password valasztas

To anyone who understands information theory and security and is in an infuriating argument with someone who does not (possibly involving mixed case), I sincerely apologize.

http://xkcd.com/936/

( mn3monic v | 2011. 08. 10., sze – 10:19 )

Reméljük mindezt el is hitted :) Szagértők még csak bruteforceról hallottak :)

Ha szotartamadasrol van szo, akkor nezzuk meg, hogy egy 10000 szot tartalmazo listan hanyadik helyen lenne ez a negyszavas kifejezes.
Tehat: tegyuk fel, hogy a tamado rendelkezik egy 10000 szavas szotarral, es tegyuk fel, hogy a tamadasi strategiaja a kovetkezo: abecesorrendben eloszor az egyszavas, a ketszavas, a haromszavas, majd a negyszavas eseteket tamadja meg.
Egyszavas eset 10000 lehetoseg.
Ketszavas eset 10^8 lehetoseg.
Haromszavas eset 10^12 lehetoseg.
Negyszavas eset 10^16 lehetoseg, es mondjuk saccra ez a kozepen van.
Tehat osszesen 10^4+10^8+10^12+5*10^15-en lehetoseg. Masodpercenkent 10^3 probalkozassal szamitva ez 10+10^5+10^7+5*10^12-en masodperc, ami kicsit tobb, mint 150 ezer ev.

Az a baj, hogy a felhasználók jórésze nem egymástól független szavakat raknak össze jelmondatnak, amely nagyobb entrópiát adhatna, hanem egybefüggő mondatokat használnak, idézeteket, slágerszövegeket, közhelyeket írnak le. Ezekre viszont _egyben_ ugyanúgy lehet szótárt építeni és azzal támadni.

A másik probléma az, hogy a sima jelszó beállításakor szoftverből ellenőrízni lehet az entrópiát, hogy megfelelően bonyolult lesz-e a júzer jelszava (van-e benne kisbetű, nagybetű, szám, extra karakter, de nem tartalmaz ismert szótöredékeket), viszont akkor nem lehet ezt megtenni, ha eleve egyszerű szavakból álló jelmondatokat kérünk tőlük és ők beállítják, hogy "nyolc óra munka", meg "hosszú fekete haj"...

Nem tudsz ugyanakkora szótárral dolgozni, mint a támadó és nincs az ellenőrzésre ugyanannyi időd. A felhasználó a jelszó beállításra nem fog napokat, heteket várni. A támadó viszont gond nélkül megteheti azt, hogy akár több héten vagy hónapon keresztül próbálkozik...

> viszont akkor nem lehet ezt megtenni, ha eleve egyszerű szavakból álló jelmondatokat kérünk tőlük

Nem értem, miért ne lehetne. Az új jelszót kérő rendszer pld előírhatja, hogy a jelmondatban szerepelnie kell egy előre megadott (random kisorsolt) szótárból választott szónak. Pld amikor neked kell új jelmondatot megadnod, akkor kapsz egy folyóneveket; vagy híres írók neveit; vagy történelmi események évszámait, stb. tartalmazó szótárat, amiből egy általad választott szónak szerepelnie kell a jelmondatodban.

> és ők beállítják, hogy "nyolc óra munka", meg "hosszú fekete haj"...

Vagy azt állítják be, hogy "Krúdy nyolc óra munka", meg "hosszú amazonas fekete haj"...

( hunludvig v | 2011. 08. 10., sze – 19:16 )

Épp fél órája tiltott le a netbankom, pedig hasonlóan generáltam, csak elgépeltem.

Konstans generalasi mod a fixen eltolt geek nyelv. Vagyis a l33t sup4 h4x0r az lehet pl. l66t sup7 h7x3r is, es ez meg geek szotar tamadassal se torheto, mert nem tudhatjak, mennyi az adott esetben az offset.
-- 

Ki oda vagyik, hol szall a galamb, elszalasztja a kincset itt alant. | Gentoo Portal

( anr | 2011. 08. 13., szo – 16:48 )

shuf -n4 /usr/share/dict/words | tr -d '\n'

--
Live free, or I f'ing kill you.