Silne, bezpieczne loginy/hasła

Cześć. Tak się zastanawiam nad kilkoma sprawami. Robię sobie drobną rzecz, akurat jest z tym związane kilka loginów, haseł i baza danych.

Zawsze login czy nazwa czegoś, np bazy danych była u mnie taka standardowa, jakieś słowo, które mi się z czymś kojarzy, ale teraz naszła mnie taka myśl, że czemu by nie nazwać bazy danych, potrzebnych loginów taką kombinacją znaków jak hasło, czyli zazwyczaj ok. 20 liter różnej wielkości, znaków specjalnych czy cyfr. Wiem, że pewnie taka nazwa bazy nic mi nie powie na pierwszy rzut oka, ale skoro i tak ja będę miał do tego dostęp, to może warto ze względów bezpieczeństwa? A może chociaż nie tyle nazwę bazy danych, tylko login i hasło.

Robicie pokręcone loginy jak hasła, czy ograniczacie się tylko do haseł?

Jeśli login ma 10 znaków i hasło ma 10 znaków, to żeby złamać całą parę, trzeba brute forcem mielić praktycznie tyle samo, co przy 20 znakowym haśle.
I tak coś bardzo pokręconego sobie gdzieś zapiszesz i co wtedy? Login zapiszesz na telefonie, a hasło na tablecie?
Potem sobie zapomnisz co do czego i gdzie... Chyba, że odpowiednio nazwiesz pliki. Ale odpowiednio nazwane pliki od razu mówią potencjalnemu włamywaczowi, do czego te dane służą...

Ja bym się w to nie bawił, ale przyznaję, że taka "para haseł" trochę zwiększa bezpieczeństwo. Może nie dokładnie tak jakbyś chciał, ale zwiększa. Tylko trzeba je odpowiednio przechowywać, co zmniejsza wygodę.

Nie polegałbym na loginach i nazwach. Są systemy gdzie można wyciągnąć loginy i bazy bo nie są chronione jak hasła. Lepiej zrobić długie opisowe hasło niż kombinować z loginami i ścieżkami, które często nie są chronione. Lepsze też długie hasło z samych liter niż krótkie z wieloma znakami i cyframi.

skoro i tak ja będę miał do tego dostęp, to może warto ze względów bezpieczeństwa?

Nie, nie warto - patrz: security by obscurity.

1. Bez sensu, bo będzie tylko powodować problemy z utrzymaniem tego, bo albo non stop będziesz musiał sprawdzać "która to baza" albo "który to jest user", albo to obkomentujesz, efektywnie niszcząc twoje "zabezpieczenie"

2. Co więcej, z punktu widzenia bezpieczeństwa to nie ma żadnego znaczenia. Nikt nie brutuje loginów, nazw baz danych czy naz tabel tylko wyciąga te informacje z konfigów albo z samej bazy z jakiegoś information_schema czy sqlite_master czy analogicznych tabel dla innych baz.

To brzmi trochę jak pomysł pisania obfuskowanego kodu z jakimiś jednoliterowymi nazwami. Tobie utrudni życie i sam nie będziesz wiedział co się dzieje w kodzie, a komuś kto chce twój program złamać nie zrobi to absolutnie żadnej różnicy, bo i tak jest przyzwyczajony do rewersowania binarek bez symboli :)

Czy takie hasło jest łatwe do złamania?
$$$Ania22z44Zielonego88M0rza$$$

Nazwa książki/filmu z zmienionym słowem, dodanymi znakami specjalnymi i cyframi.

Czy takie hasło jest łatwe do złamania?

https://xkcd.com/936/

Jeśli nie używasz menedżera haseł, to i tak nie zapamiętasz nic ponad $$$Ania22z44Zielonego (czyli pragmatycznie: będziesz miał krótkie, trudne do zapamiętania hasło).

Jeśli używasz menedżera haseł, to równie dobrze możesz losować sobie dowolne hasła, w tym takie bajeranckie jak
xJhWZQUwKzhLwikSY9W96qmX2Az6omekw6gBKR9T (bez potrzeby kombinowania z tym, jak zrobić je czytelniejsze).

PanKrakers napisał(a):

Zawsze login czy nazwa czegoś, np bazy danych była u mnie taka standardowa, jakieś słowo, które mi się z czymś kojarzy

A później wystarczy odpalić słownik, najlepiej z sortowaniem frekwencyjnym i fru.

https://linux.die.net/man/1/pwgen

pwgen -nys 16
r"#[fY!$N,a5MQ24 o1Z+`=!tLfIPiU$, J{9\$w/2a%L.^mOJ $-;#B4598q!%,JOk
%586Y!hr324ih|w6 q*[_[P~!REuG6'3Y {;RT+?/}tl:VC8~> i;?2\\agAdC<iqOc
8wg|:]*iFbuvW)nV h^wFl1hEq?:*qy8a ynwO-+v2Ue=k!p&2 Yejt{j}5i=Z2Cgph
of9px~me9jS3!Ln6 "ds/a4njgAFn>5\" BK2\o>6{.:a]TQWv Y!Q}=5n#8n)ikp6\
\?Yu6swL1JxP5&0. Ql\ZN:!it1KaY8Fm Qp)u6{<0)v}ksv|; NAe+l"&3~Zq6qS;D
+4}O_).Yvt3Z@ul& :5s2Sh<.FrX6(t[> Oz75x3`G%^^Nq:Fk Pcs3nNF)3mF_EeIZ
]|w[?W!BGvH[2V?- P15DYqI)J~7\E*zw ;zz67jV{ajNhi-5/ /P/Zt3AKp-!T'Ujo
zohsu?)u:M+p{9o1 ZaYpJfE82UM7OjG& gdbw^)6:/j.*&}"L u4u+F!Iym,2Ar'I\
>MQN#Ix%U2Y~]D>K ZY<v.RoM({3]ccp} ?]^XO6gY0Q'*$KW( ~b\\|xbeyd'a9sB5
QXIbh#rc@qTp\a5N ;>_R7vA#~Vf/]73D g^tUH&QjD?^qg0gH 1T.|t1nQMP$>|[H]
S9YEv'78G/:n0:te &5I6<kI`XzJHn(2] ~+&8UwgoGW~5g+zC J+XQ6kfx~jh/`1j|
LbI)sBz3*l2#nJ.w %VU%W7<6d.:;*qFO 4+L||#~yMN"lf$sB `]qG^er?6=`5a]NP
GXP!DW'rQN+1}?_@ 2!uv&~2lQVrq(m]s &c9|$VS|y$}a%BX) Yh2|j#z-QWF,kel8
Uv|rIoAHl669s[0v hZiLZ6)2T=A]/lGr NL5z4Qu9E<P-u;za UQw5$CFdCtsg#EeN
y}ZuU^Z9BTDu<\FQ OR@+ysG$bi75k&5R o6l='L6dL+0WZe:3 elzjW**75&GNS`cg
,I5PrJ7jLpfmmVk= Y0XmPTXY*2=3s#:f tIL/S9BJ$9"iskFy a<$19QHb>ywTCb&}
Vx\^M6b~?"PBI"(z k5y$?^YKKH,('`P0 Im-b1y2>]lBdz*fr Q>qX>0`QSZ,wumRp
&@X\t1Ima=S)b8D2 g1F6%g0n"I9hRZPG ;\N4|}yKj'o+G>V8 EX?)puA6,oe1Vl4A
|9z[Tz;g}k_-`WH= 9R#uGu0V7JY.R<Gp d1Z6FGd[s9JY4g[I AtWFI?K3I<UB@jwr
85wFAMpi<cQWux6G @3mu~;<IF+nm2Ci8 :hP0wf^-Um+A2#^q &~7TeV0}GfNN^Bf\

Wybieram jedną z propozycji haseł.

Zapisuję hasło w jednej chmurze z indeksem
W drugiej chmurze zapisuję do czego to logowanie z indeksem

Loginów kilka, jeden do finansowych, drugi prywatnych, trzeci it prywatnie itd

Listy w chmurze nie są długie bo nie odczuwam potrzeby paranoicznego logowania się super bezpiecznie do wszystkiego.

Gdzie się da (np. GitHub) loguję się SSH parą kluczy.

Kristof napisał(a):

Czy takie hasło jest łatwe do złamania?
$$$Ania22z44Zielonego88M0rza$$$

Nazwa książki/filmu z zmienionym słowem, dodanymi znakami specjalnymi i cyframi.

To nie jest zbyt dobre hasło, łatwo złamać słownikowo. Szczególnie jeżeli ktoś jest sfokusowany na ciebie.