avläst i önskad riktning så får man alltid en slumptalssträng av tecken som inte är påverkad av hjärnans förmåga att försöka hitta mönster som den föredrar när den själv skall hitta på password fritt ur luften och med detta gör passworden lättare att knäcka. och man har dessa kvar på kortet om man börja missminna lite...
12 tkn räcker för de flesta sammanhangen, men i windows måste man ha minst 15 tkn av historiska skäl för att det inte skall riskera dra igång gamla osäkra aktiviteter som lämna spår kvar som lättknäckta bitar av textsträngen man matade in för password (NTLM, SMB1).
Det andra för att generera passfraser man vill lära sig utantill som tex. för google-konto/mail, passwordshanterare och annat känsligt:
https://diceware.rempe.us/#swedish
jag har gjort kort med en massa passwordfraser på samma sätt som password-card ovan att välja ur och lägger man till ett ord som inte finns på korten i sin passfras så blir passfrasen väldig svår att angripa även om angriparen fått kopia på sagda kort.
Fins olika ordlistor på olika språk att välja mellan för orden och en uppskattning på brute force-tid för valda längden av passfrasen.
Det är stor skillnad mellan 5 ord, 6 ord och 7 ord, och om man också använder enskild tecken före eller efter denna.
Obs skiljetecknen mellan orden är viktiga, skriv inte ihop (såvida du inte gör stor bokstav eller annan modifikation för var ord) och använd helst någon annan tecken än mellanslag - då mellanslags-tangenter har markant annan ljud än de övriga knapparna på en mekanisk tangentbord och en ev. angripare som tjuvlyssnar kan räkna in ordens längd genom att lyssna efter denna, vilket drastiskt försvagar passfrasen vid avancerad angrepp och du är mål för uppvaktningen.
Fördelen med passfraser är att man alltid har mer än 15 tecken långa och i många fallen upphör också i många fall kraven med små, stora bokstäver, nummer och symboler i password när det är mer än 15 -16 tecken långa password.
Med kortet, startpunkt och avläst i önskad riktning så får man alltid en slumptalssträng av tecken som inte är påverkad av hjärnans förmåga att försöka hitta mönster som den föredrar när den själv skall hitta på password fritt ur luften och med detta gör passworden lättare att knäcka. och man har dessa kvar på kortet om man börja missminna lite...
12 tkn räcker för de flesta sammanhangen, men i windows måste man ha minst 15 tkn av historiska skäl för att det inte skall riskera dra igång gamla osäkra aktiviteter som lämna spår kvar som lättknäckta bitar av textsträngen man matade in för password (NTLM, SMB1).
Det andra för att generera passfraser man vill lära sig utantill som tex. för google-konto/mail, passwordshanterare och annat känsligt:
https://diceware.rempe.us/#swedish
jag har gjort kort med en massa passwordfraser på samma sätt som password-card ovan att välja ur och lägger man till ett ord som inte finns på korten i sin passfras så blir passfrasen väldig svår att angripa även om angriparen fått kopia på sagda kort.
Fins olika ordlistor på olika språk att välja mellan för orden och en uppskattning på brute force-tid för valda längden av passfrasen.
Det är stor skillnad mellan 5 ord, 6 ord och 7 ord, och om man också använder enskild tecken före eller efter denna.
Obs skiljetecknen mellan orden är viktiga, skriv inte ihop (såvida du inte gör stor bokstav eller annan modifikation för var ord) och använd helst någon annan tecken än mellanslag - då mellanslags-tangenter har markant annan ljud än de övriga knapparna på en mekanisk tangentbord och en ev. angripare som tjuvlyssnar kan räkna in ordens längd genom att lyssna efter denna, vilket drastiskt försvagar passfrasen vid avancerad angrepp och du är mål för uppvaktningen.
Fördelen med passfraser är att man alltid har mer än 15 tecken långa och i många fallen upphör också i många fall kraven med små, stora bokstäver, nummer och symboler i password när det är mer än 15 -16 tecken långa password.
Redigerat:
Jag har haft KeePass i många år, gratis och open source, och det har inte någon inbyggd koppling till en server som kan hackas. Man kan däremot synka själv den krypterade databasen (filen) med hjälp av Dropbox eller vad man nu använder.R roli skrev: