Mitä mieltä te olette klassista salasanan käyttämisestä autentikointiin? Mielestäni ratkaisu on täysin naurettava ja heikko.
Äsken rakentelin VPN tunnelin jossa haluttiin käyttää HD5/AES256 ja 30 minuutin välein uusitaan AES256 avain. Kuitenkin salasana oli suomenkielinen sana ja vain 8 merkkiä. Ei hyvää päivää. Mitä merkitystä noilla vahvoilla salauksilla on jos käytetty salasana on täysin naurettava.
Pääsääntöisesti salasanat joihin työnpuolesta törmään ovat aina heikkoja, hyvät salasanat ovat äärimmäisen harvassa.
Äsken rakentelin VPN tunnelin jossa haluttiin käyttää HD5/AES256 ja 30 minuutin välein uusitaan AES256 avain. Kuitenkin salasana oli suomenkielinen sana ja vain 8 merkkiä. Ei hyvää päivää. Mitä merkitystä noilla vahvoilla salauksilla on jos käytetty salasana on täysin naurettava.
Pääsääntöisesti salasanat joihin työnpuolesta törmään ovat aina heikkoja, hyvät salasanat ovat äärimmäisen harvassa.
Vastaukset 12
Vanhimmat
Tokihan hyvässä salalauseessa on vähintään se 64 merkkiä, mutta kukapa jaksaa opetella ulkoa esim. tätä omaani: Web oF thE Trust is BrokEn cAn You Glue it Back ToGether? and give it xRays.A6:o@6 Ls+\` uGX%3y[k?
No ei se oikeasti ole minun.
Helpoin tapa luoda suhteellisen vahvoja salasanoja, on liittää pitkään tarkoituksellisesti väärinkirjoitettuun fraasin vielä pieni roskapala. Silloin salasana on oikeasti vahva. Esimerkkisi oli siis ihan hyvä mielestäni.
50 merkin täysin satunnaisen merkkijonon muistaminen on vaikeaa, mutta 45 merkin typotetun lauseen ja viiden roskamerkin muistaminen on jo paljon helpompaa.
Hyvien salasanojen ongelma on siinä, että niitä on hankala muistaa. Ja kun niitä yleensä vielä tarvitaan hieman enemmän kuin yksi, tulee käyttäjille tavaksi käyttää sitä yhtä ja samaa...
Jos halutaan vahvaa salasanaa, käytetään muuttuvia salasanoja. Joko jostain killuttimesta saatuja tai sitten noita perinteisiä salasanalistoja, joita pankit lähettelevät.
Tietysti jos halutaan kunnon turvallisuutta, yhdistellään tekniikoita. Retinaskannaus vaatimuksena, että pääsee koneelle jossa otetaan dna-näyte sisäänkirjautumista varten, vaaditaan kiinteä ja kaksi muuttuvaa salasanaa, tarkkaillaan näppäimistön ja hiirenkäyttötapoja ja muutenkin vähintään kolme setää univormuissa seisoo koko ajan selän takana 7.62:set valmiina... :)
Määritteletkö sinä että nelinumeroinen salasana on vahva, 0000-9999 väliltä? No ei todellakaan ole. Siis tuo on salasanana äärimmäisen välttävä. Vahvaa ole nähnytkään.
>vaaditaan kiinteä ja kaksi muuttuvaa salasanaa,
>tarkkaillaan näppäimistön ja hiirenkäyttötapoja
>ja muutenkin vähintään kolme setää univormuissa
>seisoo koko ajan selän takana 7.62:set
>valmiina... :)
Sullahan tuota aikaa ja energiaa näyttää löytyvän,
mitäs jos tekisit välillä töitäkin?
Onhan se aika vahva. Esimerkiksi pankissa itselläni se on 7 4 numeroa, eikä samoja neljää edes voi käyttää kuin kerran (ja varmasti menee homma ns. vituiksi jos yrittää brutettaa nuo vaikka tietäisi sen seitsennumeroisen).
Killuttimesta taas saa juuri niin monta numeroa kuin siihen halutaan laittaa saatavaksi. Omassani on muistaakseni 4 6 (en jaksa tarkistaa), eli nelinumeroinen kiinteä salasana ja kuusinumeroinen muuttuva...
Ei todellakaan täytä missään nimessä vahvan salasanan määritelmää. Tosin käsite on suhteellinen, toisille vahva tarkoittaa ihan jotain muuta kuin toisille.
Kuten on jo todettu uutisissakin, on sattunut vahinkoja että on päässyt sisään. Ilman siis edes tehokasta yrittämistä.
Sinä varmaan vaan kuvittelet tietäväsi, että salasana on heikoin lenkki. Sitten sinä spekuloit perustuen uskomukseesi.
Kokemusteni perusteella tietoturvan heikkoudet ovat täysin ihan jossain muualla: ihmiset yksinkertaisesti varastavat ja käyttävät väärin tietoja, joihin heillä on pääsy omilla salasanoillaan.
Ihmiset ovat väärin käyttäneet tietoa aina, tietotekniikka on vain tehnyt siitä helpompaa.
Lueppa tämä aikaisempi kirjoitukseni, joskin toisella palstalla.
http://keskustelu.suomi24.fi/show.fcgi?category=500000000000003&conference=4500000000001327&posting=22000000039490919
Kerro oletko vielä samaa mieltä? ;)
http://www.tietokone.fi/uutta/uutinen.asp?news_id=35839
Varmasti 99% caseista menee ohi, mutta joskus saa lukea lehdestäkin.
Toi preshared secret on käytössä vain yhteyden aloituksessa kuten tiesitkin. Se että aloitusvaiheessa olisi vahvempi salasana ei kyllä erityisemmin parantaisi tietoturvaa.
Eikö? Se nimenomaisesti estää kolmatta osapuolta luomasta omaa yhteyttään.
Ihan kuten jossain web palvelussa sanoisit, että käyttäjän salasanalla ei ole väliä, jos cookie josta käyttäjä tunnistetaan sen jälkeen on vahva.