Jaké heslo?
15.08.2008
jen tak

Spousta lidí má problémy s hesly. Buď vymýšlejí příliš primitivní a lehce rozlousknutelná, nebo naopak příliš komplikovaná, která si nezapamatují a musí používat různě obskurní úložiště hesel. Od texťáků po šifrovací programy na PDA.

Jeden můj kamarád patří do druhé sorty. Má hromadu hesel, která si nechává generovat, tudíž všechna vypadají asi nějak tekhle hkTwQ51Eop891Afg$xTR58B13. Dobrý ne. Zkuste si to zapamatovat.
Kamarád si tedy onehdy koupil PDA, do kterého si nainstaloval program pro úschovu hesel se silným šifrovacím algoritmem a pod jedním heslem, které se naučil nazpaměť, měl všechna ta hesla uschovaná. Do doby, než mu PDA kdosi ukradl.

Ještě lepší jsou řadoví zaměstnanci, kteří s přidělenými hesly do bankovních systémů s přístupy k miliardovým účtům (kupříkladu) zacházejí poněkud macešsky. Napíšou to na papírek a ten buď vylepí na monitor, nebo si ho uloží do šrajtofle.

Pak jsou obyčejní lidé, kteří si určí jako heslo jméno manželky, či psa a to pak používají všude. Také dobrý způsob. Takové heslo rozlouskne slovníkový útok raz dva.

Jsou však způsoby, jak si zvolit snadno zapamatovatelné heslo, které není jednoduché na rozlousknutí a zároveň se dá snadno obměňovat.
Stačí jednoduchá algoritmizace. Lze použít takzvané mnemotechnické pomůcky, nebo nějaký vlastní jednoduchý algoritmus pro vytvoření hesla.

Mnemotechnické pomůcky jsme všichni brali na základce. Pomáhaly nám zapamatovat si jinak těžko zapamatovatelnou látku. Například já si nikdy nezapamatoval, který pád mám použít pro volbu slova mě, mně, nebo mne. Zato jsem si hned zapamatoval, že lze toto slovo nahradit za tě, tobě, nebo tebe. Stejně tak všechny Smetanovy opery jsem si zapamatoval až poté, co mě máma naučila známou Smetanovu pohádku.

Vlastní algoritmus je pak ještě lepší, protože člověk si nejlépe zapamatuje to, co si sám vymyslí. Může to vypadat například takto:

1. Krok: Stačí nějaké zvučné slovo, které se nám líbí a lehce ho pozměnit. Třeba Steward na Stjuard.
2. Krok: Vymyslet před/příponu, která se dá lehce algoritmizovat, a kterou dokážete vytvořit dostatečný počet variací (alespoň deset). Třeba mono, bi, tri, tetra...
3. Krok: Přidat nějaký spojovací znak a určit si pravidla velkých, malých písmen.
4. Drsňáci si mohou přidat i číslo na smluvní místo kořenového slova, které bude kupříkladu korespondovat s právě použitou před/příponou, třeba.

• MoNo-Stju1Art
• Bi-Stju2Art
• Tri-Stju3Art
• TeTrA-Stju4Art
• PeNtA-Stju5Art

Tím, díky snadnému algoritmu docílíte lehce zapamatovatelné heslo. Můžete si určit priority pro zadávání jednotlivých variací na různé služby apod. Když nebudete vědět heslo, stačí vyzkoušet všechny variace, dle známého algoritmu. Ovšem v tomto případě pozor na systémy třikrát a dost, které vám po třetím špatném heslu zablokují účet. Tam už to chce opravdu přemýšlet. :-)

Máte nějaké jiné nápady? Podělte se. (o hesla ne, samozřejmě, jen o nápady)

linkuj.cz vybrali.sme.sk

Komentáře

(Jakub Nesveda, 15.08.2008, 19:27:20)
Používám něco podobného. Na služby, kde nemám strach o svá data, použiji jedno jednoduché heslo, které znám už od pradávna. Dobře si pamatuji 3 dlouhá hesla s náhodnými znaky, a na základě těchto hesel vytvořím nějakým algoritmem nové heslo. Jenže jsem paranoidní: "Co kdyby někdo měl několik mých hesel a odvodil si algoritmus?" Proto volím vždy jiný algoritmus. Už se mi to sice u jednoho zřídka používaného hesla vymstilo, ale riziko uhodnutí stálého algoritmu je pro mně vyšší. :)

(banan, 15.08.2008, 20:12:41)
mno, asi jsem jednoduchy, ale kde je potreba mit tak silne heslo? o bance nemluvim, tam to resim via expandia banka.

Byl pozdní večer... (Miloš - Mail, 15.08.2008, 22:30:06)
Bpv, 1.m
Byl pozdní večer, 1. máj

m1sEa1bI
mám 1 sestru Eulálii a 1 bratra Inocence

(Lokutus - WWW, 15.08.2008, 23:37:52)
[2] Jsou různé služby s různě důležitým obsahem. Od freemailů, kde toho máme důležitého pomálu, přes různé file storage účty, kam si schováváme různě důležité soubory, až po různé přístupy na různé servery, hostingy apod., kde jsou už věci, důležité pro náš byznys.

Některé služby nemusí mít silné heslo, protože nikdo nemá potřebu tam lézt, ale je vhodné si nějaký způsob osvojit a používat ho i na takových místech, aby zbytečně nedocházelo ke zmatení.
Stejně jako si programátor osvojí takzvané best practise, kterých se drží i tam, kde potřebuje napsat rychle nějaký krátkodobý bastl. Je to prostě zvyk. Člověk pak nemusí přemýšlet nad podružnostmi.

(otaznik, 17.08.2008, 14:15:25)
Jednou věcí je bezpečnost hesla (nesnadné uhodnutí/vygenerování hesla), druhou věcí je bezpečnost použití.
Pokud nahrazuji všechna písmena za čísla (a ví se to), množina možných znaků pro útok hrubou silou se nerozšiřuje (takže by to chtělo jen nějaká =) podle mě by ideálnější bylo vkládat je zcela náhodně =)). Docela dobrý generátor zapamatovatelných hesel je diceware =)
A co se použití týče. Pokud se přihlašujete po nezabezpečeném spojení, nebo k neověřenému serveru, je bezpečné heslo spíš takové šidítko. No a pokud při chybě přihlášení odedvzdáte systému všechna svá hesla, můžete všude používat stejná =)
Momentálně za nejbezpečnější považuji identifikační certifikáty. Pochopitelně chráněné nějakým heslem jako zpomalení v případě, že přijdu o medium na kterém jsou uloženy.
A pro veřejné služby - maily/diskuze/a ví bůh co všechno - je podle mě docela vhodné OpenID - pokud máte stabilního pokytovatele ověření. Tím se též výrazně snižuje náročnost na pamatování si hesel (takže mohou být složitější).

(Ly - WWW, 19.08.2008, 22:23:23)
Bude to znít neuvěřitelně, ale já si kdysi nechala vygenerovat 1 heslo, které jsem se i naučila nazpaměť (pravda, zezačátku jsem to měla napsané na papírku) a doteď ho používám :) Stačí mi bohatě jedno heslo, ale za to pořádně bezpečné :)

Tip (David Grudl - WWW, 20.08.2008, 00:06:00)
Lokute, co říkáš na tohle http://www.latrine.cz...nalni-hesla

(Lokutus - WWW, 20.08.2008, 10:57:27)
[7] Moc hezký. Jenom to funguje jen na webu. Na servery v práci, nebo doma se nepřihlásím.

(David Grudl - WWW, 22.08.2008, 21:43:03)
Já ten skript mám u sebe na disku

(VfB, 04.02.2009, 07:16:54)
pokud nepotřebuješ na účty chodit z cizích počítačů a systém to umožňuje, tak je dobré řešení použít pro heslo jinou abecedu než latinku, třeba katakanu nebo hangul, brute force programy v 95% případech používají jen latinku, většina živých protivníků, to neumí na klávesnici zadat (nebo v případě že mají XP, tak ty znaky ani nemají ve fontech)
no a pokud se potřebuješ přihlašovat na účet i z jiných počítačů (a není to tak kritická služba), můžeš používat jméno oblíbeného interpreta nebo kapely, třeba 妖精帝國 (z LastFM to vždycky dokážeš zkopírovat)

---

Přidání komentáře...