Czy 5-cyfrowy PIN jest lepszy niż większość haseł?

Należy pamiętać, że złośliwy użytkownik z 3.000 prób może skutecznie zablokować 1.000 kont w ciągu kilku minut. Inną rzeczą jest to, że może zmienić szanse na jedno udane logowanie, próbując tysiące różnych kont dziennie. Czy OpenID nie wchodzi w grę?

Update

4 letters all lowercase (26^4 = 456.976) => abcd
3 letters with mixed cases (52^3 = 140.608) => aBc
3 letters lowercase + numbers (36^3 = 46.656) => ab1

Hasła z solonymi hashami są najlepsze. Sól zapobiega większości ataków tęczy, a hasło jest znacznie trudniejsze do brutalnej siły. Nawet przy ataku słownikowym łatwiej byłoby uzyskać szybsze trafienia na 5-cyfrowy pin niż na hasło o podobnej długości.

Uwaga na obsługę Sesji

Nie wiem zbyt wiele na temat obsługi sesji, ale z tego, co wiem, większość czasu jest robiona przy użyciu plików cookie. Gdy masz taki schemat jak Twój, konieczne jest zapisanie fałszywych prób do bazy danych lub do specjalnych plików na twoim serwerze, ponieważ nie możesz polegać na obsłudze sesji (w Twoim opisie brzmi to trochę, ponieważ po prostu możesz "przytrzymać sesję", aby mieć całą prawdę...) -- ponieważ sesje przez internet są bardzo podatne. Jest to tylko konstrukcja plików cookie (które można usunąć) i/lub nazw stron (te również mogą być skażone). Jedyną rzeczą, na której możesz polegać, jest to, że użytkownik nadal utrzymuje sesję - tak naprawdę nie możesz zidentyfikować, czy jakieś (płynnie) nowe połączenie nie jest twoim starym użytkownikiem ...

W szczególności nie ma sensu różnicować między "Użytkownik ma wciąż sesję" a " użytkownik przerywa sesję "(twój punkt 7) jest to po prostu zaniedbana różnica i może również stać się zabezpieczeniem dziura.

Zapamiętywanie nie jest tak naprawdę łatwiejsze

Mówisz też, że zapamiętanie 5 cyfr jest łatwiejsze. To może być odpowiedni dla twojej karty kredytowej lub karty bankowej (w Niemczech mamy 4 cyfrowe piny) numer bezpieczeństwa, ale w przypadku stron internetowych zawsze masz problem, że te wiele stron internetowych ma hasła. Zapamiętywanie dziesiątek 5 cyfr jest tak trudne jak mnóstwo haseł.

Nadal nie rozumiem, dlaczego ludzie w ogóle ograniczają długość haseł. Czy nie byłoby mi łatwiej zapamiętać zdanie lub zdanie? Na przykład mogę chcieć, aby moje hasło brzmiało " this is my stackoverflow password". Miałbym poważne problemy z pamięcią, gdybym o tym zapomniał. Jego długość wynosi 34 znaki i używa tylko alfabetu 27 znaków, ale nadal byłoby zasadniczo niemożliwe odwrócenie hasha (4,6 x 10⁴⁸ możliwe permutacje).

W połączeniu z Twoimi pomysłami dotyczącymi "flagi ataku" i odpowiednie techniki solenia/mieszania, byłoby to moim zdaniem idealne rozwiązanie.

Prawdziwy problem? Osób.

Znam okręg szkolny z 4 hasłami: 1111, 2222, 3333 i 4444. Dlaczego? Użytkownicy zebrali się i zgodzili się to zrobić, aby zawsze mogli dostać się, gdy personel był w domu chory. Zbyt wiele bólu, by dostać się do zamkniętego komputera z pieniędzmi na lunch, gdy pracownik lunchu był chory.

O tak, widziałem komputer bez opieki wiele razy. I tak, możesz poprosić o zamianę salda na gotówkę w dowolnym momencie.

Użytkownicy są szaleni.

Zgodnie z tą logiką, Jeśli 5 cyfr jest łatwiejsze do zapamiętania niż 8 znaków, ale zawiera wystarczającą entropię,to jedna cyfra i trzy małe litery powinny być łatwiejsze!

10**5 = 100,000
26**3 * 10 = 175,760

Teraz tylko cztery małe postacie, ale one przekazują więcej entropii!

Zaproponowałem schemat podobny do Twojego w przeszłości, ponieważ widziałem wiele przypadków, w których użytkownicy po prostu wypisują hasła na kartce samoprzylepnej obok monitora, powołując się na współudział jest zbyt trudne do zapamiętania. Twierdziłem, że hasła nie mają większego znaczenia, ponieważ haker jest bardziej skłonny znaleźć inne dziury w systemie, czy to za pośrednictwem aplikacji, czy po prostu przez trochę inżynierii społecznej.

Myślę, że niektórzy ludzie, zwłaszcza menedżerowie techniczni, którzy nie do końca uchwyć to, co mówisz, jak poczucie bezpieczeństwa. Duże skomplikowane hasło wydaje się silne. Jak gwarancja na pudełku, to sprawia, że czujesz się dobrze. Coś jak Zębowa Wróżka

"Tommy: skąd wiesz, że Zębowa Wróżka nie jest jakimś szalonym wąchaczem kleju. "Budując modele samolotów" - opowiada. Nie kupuję tego. Raz zakrada się do Twojego domu, to wszystko. Zanim się obejrzysz, stracisz pieniądze z szuflady, a twoja córka zapukała. w górę."

Ostatecznie, chociaż proste hasło, takie jak pin, może zostać złamane lub odgadnięte za pomocą popularnych kombinacji, i nie czuje się bezpiecznie. Pin w połączeniu z RSA SecurId jest tym, co wszyscy byliśmy w stanie uzgodnić.

Piny vs hasła, hasła wygrywają, nie idealne, ale z silną Polityką, o wiele lepsze niż piny.

A kto powiedział, że wiele osób nie piszą swoje piny na kartkach samoprzylepnych, to łatwiej dla wielu zapamiętać kombinację słów niż 5-cyfrowy numer, osobiście pamiętam numery najłatwiejsze, a więc moje hasła są bardziej numeryczne niż Alfabetyczne.

Myślę, że łatwiej będzie zapamiętać " hasła biją piny każdego dnia!", który wytrzyma atak brutalną siłą przez jakieś 400 bilionów lat.

Jako takie poleganie na blokadzie dla bezpieczeństwa jest złym doświadczeniem użytkownika i może prowadzić do zablokowania kilku kont przez atakującego, co prowadzi do niedogodności dla prawdziwych użytkowników. Zamiast tego używaj silniejszych haseł z solonym Hashem, które są trudniejsze do złamania przy użyciu brutalnej siły i nie są podatne na ataki Rainbow table, jeśli wybór jest między pinem a hasłem. Jeśli wybór należy do hasła, Hasła i kodu PIN. Polecam przejść z hasłem, a następnie hasło, a następnie PIN w malejąca kolejność preferencji. Hasło (>10 znaków) jest zwykle bezpieczniejsze niż hasło (od 6 do 8 znaków), ale nie zapewnia dużego doświadczenia, ponieważ użytkownik musi za każdym razem wpisywać hasło (>10 znaków)!! Dokonaj wyboru na podstawie tego, jak wrażliwe są dane i jak dobre jest doświadczenie użytkownika, które chcesz zapewnić. Chwileczkę.. Poznaj nowy obszar uwierzytelniania bez hasła za pomocą urządzenia mobilnego jako uwierzytelniania.

Eksperymentuję również z pinami a hasłami. Zależy to od ogólnego bezpieczeństwa aplikacji, którą próbujesz zbudować, ale hasła zazwyczaj wygrywają za każdym razem, jeśli włączysz pewne sprawdzanie bezpieczeństwa hasła. Rozumiem, że dobre hasło, które ma co najmniej 14+ znaków, może być nawet lepsze niż" typowe " hasło. Pozwala to ludziom wpisać coś, co łatwo zapamiętają, ale coś, co może być trudniejsze do powtórzenia w ataku. Tylko czysta liczba z postaci sam sprawia, że trudno się złamać.

Jeśli połączyłeś hasło z powyższym podejściem do blokady, możesz mieć bardziej bezpieczny system.

Kolejnym czynnikiem do rozważenia jest łatwość wejścia. PIN jest prosty do wprowadzenia szybko na klawiaturze numerycznej, jak przejść do wielkiej złożoności łatwość wprowadzania kropli. Łatwość zależy od urządzenia. Na standardowej klawiaturze z klawiaturą dotykową mogę łatwo wprowadzać Symbole i UC. Na smartfonie trudno mi wprowadzić małe litery Alfabetycznie niezawodnie i symbole są trudne i powolne, aby wprowadzić, ponieważ klawiatura jest mniejsza. Pin numeryczny jest szybki do wprowadzenia, a ja pamiętam i wpisuję długi sekwencja cyfr łatwo. Ludzki obserwator łatwiej chwyci hasło, jeśli wpis jest powolny i używa nietypowych ruchów, które oddają to, co jest wprowadzane.

W skrócie trzeba wziąć pod uwagę nie tylko złożoność hasła i sposób jego przechowywania, ale także łatwość utrzymywania go w tajemnicy i łatwość wprowadzania.