Trochę o hasłach

[GusFring]

Cześć,
W ramach szerzenia dobrych praktyk i poszerzania wiedzy o cyberbezpieczeństwie, postanowiłem zrobić mały poradnik.

-----------
Wydanie 1.0
Data publikacji: 15 marca 2023
Autor: GusFring
Publikacja dla: forum.haszysz.com
Poradnik jest w pełni autorski i zabrania się jego kopiowania bez zgody autora.
-----------

Wraz z aktualizacją poradnika data wydania zostanie zmodyfikowana i uzupełniona o changelog.

Poradnik właściwy:

1. Używajcie menadżerów haseł.

Koniec poradnika.

-----

A teraz poważniej.

-Co ty mi tu du*ę Gus zawracasz, używam, hasła dupa13#! od 9 lat i ani razu nie miałem problemów.
Jeszcze. Albo nie wiesz, że już te problemy miałeś.
Problemem zazwyczaj nie jest to, że ktoś wybierze sobie Ciebie za cel, wykupi maszynę za $1000 i będzie dzień i noc próbował łamać Twoje hasła. Taki scenariusz jest mało realny. To co dzieje się naprawdę to wycieki haseł. Te są bardzo popularne. Strony mają luki w systemie, a każdy wyciągnięty zestaw danych reprezentuje swoją wartość w $$ na forach w podziemiu. Te wycieki zdarzają się notorycznie. Sam jestem ofiarą przynajmniej dziesięciu wycieków - mimo, że nie zostałem bezpośrednio zhackowany, to moje dane w postaci email:hasło latają po necie minimum w dziesieciu zbiorczych listach, publicznie dostępnych i pewnie wielu jeszcze niewykrytych.

Do czego zmierzam:
Używaj wyłącznie jednego hasła do danej platformy. Nie dziel haseł pomiędzy różnymi serwisami.
Jeśli Twoje hasło wycieknie z forum muzycznego na którym byłeś zarejestrowany 8 lat temu i od 6 lat tam nie zaglądasz, to ten sam zestaw danych zostanie użyty, żeby wbić Ci się do maila, to z kolei otwiera drogę do resetu hasła na innych platformach -> fejsbuki i inne, trochę więcej grzebania i nagle przez stare hasło w potencjalnym zagrożeniu jest Twoje konto bankowe.

-Dobra, zluzuj majty, nie będę pamiętał 40 różnych haseł.
No i właśnie nie musisz. O tym ten cały poradnik.
Przedstawię Ci dzisiaj koncept jakim jest menadżer haseł. To aplikacja, która przechowuje Twoje wszystkie hasła, do których dostęp uzyskujesz podając swoje hasło główne. Dodatkowo hasła mogą (i powinny) być generowane losowo. Długie ciągi znaków których absolutnie nie musisz pamiętać. Menadżer haseł przechowuje wszystkie Twoje hasła w chmurze bądź w pliku lokalnym, w obu przypadkach używając bardzo mocnego, nie do złamania klucza szyfrującego.


Jaki menadżer haseł?
Osobiście używam 1Password i sobie go bardzo cenię, natomiast nie jest on darmowy. Koszt to $5 na miesiąc.
Szukając darmowej alternatywy najlepiej wybrać Keepass. Działa z windowsem, androidem i iOS, w uczciwej cenie czyli za darmo, dodatkowo jest w stanie synchronizować dane między urządzeniami.

Linków nie będę podawał, ale na pewno sobie poradzisz ze znalezieniem aplikacji.
Po instalacji przywita Cię taki ekran:

Klikasz file -> new i wybierasz gdzie będziesz przechowywał plik z danymi.
warto robić backup tego pliku, więc jak masz taka możliwość - trzymaj go w chmurze. Jeśli stracisz dostęp do tego pliku (np. padnie Ci dysk) - możesz mieć problem.

Następny krok to utworzenie swojego hasła głównego. POSTARAJ SIĘ!
Wybierz długie (nie trudne, długie) hasło. To jedyne które będziesz musiał pamiętać.

Przykład jak to zrobić:
aASDf@!#1 - Hasło trudne dla człowieka? Tak. Trudne dla komputera? No nie.
rks huwdu to najlepszy klub - Bardzo proste do zapamiętania. Tymczasem dla komputera - wykładniczo trudniejsze niż to wyżej.

Pierwsze hasło można złamać w mniej niż godzinę. Drugie - zajmie nawet nie wiem jak to sensownie napisać po polsku - długo, bardzo.

Dalej zostaniesz poproszony o skonfigurowanie hasła. Uzupełnij nazwę i w sumie tyle wystarczy.
W następnym kroku zostaniesz zapytany czy chcesz wydrukować awaryjna listę informacji potrzebnych do odzyskania hasła jeśli je utracisz.
Najprawdopodobniej chcesz to zrobić, tylko schowaj ten wydruk w bezpiecznym miejscu!


Teraz możesz zaczać dodawać swoje hasła do menadżera:
Wybierasz kategorię (możesz je edytować, dodawać nowe) i po prawej stronie klik prawym -> add entry.

Przy tworzeniu nowych haseł używajcie generatora. W ten sposób każde hasło będzie trudne, losowo generowane. Nie do złamania przez brute force i dzięki temu, że jest unikalne - nie posłuży do uzyskania dostępu do innych portali w przypadku wycieku z innych.

No i tyle. Pierwsze Twoje losowo wygenerowane hasło jest już zapisane w aplikacji.
Możesz je edytować, kopiować albo użyć opcji automatycznego wpisania do formularza.

Po dokonaniu jakiejkolwiek zmiany musisz ją zapisać!
Kliknij ikonkę dyskietki!


KeePass napewno oferuje dużo więcej ciekawych funkcji, więc goraco zachęcam do pogrzebania w nim więcej.
Ja osobiście jestem mocnym zwolennikiem 1Password który dodatkowo integruje się z przegldarkami i automatycznie synchronizuje hasła między urzadzeniami. Ale niestety nie jest darmowy, a domyślam się, że to istotna sprawa, stad wybór prezentacji w poradniku padł na KeePass.


Używajcie i badźcie bezpieczni.
Pzdr.

 

[Huell Babineaux]

Moje hasło to: ***************

Ps. Fring dobrze prawi, trza się zabezpieczać

 

[DesireOEM]

A na koniec uważajcie z menadżerami haseł:

2020​

• Dashlane, LastPass, Keeper, 1Password, and RoboForm: Researchers Michael Carr and Siamak F. Shahandashti from the University of York released a study analyzing these five password managers for security vulnerabilities. To test these companies’ phishing resistance, the researchers created a false Google app, which was able to trick both 1Password and LastPass into revealing a password. They also discovered that Keeper, Dashlane, and 1Password don’t limit the number of login attempts while entering the master password, making it easier for hackers to perform brute-force attacks. Most shockingly, all these password managers, except for 1Password, failed to protect credentials from being pasted as clear text from the clipboard.

2019​

• Dashlane, LastPass, and KeePass: Research carried out by Independent Security Evaluators (ISE) uncovered that while running in the background, these password managers could leak unencrypted credentials. According to the researchers, these companies don’t always encrypt and clear passwords from the computer’s memory when the user logs out.
• 1Password: The same research found that 1Password fails to clear out the master password after the user has logged out and has the software still running in the background. In some cases, the password can even be seen in plain text. The silver lining is that since your computer has built-in defenses against memory access attacks, these failures can only be harmful if malware has already gotten into the device.

 

[GusFring]

@DesireOEM a w 1692 palono wiedźmy.

Stosowanie menadżerów haseł jest zawsze lepszą opcją niż ich niestosowanie.

 

[YouLord]

Zgubicie telefon i po menegerze i po kontach wszędzie lub jeśli zainstalujecie backdora z jakimś programem z torrenta/chomikuj to wszystkie wasze hasła razem menegerem do wywalenia
Najlepiej zapamiętać 3 dobre hasła i potem tylko używać ich kombinacji.
A jeśli chodzi o hasła do portfeli krypto na przyklad ledgera metamask to trzeba miec je tylko w glowie te wszystkie słowa, jest taka technika że wymyślacie sobie do zapamiętywania powiedzmy na przykładzie: hasło do waszego portfela krypto to: walizka, lizak, niebo, kran, kamizelka, opona, mikser, ojciec, palec, poważny, samochód, łabądź. Wymyślacie sobie do tego śmieszną historyjkę na przykład: jedziesz 300 na godzinę z walizką z hajsem nagle widzisz psa z lizakiem każe zjechać na poboczę, patrzysz w niebo i masz wizję dostajesz kulkę w serce i krew leje się jak z kranu, przypominasz sobie że masz kamizelkę więc przyśpieszasz, za tobą pościg próbują trafić ci w opony dalej mi się nie chce wymyślać ale jak sobie to zapiszesz i zapamiętasz tą historyjkę i sobie ją wyobrazisz to potem łatwo odzyskasz krypto, bo jak wjada psiaki to sobie znajdą te hasełka i po odsiadce nie bedzie nic, tak jak zadupcyli od TOP G Andrew Tate. Pozdro