Password Policy mítoszok és hiedelmek

ez sem fekete vagy fehér.

Az érvelésed pedig az első esetre nézve eléggé érdekes, és kizárólag egy őrzött katonai létesítményre lehet ezt ráeröltetni.

Egy átlagos irodába  szinte bárki bejárhat, az ügyfelektől kezdve a takarító személyzetig...

Az óriási különbésg pedig hogy ha valaki így megszerez egy jelszót az gyakorlatilag észrevétlenül használhatja.

Míg a password managert fel kell törtni - aminek mindenképp nyoma van.

Az már egy másik kérdés, hogy ki kire bízza a jelszavait.

Én biztosan azt mondom, hogy még egy felhős jelszókezelős is sokkal jobb mint a post-it és/vagy a gynenge 'default' jelszavak használata.

A monitoron lévő postit esetében talán kisebb a feltételezett esetszám, viszont sokkal nagyobb a sikeres támadás valószínűsége.

Korábbi életem során két olyan esettel találkoztam, amikor majdnem hasonló helyzet állt fenn. Egyik esetben volt egy terminál, amit valaki reggel nyitott egy bejelentkezéssel, aztán használta az, akinek éppen kellett. Előbb-utóbb akadt, aki megtalálta, hogy számára hogyan lehetett jól kihasználni. A másik eset csak annyiban tért el ettől, hogy a terminált nem zárták le, ha épp kimentek a szobából. Mindkét eset eredménye elég szép összegű visszaélés lett. Szóval a néhány tucat lehetőséget a sok millióhoz képest ne becsüld le.

Van amikor a felhasználó magával viszi a külvilágba. Metrón láttam egy csajt, kezében laptop, a laptop hátára meg felragasztva a vpn belépéshez és a belső rendszerük eléréséhez szükséges minden adat (host, user, jelszó stb). Ha akartam volna, lőhettem volna egy képet is róla, szóval igen, megvan a veszély ezen a területen is. 

Erdemes a hozzaszolasanak a veget is elolvasni.

Az internetes középkorban (vagy ókor?), amikor még feltöltős kártyával meg modemmel lehetett netezni egyszer nagyon megszívtam. Valahogy úgy nézett ki a dolog, hogy a modem feltárcsázott egy telefonszámot, de egy login+jelszó is kellett egy windowsos popupba. Amíg a login+passwd nem stimmelt, addig csak a szolgáltató oldala volt elérhető, ahol aktiválni tudtam a kártyát, meg lehetett változtatni a jelszót, illetve meg tudtam nézni, hogy mennyi kreditem maradt még. Egyszer hetekig nem voltam otthon, és a jelszót valahogy elfelejtette a windows, vagy valamelyik családtagom véletlenül felülírta, ezért nem működött az internet. Megnéztem a szolgáltató oldalát, a login+jelszóval beengedett az oldalukra, láttam, hogy még nem fogyasztottam le teljesen a perceket. Hívás megszakít, újratárcsáz a login+jelszóval, de az internet mégse működött. Órákat csesztem el, még a vonalas szolgáltatót is felhívtam, hogy nincs-e valami gebasz náluk. Aztán valami csoda folytán eszembe jutott, hogy a régebben választott jelszó első betűje nem kicsi, hanem nagybetű. És basszus az volt a probléma. A szemetek a félig jó jelszóval engedték, hogy az accountomat nézegessem, de netet már csak case sensitive jelszóval adtak.