Topic: [Инструкция] Как создать надёжный пароль - page 2. (Read 904 times)

Практически любой пароль будет надежный, если ты никому не будешь разглашать свои данные, хотя бы ту же почту или логин...

Евро я просто не афиширую от чего пароли. Деньги любят тишину.
Висит себе бумажка с 30 абракадабрами и висит. Никому нет дела.

Надеюсь, что эта сумма в рублях

В принципе, каждый выбирает сам для себя способ хранения паролей. Но могу сказать, что во многих вещах - лично я расчитываю вероятность того, что какое-либо событие произойдет иле не произойдет, это очень давняя привычка, уже многое происходит на автомате.

Так вот в схеме со стикерами - достаточно одного человека, который понимает о чем идет речь. Примером тут будут автомеханик с 20-и летним стажем, который определяет проблемы в машине по звуку, игрок в бильярд, который может определить уровень соперника до начала игры, только по стойке и мосту соперника.

Так и здесь. Один человек, который знает на что смотреть - и надо то всего-лишь сделать несколько фотографий. И то, что до сих пор такого человека не было около монитора со стикерами - только увеличивает вероятность его появления в будущем.

И да, 2FA не является лекарством от всех болезней.

Тут это... в англоветке забавная картинка проскочила, не смог обойти её стороной))
В общем, если ломаете голову над тем так где же всё таки лучше хранить пароли/ключи и прочую лабуду - китайцы всё придумали за Вас))



Зубами правда пожертвовать придётся, но зато - весьма оригинально)

p.s. Ссылка на оригинальный пост

Размер риска - 4-х значная сумма 
У меня на мониторе желтый большой стикер с примерно 15 паролями и вокруг в основном женский коллектив, которому до крипты нет дела 

Зв пароли и их простоту/сложность не переживаю, тк везде еще стоит 2FA

А это смотря насколько сложные пароли. Если это короткий, до 16-и символов, со словами и цифрами - то вопрос сразу, сколько же таких паролей способна запомнить голова? Причем, с условием - не каждодневного использования, а где-то раз в месяц.

5-10? 10 уже будет очень серьезным показателем. Только такие пароли достаточны просты, а случайный набор при генерации KeyPass-ом, да еще и символов в 36 - врядли может запомнить даже самая светлая голова, особенно при условиях, которые написаны выше.

А в открытости бумажки с паролем - есть и минусы. Одно дело, когда на него смотрит уборщица и совсем другое дело, когда на такую бумажку посмотрит человек хотя бы с минимумом знаний. Он-то знает на что смотреть.

Хотя каждый расчитывает риски для себя. Возможно просто нечем рисковать

Stanford PwdHash: https://crypto.stanford.edu/pwdhash/

Также можно скачать страничку и пользовать офлайн: https://pwdhash.github.io/website/

Ламинировать не дело, ведь на бумажку надо будет добавлять новые пароли

Бумагу можно обновлять, переписав пароли. Так заодно пароли и запомнятся.

Третье лица будут интересоваться бумажкой только в том случае, если будут целенаправленно рыть в этом направлении. У меня на работе (опен спейс) на мониторе приклеен стикер с паролями. Годами я его обновляю (банально отклеивается) и никто не позарился на него. Ни коллеги, ни уборщицы, ни какие-нибудь наемные мойщики окон.

Бумага не долго живет, если брать десятилетия. Пароль может выцвести, бумага на солнце может пожелтеть, а в сырости - буквы могут расплыться.

Заламинировать подобную бумагу - как один из возможных вариантов, но возникает вопрос в трнаспортировке. Когда дома с такой бумажкой - все легко и хорошо. Но вывозить ее через границу, при возможном личном досмотре - уже будет проблемой, так как к ней могут получить санкционированный доступ.

Да и хранение дома подобной бумаги - ничем не защищено от третьих лиц.

Поэтому каждый решает для себя, какой способ защиты информации ему лучше всего. Есть мнение, что шифрование всего и несколько копий в разных местах - очень хороший способ хранения. Потому что сложно поверить в то, что несколько крупных сервисов, например при хранении в облаке - накроются одновременно.

Это можно проверить в том же KeePass. К примеру, возьмём 256-bit пароль, состоящий из 64 символов (цифры, буквы, спецсимволы):


Стойкость такого пароля 393 бит.

Теперь возьмём такую же по длине фразу из вашего поста:


Стойкость такого пароля составляет 812 бит.

Возьмём перевод ваших слов на английский:


Стойкость такого пароля составит 248 бит.

Переведём на экзотику, например, на китайский (это всё те же 64 символа):


Стойкость такого пароля будет аж 1024 бит.

Делаем выводы

Не знаю правда или нет, но где-то читал, что пароль составленный из нескольких отдельных слов гораздо надежнее, чем пароль, в котором все знаки идут подряд, даже если эти знаки представляют собой смесь букв, цифр и спецсимволов. Кто может подтвердить или опровергнуть?

Записывай на бумажку пароли, если не хочешь нигде сохранять на сайтах/программах. Такой "носитель инфы с паролями" уж точно никто случайно не украдет и не подсмотрит.

Хорошая тема. Я конечно не сторонник различного софта для паролей, порой даже и гугл хрому не доверяю и не сохраняю пароль. Хотя источников где зарегистрирован очень много и поэтому приходится порой использовать один и тот же пароль на несколько сайтов. Согласен, что не безопасно, но что поделать. А советы топ) теперь буду знать как надо создавать сложные пароли)

Как вы думаете, что в первую очередь ищет вирус забравшийся на ваш компьютер? Конечно же ваши пароли.
Как вы думаете, есть ли в алгоритме вируса задание искать наиболее популярные программы по хранению паролей?
В программы по генерации паролей можно внедрить троян, который также может транслировать ваш пароль кому нужно. И внедрить его могут не только в дистрибутив программы, но и при заражении компьютера вирусом. Поверьте, даже самый крутой антивирус, с регулярно обновляемыми базами не дает 100% защиты вашего компьютера от вирусов и троянов.


Для хорошего пароля нужно всего вот это: буквы нижнего и верхнего регистра, символы по типу %;@#$!*& и т.д. и цифры. Комбинация должна иметь как минимум восемь букв/цифр/символов, но чем больше тем лучше. Желательно чтобы пароль не имел никакого логического значения типа Alex1974 и т.д.
Хранить пароли лучше в записной книге. Если хотите их хранить на компе, то лучше записать на бумаге, сфотографировать и уже как jpeg хранить на компе или флешке (естественно, название должно быть нейтральным). Ни в коем случае не храните пароли в файлах с текстовым расширением - в случае взлома компьютера ищут прежде всего в них. Я понимаю, что удобнее всего копировать из текстового файла в поле ввода, но это не безопасно.

И еще никогда не используйте один и тот же пароль для различных аккаунтов.

Можно пойти путем он-лайн шифрования, можно самому придумать свой алгоритм шифрования.

Тут какие- угодно схемы могут быть. Однако, если говорить про выбор программы, которая способна и хранить и генерировать сложные пароли, то практически в любом случае можно придти к известным, много лет работающим open source инструментам.

Полный список (да, эта тема в Разном) #ShareATool

И среди этих инструментов - существует менеджер паролей, достаточно долгое время. KeePassXС

Открытый код - значит его проверяли, причем скорее всего не один человек. Думаю, что понятно - что даже при намеке на опасность использования, этим менеджером бы никто не пользовался, и было бы огромное количество ссылок и статей. Но этот менеджер существует и работает. И работает не в он-лайне.

Следующий неплохой инструмент - это PGP-шифрование PGP Подпись - Шифровка / Дешифровка сообщения

Зашифровав свой пароль в блокноте, например - никто не сможет расшифровать, без доступа к ключу. Тоже хороший инструмент, тоже в списке.

Каждый выбирает сам, танцевать ли при помощи он-лайн шифрования, выбрать свой алгоритм, либо использовать инструменты. Скажу только, что любой алгоритм пароля не имеет значения, если полученный пароль будет в 8 симоволов. Все комбинации из 8-и символов могут подобраться достаточно быстро. И с каждым годом - все быстрее и быстрее.

ps: Не надо верить - изучайте и проверяйте самостоятельно.

Вполне имеет место быть, но есть пара моментов в которых я немного не догоняю.

1. По хорошему можно тогда с "первоначальным" паролем и вовсе же не загоняться?
Какой смысл использовать ded_mazay123 (хотя сложного в его запоминании и ничего нет), когда я могу использовать хоть свой ник с форума... а там уже попробуй догадайся сколько раз я его шифровал и в каком порядке и какими алгоритмами. ИМХО - без вариантов.

2. Второй момент, пожалуй самый главный.
Шифровать онлайн? ок, можно, только насколько это безопасно? я думаю не очень, от слова совсем.
Другое дело искать альтернативу, какую-то незамысловатую прогу?! Вопрос открыт, Ваши мнения.

---

Ты можешь не беспокоиться за свою безопасность, такая логика никому не по зубам 

Когда регистрируешься на нескольких сайтах, то да можно придумать сложный пароль и запомнить его. Но что делать, когда региструиешься на десятках или сотнях.
Я использую метод личной формулы, которую сам для себя придумал. И такую формулу использую для создания пароля.
По хорошему она должна иметь разную сложность для разных сайтов.

К примеру мы регистрируемся на сайте pepa.com

1. Сайт на котором вы регистрируетесь начинается на согласную. pepa.com
Значит пароль будет начинаться на имя вашего лучшего друга детства. - Гена
2. Вы вспоминаете в каком месяце у него день рождения - Апрель. Четвертый месяц.
Адрес сайта состоит из 4х букв, значит прибавим к апрелю 4 и получаем 08.
3. Далее сайт заканчивается на гласную А  - это значит, что надо записать имя своей первой девушки (Лена), заменив все согласные на эту гласную. И получаем Аеаа

...
получаем пароль: Гена08Аеаа

Каждый может придумать для себе эти правила. Стоит лишь подключить фантазию. Но главное установив эти правила, не лениться их применять. По началу сложно. Но потом ты с легкостью заходишь на разные сайты со своим уникальным паролем с регулируемым тобой уровнем защиты.

Может это и немного бредово выглядит, но мне нравится)

еще один интересный способ
   источник
копипаст! очень уж заинтересовало ваше мнение.

Сегодня я попытаюсь донести до вас свою схему создания уникальных сложных и легкозапоминаемых паролей. Думаю, многие из вас скажут, что хороший пароль - это как минимум 20 символов никак не связанных друг с другом и запомнить его невозможно, тем более разные пароли для каждого сервиса.
Но! Сейчас я вам покажу как мы будем использовать сложные уникальные и легкозапоминаемые 64-значные пароли, разные для каждого сайта и сервиса.
Итак, приступим:
1. Для начала мы придумаем пароль, который мы можем вспомнить даже если разбудить в 3 часа ночи.
Пусть это будет ded_mazay123. Это один из двух пунктов, который нам нужно запомнить.
2. Далее мы хэшируем наш наш пароль в одном или нескольких (что лучше) алгоритмах шифрования (Например: sha256).
Переходим на сайт https://2ip.ua/ru/services/useful-service/text-encryption или любой другой. Я выбрал именно его, т.к. здесь все собрано в одном месте и не нужно переключаться между вкладками, когда хешируешь в разных алгоритмах.
Итак, вводим свой пароль, выбираем алгоритм шифрования и, собственно шифруем наш пароль

В итоге имеем уже не такой простой 64-значный пароль. Но мы на этом не остановимся и пойдем дальше.
3. Берем наш получившийся хеш и шифруем уже его и получаем, так скажем, хэш хеша.

Далее, наш получившийся хеш зашифруем в другом алгоритме sha512

В принципе этого будет достаточно и мы имеем 128-значный пароль, но не всегда сервисы примут такой пароль. Иногда стоит ограничение на длину пароля.
Шифранем наш 128-значный хэш еще раз в sha256

Итак, что мы имеем в итоге?
Мы имеем уникальный сложный пароль, состоящий из 64 символов, который, в случае чего будут брутить вечность. При этом у нас есть ассоциация этого пароля с нашим, который мы придумали вначале.
Т.е. вся суть в том, что мы запоминаем простой пароль и, главное запоминаем алгоритм хеширования нашего пароля. В моем случаем это выглядит так "ded_mazay123" => sha256 =>sha256 => sha512 => sha256.
Итог: сложный, уникальный и при этом легко запоминаемый пароль, который будет очень проблематично сбрутить.
Теперь перейдем к главной теме. Устанавливаем уникальные пароли для каждого сервиса.
Для этого мы опять же используем наш легкий пароль, при этом мы добавляем наш сайт перед паролем ([сайт][пароль])
Для wwh это будет wwh-club.netded_mazay123, для почты [email protected]_mazay123 и т.п. Наш шаблон мы можем создать как угодно, главное его запомнить.
И дальше по нашей схеме выше мы хэшируем наши пароли по нашим алгоритмам

И дальше по шаблону "wwh-club.netded_mazay123" => sha256 =>sha256 => sha512 => sha256
Напомню, шаблон мы придумываем сами. Хоть 10 раз в sha512 и 15 раз в sha256.
В окончательном итоге мы имеем схему создания нашего сложного пароля на основе легкозапоминаемого пароля и алгоритма прогонов этого простого пароля. При этом у нас будет уникальный пароль для каждого сервиса.

Тут есть большая разница. Между школьником, который начитался форумов и скачав пару инструментов, начал ломать пароли и взрослым дядей, весь рабочий день которого связан с тем, что надо "угадать".

Вот во втором случае - прорабатывается огромное количество вариантов, причем к этим вариантам уже добавлен анализ основных баз паролей, которые выкладываются после взломов. И именно оттуда формируются основные схемы подбора.

После того, как кучу лет говорили людям отовсюду, что не надо использовать цифры дня рождения в пароле - люди стали изобретательнее, но природная лень помогает добавлять пару знаков в середину, пару цифр в конец и такой пароль считается защищеннным, хотя это совсем не так.

Первое - это определение ценности информации по категориям и возможный ущерб от потери такого пароля. И одно дело, когда взлом пароль от сайта с кулинарными рецептами и совершенно другое дело, когда уходит пароль от важной почты.

Поэтому, можно 50-символов в кодировке влепить на кулинарию, зашифровать и записать в КейПасс. Но насколько это целесообразно?
И отсюда - стоит думать, как человек, задача которого взломать ваши пароли. То есть, получив данные к этой почте - можно получить - это и вот это. Если это спокойно можно потерять - то здесь уровень безопасности один.

И по поводу привязки паролей с пинкодами - к почте. Почта - всегда один из не очень надежных инструментов, поэтому я бы не стал использовать ее, как единственный способ и доступ к паролю. Даже при сложных схемах.

Вот хороший комментарий на этот счёт из англоветки с подробным разбором, как 4 простых случайных слова в 1 трлд раз превосходят на первый взгляд довольно сложный пароль.

---

Спасибо, занятно, на досуге обязательно почитаю Ваши мысли.