Ha az egyik jelszavam sérült, az én más jelszavam is sérült?

Ha az egyik jelszavát veszélyezteti, ez azt jelenti, hogy más jelszavai is veszélybe kerülnek? Jóllehet nagyon sok változó van a játékban, a kérdés egy érdekes pillantás arra, hogy mi teszi a jelszót sebezhetővé, és mit tehet, hogy megvédje magát.

A mai Kérdések és válaszok munkamenet jön számunkra a SuperUser-Stack Exchange alosztályának, a Q & A webhelyek közösségi meghajtó csoportosításának.

A kérdés

A SuperUser olvasó Michael McGowan kíváncsi, milyen messze van egy jelszótörés hatása; ír:

Tegyük fel, hogy a felhasználó biztonságos jelszót használ az A webhelyen és egy másik, de hasonló biztonsági jelszót a B. oldalon. Talán valami hasonló mySecure12 # PasswordA A helyszínen mySecure12 # PasswordB a B oldalon (nyugodtan használhatja a „hasonlóság” más definícióját, ha van értelme).

Tegyük fel, hogy az A oldal jelszava valahogy veszélybe kerül… talán az A oldal rosszindulatú alkalmazottja vagy biztonsági szivárgás. Ez azt jelenti, hogy a B oldal jelszava is hatékonyan sérült, vagy nincs ilyen jelszó hasonlóság ebben az összefüggésben? Van-e különbség, hogy az A helyszínen létrejött kompromisszum egyszerű szöveges szivárgás vagy hasogatott változat volt-e?

Michaelnek aggódnia kell, ha a hipotetikus helyzet jön?

A válasz

A SuperUser közreműködők segítették a kérdést Michael számára. A Superuser közreműködő Queso írja:

Először az utolsó részre válaszolunk: Igen, különbség lenne, ha a nyilvánosságra hozott adatok egyértelmű szövegek, vagy hashedek. A hash-ban, ha egyetlen karaktert módosít, a teljes hash teljesen más. A támadó egyetlen módja annak, hogy a jelszót a hash erőt erõsítse (nem lehetetlen, különösen, ha a hash sózatlan..

Ami a hasonlóság kérdését illeti, ez attól függ, hogy a támadó mit tud rólad. Ha a jelszót az A webhelyen kapom, és ha tudom, hogy bizonyos mintákat használ a felhasználónevek létrehozásához, akkor megpróbálhatom ugyanazt az egyezményt a jelszavakat használó webhelyeken is.

Alternatívaként, a fent megadott jelszavakban, ha támadóként egy olyan nyilvánvaló mintát látok, amelyet a jelszó egy sajátos részének elválasztására használhatok az általános jelszórészről, határozottan az egyéni jelszó támadásnak ezt a részét fogom szabni neked.

Például mondjuk, hogy van egy szuper biztonságos jelszava, mint például az 58htg% HF! C. Ha ezt a jelszót különböző webhelyeken szeretné használni, akkor hozzáad egy helyspecifikus elemet az elejére, így olyan jelszavakkal rendelkezik, mint: facebook58htg% HF! C, wellsfargo58htg% HF! C vagy gmail58htg% HF! C, akkor fogadhat, ha én Hackelje meg a facebookot és kapjon facebook58htg% HF! c Látom ezt a mintát, és más webhelyeken is használom, amelyeket úgy találok, hogy használhatod.

Minden mintázatra megy. A támadó látni fog egy mintát a jelszó helyspecifikus részében és általános részében?

Egy másik Superuser közreműködő, Michael Trausch elmagyarázza, hogy a legtöbb helyzetben a hipotetikus helyzet nem nagy aggodalomra ad okot:

Először az utolsó részre válaszolunk: Igen, különbség lenne, ha a nyilvánosságra hozott adatok egyértelmű szövegek, vagy hashedek. A hash-ban, ha egyetlen karaktert módosít, a teljes hash teljesen más. A támadó egyetlen módja annak, hogy a jelszót a hash erőt erõsítse (nem lehetetlen, különösen, ha a hash sózatlan..

Ami a hasonlóság kérdését illeti, ez attól függ, hogy a támadó mit tud rólad. Ha a jelszót az A webhelyen kapom, és ha tudom, hogy bizonyos mintákat használ a felhasználónevek létrehozásához, akkor megpróbálhatom ugyanazt az egyezményt a jelszavakat használó webhelyeken is.

Alternatívaként, a fent megadott jelszavakban, ha támadóként egy olyan nyilvánvaló mintát látok, amelyet a jelszó egy sajátos részének elválasztására használhatok az általános jelszórészről, határozottan az egyéni jelszó támadásnak ezt a részét fogom szabni neked.

Például mondjuk, hogy van egy szuper biztonságos jelszava, mint például az 58htg% HF! C. Ha ezt a jelszót különböző webhelyeken szeretné használni, akkor hozzáad egy helyspecifikus elemet az elejére, így olyan jelszavakkal rendelkezik, mint: facebook58htg% HF! C, wellsfargo58htg% HF! C vagy gmail58htg% HF! C, akkor fogadhat, ha én Hackelje meg a facebookot és kapjon facebook58htg% HF! c Látom ezt a mintát, és más webhelyeken is használom, amelyeket úgy találok, hogy használhatod.

Minden mintázatra megy. A támadó látni fog egy mintát a jelszó helyspecifikus részében és általános részében?

Ha aggasztja, hogy a jelenlegi jelszavak listája nem változatos és véletlenszerű, javasoljuk, hogy nézze át átfogó jelszavas biztonsági útmutatóját: hogyan lehet helyreállítani az e-mail jelszavát. A jelszólisták átdolgozásával, mintha az összes jelszó anyja, az e-mail jelszava megsérült volna, könnyen el lehet érni a jelszóportfólió gyorsaságát.

Van valami, amit hozzá kell adni a magyarázathoz? Kikapcsolja a megjegyzéseket. Szeretne további válaszokat olvasni más tech-savvy Stack Exchange felhasználóktól? Nézze meg a teljes beszélgetés szálát itt.