A mai Kérdések és válaszok munkamenetét a SuperUser - a Stack Exchange, a Q & A weboldalak közösségi meghajtó csoportosulásának részlegével - köszönheti.
A kérdés
A SuperUser olvasó, Michael McGowan kíváncsi, milyen messzire jut el egy jelszószegés hatása; ír:
Suppose a user uses a secure password at site A and a different but similar secure password at site B. Maybe something like
mySecure12#PasswordA
a helyszínen A és
mySecure12#PasswordB
a helyszínen B (szabad, hogy a "hasonlóság" más definícióját használja, ha van értelme).
Tegyük fel, hogy az A webhelyhez tartozó jelszó valamilyen módon veszélybe került … talán az A webhely rosszindulatú munkatársa vagy egy biztonsági szivárgás. Ez azt jelenti, hogy a webhely B jelszava ténylegesen veszélybe került, vagy nincs ilyen a "jelszó-hasonlóság" ebben az összefüggésben? Bármilyen különbség van-e, hogy a kompromisszum az A helyszínen egyszerű szöveges szivárgás vagy hased verzió volt?
Ha Michael aggódik, ha hipotetikus állapota megy végbe?
A válasz
A SuperUser-közreműködők segítették a Michael számára a kérdést. A Superuser közreműködője, Queso írja:
To answer the last part first: Yes, it would make a difference if the data disclosed were cleartext vs. hashed. In a hash, if you change a single character, the entire hash is completely different. The only way an attacker would know the password is to brute force the hash (not impossible, especially if the hash is unsalted. see rainbow tables).
As far as the similarity question, it would depend on what the attacker knows about you. If I get your password on site A and if I know you use certain patterns for creating usernames or such, I may try those same conventions on passwords on sites you use.
Alternatively, in the passwords you give above, if I as an attacker see an obvious pattern that I can use to separate a site-specific portion of the password from the generic password portion, I will definitely make that part of a custom password attack tailored to you.
As an example, say you have a super secure password like 58htg%HF!c. To use this password on different sites, you add a site-specific item to the beginning, so that you have passwords like: facebook58htg%HF!c, wellsfargo58htg%HF!c, or gmail58htg%HF!c, you can bet if I hack your facebook and get facebook58htg%HF!c I am going to see that pattern and use it on other sites I find that you may use.
It all comes down to patterns. Will the attacker see a pattern in the site-specific portion and generic portion of your password?
Egy másik Superuser közreműködő, Michael Trausch elmagyarázza, hogy a legtöbb esetben a hipotetikus helyzet nem aggodalomra ad okot:
To answer the last part first: Yes, it would make a difference if the data disclosed were cleartext vs. hashed. In a hash, if you change a single character, the entire hash is completely different. The only way an attacker would know the password is to brute force the hash (not impossible, especially if the hash is unsalted. see rainbow tables).
As far as the similarity question, it would depend on what the attacker knows about you. If I get your password on site A and if I know you use certain patterns for creating usernames or such, I may try those same conventions on passwords on sites you use.
Alternatively, in the passwords you give above, if I as an attacker see an obvious pattern that I can use to separate a site-specific portion of the password from the generic password portion, I will definitely make that part of a custom password attack tailored to you.
As an example, say you have a super secure password like 58htg%HF!c. To use this password on different sites, you add a site-specific item to the beginning, so that you have passwords like: facebook58htg%HF!c, wellsfargo58htg%HF!c, or gmail58htg%HF!c, you can bet if I hack your facebook and get facebook58htg%HF!c I am going to see that pattern and use it on other sites I find that you may use.
It all comes down to patterns. Will the attacker see a pattern in the site-specific portion and generic portion of your password?
Ha aggódik amiatt, hogy az aktuális jelszó-lista nem sokszínű és eléggé véletlenszerű, javasoljuk, hogy ellenőrizze az átfogó jelszavas biztonsági útmutatót: Hogyan térjünk vissza az e-mail jelszó elhárítása után? A jelszólisták átdolgozásával, mintha az összes jelszavának anyja, az e-mail jelszava veszélybe került volna, könnyen el lehet gyorsítani a jelszó portfolióját.
Van valami a magyarázathoz? Hangzik ki a megjegyzésekben. Szeretne többet válaszolni a többi technikus-tudós Stack Exchange felhasználóiról? Nézze meg a teljes vitafonalat itt.
