2. Fórumok
  3. Infotech
  4. Feltörték a népszerű jelszókezelő rendszerét

Új hozzászólás Aktív témák

  • #16 lionhearted őstag dqdb #14
    Új Válasz #16
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    lionhearted

    őstag

    válasz dqdb #14 üzenetére

    Nem veti oda, mert nem ő találja ki, hanem a program. Így nincs mit odavetni. Egyetlen saját jelszót adsz meg.
    Ha valamit ezenfelül überfontosnak találtatsz (pl webbank), akkor nem adod meg, és teljesen más jellegű jelszót használsz ott, mint itt.

    Milyen megoldásokról is beszélünk? Tegyük fel, hogy igaz, ami le van írva arra a nevetséges HowItWorks oldalon. AES256+PBKDF2, lokálisan. Te azt szeretnéd, hogy ezen felül legyen TLS (inkább, mint SSL) csatorna, ami igen valószínű, hiszen már a weboldaluk sem működik máshogy. De milyen titkosítást használ ez a TLS? Asszimetrikus eljárással átad egy szimmetrikus kulcsot, rendszerint AES-t. Tehát iteráltál AESt, amit egyébként is tettél remélhetőleg. Ha még nem is biztos, hogy a megfelelő szerverrel kommunikálsz, mert nincs pinning (szerintem van, még a DropBoxon is van, és mekkora hitvány az már), akkor is küldtél neki némileg kevesebb, de eddig "törhetetlen"-nek megbélyegzett AES titkosított adatot. Sok sikert ahhoz is. Főleg, hogy a jelszó nem függ össze más oldalak jelszavaival (mivel random). És ha fontos, akkor évente cseréled. Ahogy mondani szokás, ennél nagyobb hatékonyságú, ha a szemetesed nézi át, hátha leírtad. Miközben lehet, hogy a megszerzett jelszó egy hitvány oldalra van, ahol amúgy is HTTP-vel plaintextben elküldted. Tehát még csak meg sem éri.
    A megoldásuk pedig esélyes, hogy nyílt megoldásokra épül, mint openSSL (ha már a heartbleed oda is beütött, ugye) vagy GPG. Már csak azért is, mert ingyenesek. És az oldalukon semmi általad keresett certifikáció nincs. Persze megint kétféle ember van, aki certifikációnak mindent elhisz, és egy zárt rendszert használ. Vagy aki már egy jól bejáratott nyíltat, mert ahhoz nem kell senki, hogy belenézzen. Bárki. Ez megint felfogás kérdése.

    A jelszó nem kényes adat. Az, ami mögötte van, az lehet az, vagy nem az. Ami az, azt nem egy jelszóval szokás védeni, vagy nem kell netre tenni. De ez azt is jelenti, hogy a te gépeden sem lehet, mert az is a neten van.

    Valóban egyszerűbb attól félni, hogy egy LastPass méretű adatbázisban, minden egyes user DB-jét egyesével feltörik (akár amazon clouddal), ami persze értelmezhető időn belül nem megoldott egyelőre. És még észre sem veszik, az időn belül.
    És akkor össze lehet vetni az abból nyert információ nyereségét a befektetett összeggel.

Új hozzászólás Aktív témák