Tänk på att byta lösenord ofta

[Simon W]

Det var därför jag tipsade om Keepass i första inlägget. Kom ihåg ett lösenord till programmet. Låt sedan Keepass komma ihåg alla lösenord åt dig.

 

Oj, det är ju fantastiskt. Förstod väl inte riktigt vad Keepass gick ut på. Tydligen.

 

EDIT: Kan man ha en mapp som det krävs ett lösenord för att komma åt? Har windows nån sån funktion?

[gorse]

EDIT: Kan man ha en mapp som det krävs ett lösenord för att komma åt? Har windows nån sån funktion?

 

Njae, man loggar faktiskt in. Däri är funktionen. Men om du har olika konton i datorn så kan man sätta olika previleger för olika användare på mappen. Å andra sidan är "mina dokument" och alla annat i profilen redan privat (om det är rätt konfigureat). Fast jag misstänker att de flesta har autologon på datorn. Det är default om man bara har ett konto i datorn. Prova att skapa ett till konto i datorn, som inte är adminstrator och logga in som den, och försök titta på dina filer så förstår du vad jag menar.

 

Det är samma om man använder windows egen kryptering på mappar, så länge det en själv som skall använda mappen så märker man det inte.

[Pace]

Mitt lösenord är nio bokstäver. Är det för svagt?

 

Detta lösenord, som jag ofta använder, är initialerna hos de första nio orden i en viss låt, vars text jag länge missuppfattade.

 

Knepigt att lista ut, men väldigt lätt för mig att komma ihåg.

 

Med denna information du just gav skulle någon kunna knäcka ditt lösenord på ett par minuter, eller kanske sekunder med brute force.

 

Det är okej till Voodoo Film och andra forum eftersom vi inte har någon känslig data, men använd inte detta till några känsliga platser. Som jag sa tidigare, ha olika lösenord för åtminstone forum/communities och känsliga platser såsom banker, e-butiker med flera.

[Nicke_92]

Precis som gorse mycket riktigt skriver så avråds alla kända sätt att skriva eller bilda meningar. Det är just det första som testas eftersom det är människor som knäcker lösenord (och därmed vet vad människor brukar göra). Längden spelar heller ingen roll om man använder ett fåtal kända tecken. eadereedaeddaaef är lättare att knäcka än %£hM6, så länge man känner till mönstret.

 

Återigen, de bästa lösenorden är i stil med ETr{g{9-*�{|o5.!/23178N}]X?+P/6

 

Läs också: De tio absolut vanligaste lösenorden.

 

 

 

Har funderat på det med forumet, men avvaktar lite. Jag är rädd för spam.

 

 

alltså skulle inte detta password vara säkert "dettaärintesäkertattanvändasomlösenord" ?

[jernby film]

Ni verkar egotrippade här när det gäller lösenord. Bankkonto, bloggar och vad ni säger på näter. Naturligtvis ska alla ha samma lösenord t.e.x "losenord"

Då blir det rättvist och ett lättare liv att leva. Alla blir lika rika, både ekonomiskt och psykiskt. Alla surrar runt, badar i fontäner. INGA LÖSENORD MER

 

Karl Marx

[Pace]

alltså skulle inte detta password vara säkert "dettaärintesäkertattanvändasomlösenord" ?

 

Nu var det inte det jag skrev, utan att det inte vara lika säkert som ett kortare lösenord med fler specialtecken.

 

För tredje gången: Långa lösenord med många specialtecken. Svårare än så är det inte. (Nu anser jag att jag gjort vad jag kan för att öka säkerheten bland folket där ute. Det är för ert eget bästa och det är bara ni själva som avgör om ni vill ta till er informationen.)

[gorse]

alltså skulle inte detta password vara säkert "dettaärintesäkertattanvändasomlösenord" ?

Nej, man knäcker det i chunks om åtta delar, altså tar det nio ggr så långt tid som om det vore ett ord, dvs nio sekunder iställer för en (eller vad det nu kan ta för tid?) om man använder enbart ordlistor. Om lösenordet trunkeras i voodooforumet kanske ännu fortare. Hittar man inte rätt med ordlistor övergår man till att prova alla tänkbara kombinationer.

Och det är bara lowercase i lösenordet. Det är 28 varianter på varje tecken, inte så mycket. Om man använder stora bokstäver dubblas antaler variationer per tecken. Med specialtecken ett par till. Nu har du bara långt lösenord, fast några specialtecken (öäö).

 

Om det är så svårt att förstå principen, ta ett cykellås eller en portfölj med fyra rattar, numrerad mellan 0 och 9. Börja med att sätta alla nummer på noll. Sätt sen 1, sen 2 etc och 10, 11, 12,,,,20, 21 etc. Med bara fyra tecken är 10000 kombinationer. Det klarar man för hand under överskådlig tid. Med en dator är portföljen i praktiken olåst. Säg att man enbart tillåter telefonätets riktnummer. Då kör man direkt med telenumren och då blir det mycket färre antal kombinationer.

 

Med 28 variationer per tecken, ja ni ser. Med 52 kombinationer ökar tiden. Kör man ordlistor minskar antalet kombinationer dramatiskt. Och det finns ordlistor till och med på trekkerspråket.

[Markus Dykfilm]

Snabb fråga... att ha auto login på... är det bra/dåligt/ingen skillnad?

[Pace]

Snabb fråga... att ha auto login på... är det bra/dåligt/ingen skillnad?

 

Ingen skillnad.

 

Men som du förstår så kan någon skriva inlägg på forumet om du har en bärbar dator och den blir stulen (men lär knappast vara motivet när man stjäl en dator). Dessutom görs en hash av lösenordet tillgänglig. Det vill säga, ungefärligt, en kontrollsumma av lösenordet. Den är dockad "saltad", vilket innebär att massa specialtecken/skräp automatiskt lagts till lösenordet för att öka säkerheten. Det gör dig däremot inte undantagen från att använda specialtecken själv.

 

Internt inom Voodoo Film kommer snart SHA-512 med salt att användas för lösenordshanteringen. Då vågar jag lägga ut min hash för allmän beskådan. ;)

[Nicke_92]

Men allihopa, hur fan långt tid tar det inte att testa allar ordkombinationer, bokstavs och teckenkombinationer och sånt? måste ju ta minst 100 h. arbetstid att göra det :o ?!

[Pace]

Men allihopa, hur fan långt tid tar det inte att testa allar ordkombinationer, bokstavs och teckenkombinationer och sånt? måste ju ta minst 100 h. arbetstid att göra det :o ?!

 

Jag må ha en gammal dator, men jag kan testa 10 miljoner kombinationer/sekund med mitt crackprogram. Med ett lösenord om fem bokstäver är det därför ingen konst att knäcka.

 

Exempel med Bilddagboken som utgångspunkt:

 

1. Användaruppgifter med e-post och krypterade lösenord läcker ut.
   
2. En hackare hittar att användaren ganskaosäker@hotmail.com har lösenordet "losen" (det knäcks på tre sekunder eftersom krypteringen är gammal och lösenordet kasst).
   
3. Hackaren går till hotmail och loggar in. Där syns orderbekräftelser på en ny 40-tums tv hos en e-butik.
   
4. Hackaren besöker e-butiken och använder "Glömt lösenordet" och får det skickat till e-posten (eftersom e-butiken lagrar alla lösenord i klartext).
   
5. Hackaren fortsätter och får på så sätt tillgång till fler och fler lösenord och kan kartlägga personens liv, eller komma åt andra viktiga handlingar.
   

 

(Punkt 4 kan inte hända på Voodoo Film eftersom lösenorden inte lagras i klartext. Har man glömt lösenordet får man ett helt nytt. Det är så det ska vara.)

 

Bilddagboken hade visserligen dåligt skydd för sina användaruppgifter, men den som hade ett starkt lösenord hade ändå varit ordentligt skyddad.

[gorse]

... måste ju ta minst 100 h. arbetstid att göra det ...

Om jag vore hacker har jag inga problem att låta datorn köra dygnet runt i tre månader för att kracka alla lösenord man är intresserad av. Skulle det inte räcka, skriver man nått ballt program som krackar in sig på 1000tals hemdatorer som saknar virusskydd. Där installerar den sig själv dolt och arbetar med låg prioritet så att inte användaren märker nått, dvs använder bara idletid. Detta program kan dels delräkna på lösenorden och skicka delresulteten och dels försöka sprida sig själv till andra datorer. Allt på överbliven tid.

Skulle det vara svårt att hitta datorer som inte kört windowsupdate på länge, kanske man kan baka in viruset i nått program som erbjuder gratis bakgrundbilder eller extra smilys för MSN.

 

Är det nån mer som sett det där SETI-programmet som räknar på signaler från rymden?

 

Mycket av kracking är också att vara klurig, inte bara ha mycket datorkraft. Om man skriver ett kul mail, där man säger att det finns ett nytt elakt virus, men man kan skydda sig genom att installera bilagan som kommer med. Sen uppmanar man att varna alla man känner.

Eller så gör man en hemsida som ser exakt ut som tradera, eller ginza, skickar ett mail till alla man känner som ser ut som ett tradera-mail, och säga att någon har försökt komma in på ditt konto och uppmanar att genast logga in och byta lösenord, och länkar till den falska hemsidan. Sen kommer alla att gladeligen skriva in sitt användarnamn och lösenord, på den falska hemsidan.

[Nicke_92]

Om jag vore hacker har jag inga problem att låta datorn köra dygnet runt i tre månader för att kracka alla lösenord man är intresserad av. Skulle det inte räcka, skriver man nått ballt program som krackar in sig på 1000tals hemdatorer som saknar virusskydd. Där installerar den sig själv dolt och arbetar med låg prioritet så att inte användaren märker nått, dvs använder bara idletid. Detta program kan dels delräkna på lösenorden och skicka delresulteten och dels försöka sprida sig själv till andra datorer. Allt på överbliven tid.

Skulle det vara svårt att hitta datorer som inte kört windowsupdate på länge, kanske man kan baka in viruset i nått program som erbjuder gratis bakgrundbilder eller extra smilys för MSN.

 

Är det nån mer som sett det där SETI-programmet som räknar på signaler från rymden?

 

Mycket av kracking är också att vara klurig, inte bara ha mycket datorkraft. Om man skriver ett kul mail, där man säger att det finns ett nytt elakt virus, men man kan skydda sig genom att installera bilagan som kommer med. Sen uppmanar man att varna alla man känner.

Eller så gör man en hemsida som ser exakt ut som tradera, eller ginza, skickar ett mail till alla man känner som ser ut som ett tradera-mail, och säga att någon har försökt komma in på ditt konto och uppmanar att genast logga in och byta lösenord, och länkar till den falska hemsidan. Sen kommer alla att gladeligen skriva in sitt användarnamn och lösenord, på den falska hemsidan.

 

Word. Att folk orkar jävlas med allt och alla :o

 

tillägger att jag förut idag/inatt kom på att

E=mc2 måste ju vara den osäkraste kombination som följer paces regler :p

[jernby film]

Hackers gör väl himla bra filmer, på fritiden?

/nils

[gorse]

...E=mc2 måste ju vara den osäkraste kombination som följer paces regler :p

Nu träffar du huvudet på spiken.

 

I övrigt är det inga konstigheter. Min beskrivning är inte påhittad utan säkert rätt vanlig för tex överbelanstningsattacker mot en viss site. Säg att voodoofilm forum plötsligt skulle ha en tråd som svartmålar en religiös ledare. Anhängarna blir snea, och vill tysta forumet. Då sprider man ett program till hundratusentals värnlösa hemdatorer som då kopplar upp sig mot hemsidan, alla samtidigt. Behöver inte vara göra nått särkskillt, det räcker med de vanliga kommandona som en webbrowser gör för att titta på en sida. Voodoofilm orkar inte med anstormningen utan lägger sig på rygg. Sen kan ingen titta på tråden. Startar man om voodoofilm, dör den direkt eftersom alla fortfarande kopplar upp sig. Även om servern inte dör, så är all trafik upptagen så man kan inte komma fram i alla fall. Detta fortgår så länge attacken pågår. Fundera på hur man avbryter en attack från 100 000-tals datorer som vill titta på en hemsida?

 

Om man inte vet hur man skriver ett sånt program skickar man ett mail till alla man känner för att protestera mot att somliga religiösa organsiationer beteer sig så himla illa, att sänka vodoofilm, och uppmanar alla att vidarebeforda till alla man känner. För att visa sin uppskattning för voodoofilm ber man även alla att göra en cc: till pace, så han ser hur mycket vi gillar voodoofilm.

[EvilElvis]

Fundera på hur man avbryter en attack från 100 000-tals datorer som vill titta på en hemsida?

 

Man klipper dom i brandväggen. Vi blev utsatta för en DoS-attack för ett gäng år sen, nån som hade dragit igång en massa datorer på Uppsala Universitet som bombade våra servrar. Så vi bannade ip-rangen i brandväggen och klippte dom där.

[jmalmsten]

Men allihopa, hur fan långt tid tar det inte att testa allar ordkombinationer, bokstavs och teckenkombinationer och sånt? måste ju ta minst 100 h. arbetstid att göra det :o ?!

en engigahertz processor klarar att göra 1 miljard beräkningar per sekund... även om man säger att man bara kan utnyttja 700 000 000 av dom till cracking och det totalt blir kanske 100 000 000 efter effektiv kodlösning eftersom varje kombination tar sin lilla tid att räkna ut och tar upp några beräkningsantal i sig själv. Lägg därtill att man måste hacka in sig på en fjärrdator via internet så tappar man några miljoner beräkningar i dötiden mellan att man väntar på statussvar och skickar nytt försök... men så är ju 1 gigahertz ingenting idag och en ordentlig hacker kan nog få in crackprogramvaran på serverdatorn för att slippa denna väntan.

 

heh... nu när jag skrivit detta känns det hela väldans osäkert... hur är det Pace? fungerar asiatiska tecken i lösenordssystemet? Jag menar... då får jag ju 1 945 st "essential" kanji från japanskan, plus de 255 tecknen som ingår i ASCII-standardens alphanumeriska tecken... så runt 2200 möjliga tecken per tecken plats redan där... om jag därtill tar en japansk översättning av 3e moseboken som lösenord inklusive upphöjda tecken för vers-numrering borde jag väl vara på den säkra sidan? Eller måste jag ta med Koreanska och en 3dje generationens cover av Det Gör Ont av Lena Philipson-impersonatorn Lee Kwon Look Hee den fjärde? Då måste jag väl ha gjort ett lösenord som tar minst en kvart att hacka sig igenom? :e

[Nicke_92]

hur är det pace blablabla... e.t.c

 

(inlägg förkortat för att det skulle bli så jobbigt med ett så långt citat)

 

att du orkar fundera över såntdär ;) du gör mig trött på köpet när jag tänker på hur jobbigt det måste vara att tänka alla dedär tankarna...

[Pace]

jmalmsten:

 

På forumet används ISO-8859-1, Latin1 om 8 bitar. Japanska tecken och Philipsson-imitatörer gör sig icke besvär. ;)

[jmalmsten]

Pace: Arsch Tusan... inga planer på det heller? :P

 

Nicke_92: Det ena ger det andra ger det tredje... jag är väldigt dålig på att tänka på flera saker samtidigt... vad har jag glömt nu igen?... det var nått viktigt... jajustfan... andas in... andas ut... kunde gått illa där ett tag...

[Nicke_92]

vad har jag glömt nu igen?... det var nått viktigt... jajustfan... andas in... andas ut... kunde gått illa där ett tag...

 

*applause*

[jbergman]

en engigahertz processor klarar att göra 1 miljard beräkningar per sekund... även om man säger att man bara kan utnyttja 700 000 000 av dom till cracking och det totalt blir kanske 100 000 000 efter effektiv kodlösning eftersom varje kombination tar sin lilla tid att räkna ut och tar upp några beräkningsantal i sig själv.

Haha, ta inte illa upp, men det där resonemanget är ju bara knasigt. ;)

 

/Jakob

[gorse]

Hm, jag kom att tänka på en textad anvisning för datorkontona för anvisningarna som en kollega skrev. "Det första man skall göra när man loggat in första gånger, är att byta lösenordet. Det andra är att komma ihåg det."

[Miss_Emma]

Seriöst, ni har lyckats göra en diskussion om lösenord till en diskussion att skratta åt. Tummen upp för er extremt humorisktiska ådra.

[Pace]

Seriöst, ni har lyckats göra en diskussion om lösenord till en diskussion att skratta åt. Tummen upp för er extremt humorisktiska ådra.

 

Välkommen in i diskussionen. ;)