RAGUPKI: a doufej ze ten system umi pracovat s unicode. prilis casto se setkavam s tim, ze v zahranici (usa) casto it systemy nedavaji ani hacky a carky meho jmena.

Když člověk přestane předpokládat, že formát hesla je známý a bude počítat s konvenčními útoky, není nejlepší mít unicodové heslo jako "heslo🖕" nebo "zeman★☭"?

CELLINDRA: Stačí https://www.root.cz/clanky/novy-standard-pro-prihlasovani-nenutte-uzivatele-menit-hesla/ ? :)

ERGOSUM:
algoritmus probůh (ale to bude tím ránem si myslím);
já měl jednou během (tak půl roku zpět) nějaký vokýnko a chvilku jsem si pohrával s myšlenkou že to teda je nějakej rytmus a do toho nějaký latinský/řecký algo nebo co, ale vono je to samozřejmě jinak.
takže než se mi to vyhulí z hlavy tak bych Tě tu s prominutím opravil :)

taky mám svůj klíč, rotuju si slova, čísla, znaky...a pro bezvýznamný loginy mám separátní kategorii easy hesel

Nevim co je špatného na Heslo01, Heslo02... na službách kde mám svoje data se píčoviny nevyžadujou a mám tam normální silný a unikátní hesla a tam, kde někdo podobný hovadiny chce, to moje data nejsou. Ostatně - kdyby zodpovědnej kokot fakt chtěl, aby to heslo bylo pořádný, tak mi dá možnost mít heslo co je silný a pohodlný zároveň. Pokud po mě chce píčoviny, tak je zjevný, že jen hrajeme nějakou dementní hru na "plníme zjebaný ISO X tisíc, fuck it, fuck them".

TAIYO: Jo, podobně dopadlo kdysi moje heslo, ke kterému mě dohnal maniakálně paranoidní správce systému objednávání jídla na koleji (!). Tuším to bylo nějak jako "!SpravceJe#1ZajebanejK0k0t-At_Se_1000_let_NeVySeRe!".

Please enter your new password.

cabbage

Sorry, the password must be more than 8 characters.

boiled cabbage

Sorry, the password must contain 1 numerical character.

1 boiled cabbage

Sorry, the password cannot have blank spaces.

50bloodyboiledcabbages

Sorry, the password must contain at least one upper case character.

50BLOODYboiledcabbages

Sorry, the password cannot use more than one upper case character consecutively.

50BloodyBoiledCabbagesShovedUpYourNoseIfYouDon'tGiveMeAccessNow!

Sorry, the password cannot contain punctuation.

NowIAmGettingReallyPissedOff50FuckingBoiledCabbagesShovedUpYourArseIfYouDontGiveMeAccessImmediately

Sorry, that password is already in use.

alcator, kritau: To nie je uplne pravda, staci ked si pameta vase stare hashe, a v momente nastavovanie noveho hesla ich skusi cracknut s vasim novym heslom, + nejake jednoduche mutacne pravidla.

Inak heslova psychologia obecne je pomerne zaujimava vec. Z praxe (penetracneho testera) som napr. pozoroval ze niektori uzivatelia si hesla tahaju "s sebou". Pripadane v niektorych firmach/organizaciach funguje kolektivne vedomie pri vymyslani hesiel, ale pre kazdu firmu/organizaciu je ine. Zaujimave je ale aj pozorovat jav, ktory sa tu uz diskutoval, ze (formalni) bezpecaci sa snazia pravdepodobnost hesiel co najviac rozptylit po moznom priestore, a uzivatelia prejavuju az prekvapivu vynaliezavost, ako skonvergovat k lokalnym minimam.

KRITAU: V okamžiku pokusu o změnu hesla zadáváš obě hesla a dá se udělat DIFF. Je to standardní nabídka MS Windows, tzn. není to něco, co zplichtili ti admini sami - jen zaškrtli políčko "Požadovat minimální odlišnost [X] znaků"

Podezřelé by to bylo až ve chvíli, kdy by ti systém napsal "Toto heslo je příliš podobné vašemu heslu z doby před 6 měsíci." To už by znamenalo ukládání v plaintextu.

ROUMEN: jak poznaj, že se liší v x znacích, když by si měli ukládat jenom hash? to asi nebudou moc "bezpečáci"...

Pche, nejlepší je mít heslo podle kalendáře s citátama:-) Ty hlášky jsou tak obskurní, že na to nikdo nemůže přijít.

CELLINDRA: BFU nemůžeš říct, že je BFU
útokem na "jeho systém" vyvoláš akorát psychologickou imunitní reakci (backfire effect)

ROUMEN:
http://i.imgur.com/o4MOvG8.jpg

ROUMEN: Kámoš tohle řešil tak, že při vypršení platnosti hesla změnil heslo 11x přičemž to poslední bylo stejné jako heslo, které právě vypršelo.

mě to připomnělo klasiku z doby kamenné: "Nastavil jsem minimální délku hesla na 64 znaků, ať si chlapec taky trochu užije."

komplet text tady: http://sorry.vse.cz/~bohunka/pocitace/cz/tyden.htm

CELLINDRA: Kdysi stačilo střídat dvě hesla, když to manager pro bezpečnost zjistil, přidali omezení, že se heslo nesmí shodovat s dřívějším a pamatují si jich asi 10 nazpátek. Když všichni ve firmě začali iterovat heslo tak, že přidali číslo měsíce (nebo jen +1), tak poté, co to bezpečáci zjistili, přidali omezení, že se nové heslo musí lišit v nejméně dvou znacích. Nyní jen čekáme, kdy se to číslo ze 2 změní na 3 a více. Někteří už preventivně přešli na systém, kdy součástí hesla je slovní název měsíce :-) Postupem času bude systém pro platnost nového hesla tak komplikovaný, že ten, komu se podaří vygenerovat nové platné heslo jej vyvěsí na nástěnku a všichni ve kanclu budou toto heslo sdílet společně. Takový nový IT komunismus :-)

ALCATOR: U nás tyhle iterující hesla používá každý koho znám. A za nebezpečnost tohoto jevu mohou ti bezpečnostní manažeři, kteří si vynucují nesmyslnou změnu hesla každou chvíli, takže dobře jim tak, chtěli to, tak to mají :-)
A stejně tak přeju lidem z helpdesku, když jim po dovolených volají lidé žádající resetování hesla, protože jim staré vypršelo během řádné dovolené a na změnu po vypršení je jen krátké časové okno. Předpokládám, že kdyby to zbytečné obtěžování a zdržování někomu vadilo, tak by okno zvětšili nebo alespoň posunuli, aby nekolidovalo s hromadnou dovolenou, ale když to tak chtějí ...

ALDARION: Paradoxně "level papírek" je bezpečnější než to, co praktikují mí kolegové - iterativní hesla:
Leden: Jaroušek01
Březen: Jaroušek23
Květen: Jaroušek45
...

Stačí ti odpozorovat jedno heslo a znáš i heslo, který dotyčný bude mít za X měsíců - ideální na plánování útoku.

CEPAL: Protoze threat model je "nobody gives a fuck about hacking BBS." To je zcela adekvatni.