iPon Hírek

Összefogás a jelszavak hatékony és kényelmes kiváltásához

Dátum | 2013. 12. 16.
Szerző | J.o.k.e.r
Csoport | IT VILÁG

A FIDO (Fast Identify Online, azaz gyors online azonosítás) Alliance névre keresztelt szövetségben számos neves iparági képviselő van, célja pedig az, hogy a partnerekkel együttműködve olyan szabványokat fejlesszen ki, amelyekkel csökkenthető a jelszóhasználat szükségessége, illetve növelhető a felhasználók kényelme és biztonsága. A gyenge jelszó gyenge védelemhez vezet Manapság rengeteg jelszót kell fejben tartani: jelszavakkal óvjuk különböző internetes felhasználói fiókjainkat, de okostelefonunkat és asztali számítógépünket is jelszavak védik a kíváncsi szemek elől. A statisztikák szerint ráadásul még mindig nagyon sokan használnak egyszerű, könnyen kitalálható jelszavakat, illetve az is előfordul, hogy ezt az egyszerű jelszót vetik be minden felhasználói fiók és eszköz védelmére, ami biztonságtechnikai szempontból nézve több, mint aggályos. A jelszó alapú védelem erőssége ugyanis függ a jelszó komplexitásától, és attól is, hány helyen vetjük be ugyanazt a kódsort. Persze tény, hogy a sok-sok különböző jelszó megjegyzése komoly feladat, főleg, ha még bizonyos időközönként meg is változtatjuk őket, ahogy a szakemberek tanácsolják. Itt az ideje, hogy visszaszoruljon a jelszóhasználat A FIDO Alliance pont azért jött létre, hogy ezen a területen végre változás következhessen be. A szövetség tagjai azon dolgoznak, hogy olyan új szabvány készüljön, amely gondoskodik a felhasználó gyors, biztonságos és kényelmes azonosításáról. Az azonosítás biztonságtechnikai eszközökkel, illetve különböző webböngésző bővítményekkel történhet, olyan eljárások alkalmazása mellett, amelyeket a technológiai vállalatok beépíthetnek termékeikbe.

A szövetség hisz benne, hogy az új, szabványosított azonosítási technológia kifejlesztésével a különböző azonosítási technológiák – például a PIN kódok és a biometrikus adatok, illetve a másodlagos azonosítási technológiák – közötti együttműködés javulni fog, és ezek az eljárások ezzel együtt fejlődni is fognak. A léc meglehetősen magasan van, ugyanis egyidejűleg kell gondoskodni arról, hogy az eljárás biztonságos legyen és a felhasználók könnyen, kényelmesen alkalmazhassák. Sokan dolgoznak a kihívás megoldásán A feladat megoldásán több neves nagyvállalat is dolgozik, amik között a Lenovo, a MasterCard és az Infineon egyaránt jelen van, sőt, a szövetségbe idén áprilisban már a Google is belépett. A legújabb tag aki a napokban csatlakozott, nem más, mint a Microsoft. A cég komoly szerepet vállalhat a jelszóhasználat visszaszorításában, hiszen a Microsoft készíti a világ legnépszerűbb PC-s operációs rendszerét, a Windows-t, de emellett a mobil eszközök szegmensében is jelen van – igaz, utóbbi területen jóval szerényebb piaci részesedéssel bír. A FIDO Alliance szabványosított felhasználó-azonosítási technológiája első körben a webböngészőkben és a webes alkalmazásokban tűnhet majd fel, de a szövetség azt is tervezi, hogy az Android, iOS és Windows Phone alapú táblák, illetve okostelefonok számára is kifejleszt néhány hatékonyan és biztonságos alkalmazható felhasználó-azonosítási eljárást.
Új hozzászólás írásához előbb jelentkezz be!

Eddigi hozzászólások

22. tomchee
2013.12.16. 10:37
Amit, fel lehet törni, azt fel is törik. A biometrikus adatokat is ugyan úgy ellehet lopni és reprodukálni. Ez max a buta facebook függő Mariskán fog segíteni akinek a jelszava 12345.
Egyébként mit jártatom itt a számat, hisz biztos emlékeztek, hogy ez az új iPhonenál mennyire jól bevált
 
Válasz írásához előbb jelentkezz be!
21. kiskoller
2013.12.16. 10:45
Nagyon is jó és fontos dolog ez. Tegnapelőtt este nekiálltam lecserélni a szinte mindenhol egyező jelszavamat randomgeneráltakra és egy password managerben lementettem őket. Ma már nem sikerült elindítanom a programot, így pl az iponos felhasználom jelszavát is resetelnem kellett...
 
Válasz írásához előbb jelentkezz be!
20. djgeg
2013.12.16. 10:47
Jó lenne már valami...
 
Válasz írásához előbb jelentkezz be!
19. djgeg
2013.12.16. 10:52
tomchee
Ha lövésed sincs, hogy pl az üzleti világban egy átlag dolgozónak kell tudnia 4-5 jelszót, vagy van, hogy 10-15+ ot is... Akkor töknek hozzászólni hülyeséget.
Személy szerint infósként csak ami lényeges az 10 jelszó/felhasználónév... Minden nap bepötyögnöm őket legalább 3x... Még se tudom megjegyezni mind... (Főleg a sajátjaim mellé...) Leírva, emailben tárolva vagy akár pw mannagerben meg kockázati tényező!
Te vagy inkább az a user a hozzászólásod alapján akinek semmi haszna... mert csak talán facebook jelszavad van.
 
Válasz írásához előbb jelentkezz be!
18. nemlehet
2013.12.16. 10:55
Amúgy jellemzően nem "törik" a jelszavakat, hanem a sok barom (erre nincs jobb szó) pl post iten kirakja a monitorra a munkahelyén, vagy felírja egy cetlire a tárcájában. Vagy rengeteg embert ismerek aki nem bírja megjegyezni a PIN kódját és ráírja a bankkártyára.... Aki ezeket az ordas nagy hibákat nem követi el szerintem kis eséllyel kerül bajba... Nekem is van 1 16 karakteres jelszavam mindenhova, azt próbálgatással elég nehéz kitalálni, brute force-al túl sokáig tart, és nem mondom el senkinek. Kifejezetten pénzügyi accounthoz meg némi kis-nagy betű változtatással használom így ha esetleg valaki meg is szerzi akkor is még izzadhat mire hozzá fér a számlámhoz. Szerintem egy hétköznapi embernek ennyi elég. De amúgy valami gyors és biztonságos módszert szívesen használnék.
 
Válasz írásához előbb jelentkezz be!
17. DogTheDog
2013.12.16. 10:55
En osszesen hat jelszot hasznalok,ebbol ketto csak varians.Kepes vagyok oket megjegyezni,meg a 12 karakterest is.Ezzel szepen le is van fedve az online jelenletem.Erdekes modon emlekszek a legelso jelszavamra is,pedig az mar egy kisebb idoutazasnyi tavolsagban van.
 
Válasz írásához előbb jelentkezz be!
16. kiskoller djgeg
2013.12.16. 11:17
Ráadásul nem csak az a baj, hogy sok jelszót kell használnod, hanem az, hogy mindegyik más ütemben cserélődik le.

Nekem a munkahelyemen van:

Egy 7-10 hosszú számsor a laptop bitlocker-hez
Egy jelszó a windows domén userhez (amivel az OS-be lépsz be)
Ennek a régi verziója a régi céges dolgok miatt
Egy 8 számos kód egy kártyához amivel egy VPN-re megyek fel
Egy jelszó egy amúgy is random generált userhez, amivel a partnercég doménjébe lépek bele
Egy jelszó a csapat közös admin useréhez
Egy jelszó a saját, belsős, virtuális gépemhez
Egy jelszó az általunk üzemletetett windows domén admin useréhez
Egy jelszó a csak belsős használatú infrastruktúrális gépek eléréséhez
4 különféle default jelszó a roothoz /Administrator -hoz az előtelepített gépek esetén (különbözik WinXP, WinServer, RHEL 4-5-6 esetén)
Egy jelszó egy másik csapat backupos rendszeréhez
Egy jelszó az általunk üzemeltetett DNS szerver eléréséhez.
Egy felhasználó/jelszó az egyik automatizációs programhoz
Egy felhasználó/jelszó a hivatalos Red Hat channelhez

Kb 6000 darab jelszó a 6000 üzemeltetett géphez (ezeket a jelszavakat egy közös weboldalról érjük el, ahhoz kell tudom a saját user/PW párosomat)

És akkor még csak a munkánál vagyunk. Haladjuk tovább az adminisztációhoz:
1 user/jelszó egy site-hoz ahol azt adom meg, mennyit dolgozok egy héten, ez alapján számláznak (külsős szervíz, tilos belsős jelszót megadni)
1 user/jelszó a szabadság tervezéséhez
1 user/jelszó a fejlesztői/bugtracker sitehoz
1 kódsor amivel a Bérlapomat tudom megnyitni
1 kód/kód páros a céges softphone-hoz
1 PIN kód a céges mobiltelefonom-hoz amiről elérnek.




Ha betartanám a work policyt ezek közül mindegyiknek különböznie kellene. A legtöbbnek 8-10 karakter hosszúnak kell lennie, szám, kis és nagybetű, speciális karaktert tartalmazva.
 
Válasz írásához előbb jelentkezz be!
15. i2k010
2013.12.16. 11:31
Nekem nincs okostelefonom és nem is tervezem a vásárlását.
Tehát, számomra az "okos" appok ki vannak lőve - és emellett az ujjlenyomat-, retina-, és lehellet-, rendszám-, hajgahymaszámláló-, pislogás intervallummérő (szándékos túlzások!) megoldások is. Mindazok, amik handheld kütyükkel valósíthatók meg.
Én például tökéletesen elvagyok a jelszavaimmal. KeePass progi a megoldás.
A PIN-kódom fejből tudom (telefonhoz is, bankkártyához is, ahogy az e-mailcímeimhez is), s minden máshoz csak akkor férek hozzá, ha a PC előtt ülök - de nem is kell olyasmi, ami anélkül nem használható.
Hétköznapi felhasználó vagyok ugyanis.
 
Válasz írásához előbb jelentkezz be!
14. kiskoller i2k01...
2013.12.16. 11:40
Csak amikor 10 percenként kell autentikálnod magad, akkor a Keepass nem elég, túl sok időt elfecsérelsz a másolgatással.
 
Válasz írásához előbb jelentkezz be!
13. DogTheDog kisko...
2013.12.16. 12:16
Mi erre az esetre eToken-t hasznalunk,mert egy ilyen szintu halozatnal mar kell a HW kulcs,nem ingyenes managert.
 
Válasz írásához előbb jelentkezz be!
12. kiskoller DogTh...
2013.12.16. 12:19
Jaja, jó lenne ha nálunk is ilyesmi lenne.

Az baj az, hogy sokszor 5-6 virtualizációs rétegen keresztül érek el valamit, mindegyiken elég nehéz biztonságosan és stabilan átküldeni autentikációs protokollokat.
 
Válasz írásához előbb jelentkezz be!
11. tomchee
2013.12.16. 12:48
djgeg
Köszönöm, h ennyire nyíltan közölted velem hozzá nem értésed, de az üzleti világban a biometrikus azonosítás már rég elteljedt. Az, hogy nálatok kisvállalkozásban, (vagy épp általános iskolai rendszergazda vagy, nem tudom), ez nem hétköznapi, még nem jelenti azt, h az üzleti világban, ahogy te írtad, ne lenne alap dolog egy biometrikus azonosítóval felszerelt laptop, vagy pendrive.

És akkor, most olvasd el még egyszer az előző hozzászólásomat, ami a cikkhez vágóan, ahogy én értelmeztem, a hétköznapi felhasználásról szól, nem pedig az üzleti szegmensről, és aztán ess a torkomnak APU


ui.: Természetesen nem gondolom úgy, hogy ne lenne ez hasznos a kisvállalkozásokban, sőt... sokunk életét/munkáját könnyítené meg ott is
 
Válasz írásához előbb jelentkezz be!
10. Asagrim
2013.12.16. 13:55
Én attól kapok hülyét hogy nem bírom megjegyezni hol melyiket hol használom a fejben tartott jelszavaim közül. Na nálam erre van a KeePass, nem a jelszavakat tárolom benne, hanem pár szavas segítséget, hogy hol melyik jelszót használom az adott helyen.

Így:
- nem vagyok kizárva x órára a harmadik próbálkozás után, mert elsőre tudom melyik kell
- hiába szerzi meg akárki a KeePass jelszavamat, nem tud vele mit kezdeni
- hiába szerzi meg akárki az egyik jelszavamat, még a KeePass adatbázisommal sem fogja tudni viszonyítási alapként használni a többi jelszóhoz

Gyakorlatilag így akár KeePass se kell nekem, nyugodtan ott lóghatna a monitoron egy cetlin a segítség, hogy hol milyen jelszót használok, csak egy szem post-it kicsit kevés lenne a teljes domain listához!
 
Válasz írásához előbb jelentkezz be!
9. kiskoller
2013.12.16. 13:57
Valaki közületek használ esetleg böngészőbe integrált pw-managert? Az Opera jelszó kezelője jónak tűnik, mennyire megbízhatóak ezek?
 
Válasz írásához előbb jelentkezz be!
8. Asagrim kisko...
2013.12.16. 13:59
Annyira hogy freeware programmal kiolvasható.

http://www.nirsoft.net/utils/web_browser_password.html

SOHA ne jegyeztesd meg fontos jelszavadat böngészővel!
 
Válasz írásához előbb jelentkezz be!
7. Balucsek
2013.12.16. 15:33
Hát ha már bárhova le kell tárolni akkor már nem biztonságos. Inkább legyen 1 értelmes jelszó több helyen és csak fejben tárolva minthogy napi rendszerességgel menjen a jelszó cserélő link amit kitudja melyik szemfüles hacker csíp el, vagy hogy le legyen tárolva akárhol is. Ahol le van tárolva hogy az ember lássa azt ugye vissza lehet állítani, még ha időbe is telik. Ha meg valaki brouteforcolni akarja az csak feltűnik valahol, kivéve ha lenyúlják valahonnan a hashelt jelszavakat...
Jah és amúgy éljenek az okos telók és a mobilos bank appok, ahol egy helyen találkozhatunk a banki jelszóval és a belépéskor használt SMS-ben küldött kóddal!!!
 
Válasz írásához előbb jelentkezz be!
6. prohlep
2013.12.16. 16:16
Infó-korszak újfajta kihívásaira újfajta bizonyítvány és diploma tartalmak:

érettségi: emlékezetből kezel 4 darab félévente megváltoztatott jelszót.

BSc/MSc: érettségi dózis 2-szerese/3-szorosa

PhD: tucat jelszó, amelyet a doktori védés alkalmával nem tud feltörni az állambiztonság
 
Válasz írásához előbb jelentkezz be!
5. i2k010
2013.12.16. 19:02
@kiskoller: "Csak amikor 10 percenként kell autentikálnod magad, akkor a Keepass nem elég, túl sok időt elfecsérelsz a másolgatással."

A KeePass tud ám olyat is, hogy helyett beviszi a mezőkbe az adatokat.
A captch-kat kell egyedül neked beírni.
Pl. Path of Exile oldala...
 
Válasz írásához előbb jelentkezz be!
4. budspencer
2013.12.16. 23:08
A biometria is számsort használ kulcsként, ami ugyanúgy ellopható, mint bármely bepötyögött jelszó. Sőt, ha ellopják a komplett ujjlenyomatot, akkor gyakorlatilag hiába változtat valaki ujjlenyomatból képzett jelszót, mert így már egy kisebb számú halmazból lehet feltörni a jelszót. A biztonság illúziója...

Ez inkább arról szól, hogy hozzájussanak az ujjlenyomatodhoz, a biztonságodra hivatkozva...
 
Válasz írásához előbb jelentkezz be!
3. kiskoller Baluc...
2013.12.16. 23:21
Asagrim: Ez nyílván akkor működik, ha tudod a master jelszót, mert azzal titkosítja az opera a jelszavaidat, nem?

i2k010 Mondom hogy nincs mindig lehetőség az automatikus kitöltésre. Amikor 5-6 különböző felületen keresztül csatlakozol valahova örülsz, hogy a billentyűzetet nem laggol be, sokszor még a vágólap sem feltétlen működik.

Emellett a Keepassal az a bajom, hogy még minimalizálva is blokkol egy csomó gomb lenyomásában, pl az "ä" sose működik nekem ha fut a háttérben.
 
Válasz írásához előbb jelentkezz be!
2. randor88
2013.12.17. 13:07
En lastpass -t hasznalok, de a legtobb oldalon ugyanaz a jelszavam. A kifejezetten kenyes oldalakra google hitelesitot hasznalok az androidos telefonomon. Szerintem ez igy biztonsagos tud lenni. Persze tulzasokba is lehet esni.. de en nem fogok
 
Válasz írásához előbb jelentkezz be!
1. kiskoller rando...
2013.12.17. 13:27
Én egyáltalán nem ismerem a telefonokok OS-ét, így semmilyen kényes adatot nem merek rábízni. Nem tudom hogy működik, mennyire veszélyes, mire kell odafigyelni, stb.
 
Válasz írásához előbb jelentkezz be!