"Что это было?" или "Люди, не используйте простые пароли"

[@akira]

Главное, что бы вы их не хранили открыто :)

[@Shoohurt]

Все пароли захэшированы. В данном случае имел место брутфорс: злодеи вычисляли аккаунты с простыми паролями и в дальнейшем использовали их по ночам для прокачки виртуалов и топиков.

[@kabachok]

А с самим ВебЧелом что? он виноват?

[@AlexKuk]

Ответ на этот вопрос мы узнаем в следующей серии

[@enartemy]

… после рекламной паузы :-)))

[@maxshopen]

Если пароли хранятся в захешированном виде — то как узнали, что они простые? :)

[@kabachok]

захешировали простые пароли и сравнили с паролями пользователей

[@uranik]

Пароль то не просто хэшируется а обычно секретное слово+пароль=хэш, а не зная секретное слово сравнивать трудновато…

[@kabachok]

я думаю разработчики-то знают секретное слово?

[@egorinsk]

словари))

[@maxshopen]

ну то есть брутфорс, только внутрикорпоративный :)

[@angry_elf]

Самое банальное — логи апача на предмет брутфорса.

[@mykir]

ёмаё… до чего жизнь докатилась: «по ночам для прокачки виртуалов и топиков».

[@0lympian]

дауж… воистину бестолковое времяпровождение :)

[@kurokikaze]

Это как раз можно автоматизировать. Даешь id топика — и в назначенное время весь ботнет дружно нажимает плюсик (или минус).

[@Arwen]

Эх, казалось бы, главное русскоговорящее сообщество гиков, и пароли вида 123456 и qwerty. ;)

[@kabachok]

многие регнулись ради интереса, вы в таких случаях думаете над паролями?

[@Arwen]

А как же. Я их для всех сайтов длинные и сложные генерирую и выдумываю.

[@kabachok]

да шутишь наверно )

[@Arwen]

Когда я шучу и улыбаюсь, я расставляю смайлики. Вот так. :)

Так что совершенно серьёзно. Побольше паролей хороших и разных. Первое время правда делаю из всех сервисов логаут, чтобы почаще вводить, и руки сами запоминают расположение букв на клавиатуре.

[@kabachok]

ну ладно, верю :)

[@nps]

Еду учуял? Сиди на диете, и так откормленный ;)

[@kabachok]

вот таких нужно банить

[@enartemy]

Нифига! Этож национальная достопримечательность! :-))) А вам лишь бы забанить кого-нибудь… :-))))

[@no_smoking]

Ага -50 кармы и в аут. А то все настроение портят :). По любому это вертуал ради развлечения.

[@Kastrulya]

ну тут палка о двух концах… когда коммент, допустим, не понравился, то минусуют(карму) очень охотно, а вот если понравился, то плюсуют сам комментарий, а до кармы лень тянуться, так что одна небольшая ошибка небольшая утопить по уши, а всплывать будет оочень трудно…
а заминусовать могут и тролли и боты(недавно ведь было что-то подобное..), и тогда вполне адекватный человек вылетит…

[@Kastrulya]

"… небольшая ошибка небольшая утопить по уши..." следует читать, как «небольшая ошибка может утопить по уши,»

[@no_smoking]

Но нужно ведь как то это регулировать. А если забанят адекватного человека то через администрацию я думаю не составит труда восстановится :)

[@GuessWho]

Вы, юноша (или кто вы там на самом деле), не тролль, а просто туповатое быдло.

Тролль — это не человек, умственно испражнившийся комментарием в духе «Ды вы долбоебы» и истерично дрочащий на количество минусиков к нему. Тролль — это такая, не лишенная немалого, но по-своему извращенного ума, личность, которая может уязвить другого так, что тот начинает с ним на полном серьеёе, бурно и отчаянно спорить, агрессивно доказывать свою правоту, яростно оправдываться и выставлять себя еще большим дураком, чем является на самом деле. При этом жертва обычно даже и не догадывается о том, что её троллят.

Так что гордится вам, как бы ни хотелось потешить своё ЧСВ, увы, совершенно нечем.

[@Bahusss]

Ггг, небыдло, ознакомьтесь с lurkmore.ru/%D0%9D%D0%B5%D0%B1%D1%8B%D0%B4%D0%BB%D0%BE и вот ещё почитайте lurkmore.ru/%D0%A2%D1%80%D0%BE%D0%BB%D0%BB%D1%8C

[@GuessWho]

Не надо тыкать меня в лохоморье. Я терпеть не могу русскоязычных анонимусов и всё, что ими сотворено в целом. В особенности я презираю анонимусов-ньфагов, с пеной счастья у рта бравирующих собственной исключительностью и знанием говномемов и клёвеньких статеек из люрка.

И да, сам я быдло и ещё какое. Единственное, что меня отличает от основной массы окружающих меня — это способность признать своё собственное несовершенство.

[@Bahusss]

О, я смотрю у вас богатый внутренний мир.

И да, всё же вы небыдло, ибо сложно представить как быдло называет другого человека быдлом (да еще и туповатым). Не верю!

[@GuessWho]

Если бы я назвал его туповатым мудаком, это многое бы изменило? Не понимаю и не желаю понимать всей этой горы идиотизма, нагроможденной вокруг слова. Для меня оно — лишь один из множества способов сказать человеку что-то неприятное.

Всё, еда кончилась.

[@GuessWho]

Привет.

[@RJD2]

Самое смешное, что этот унылый тролль даже первое место среди отхабренных занять не может, вот и фонтанирует подобной херней.

[@denplis]

для mac os есть удобная программка — 1password

[@onthefly]

а встроенный keychain? мне хватает

[@Arwen]

keychain и 1password — это хорошо, но лучше всё-таки пароли помнить.

[@denplis]

Можно ещё алгоритм придумать, то есть, пароль будет в какой-то степени зависит от домена ресурса. Всегда можно будет восстановить пароль, всего лишь, подставив домен ресурса.

[@Barttos]

ДаДа! :) У меня на емаиле пароль из 16 знаков, ввожу с клавиатуры закрытыми глазами не проблема, однажды нужно было ввести пароль на мобиле для того чтоб проверить с мобилы почту, пришлось вспоминать 10 минут)) Теперь уже пытаюсь выучить все знаки где находится, и логику между ними.

[@proc]

И записываете на бумажке?

[@Suomi]

Для паролей есть софт специальный. У меня есть 52 пароля уже.

[@enartemy]

Вы их коллекционируете, да? Нехилую коллекцию вы собрали…

[@Suomi]

Просто в последнее время каждый раз новый пароль пишу, даже если есть возможность, что на сайт больше никогда не зайду.

[@qwertz]

дайте два!

[@korynd]

У меня 230.

[@komr]

а у меня система — пароли везде разные, но по одному принципу, поэтому они стойкие и запомнить их несложно

[@al1k]

выдумавать — не то.
у меня над монитором на стене висят 4 листочка бумаги. на каждом таблица 16х16 заполненная строчными и прописными буквами латиницы, и некоторыми знаками препинания.
пароль — это номер таблицы, координата, и длина :) (для простоты — считаю вправо, с переносом на другую строку)

[@iex]

Ебанулись вы товарещь:) Ничего личного :)
У меня один пароль на всё, знаю, это плохо, но так сложилось с децтва ;)

[@Zimyand]

день рождения?=)

[@iex]

не, пароль не словарный и с хитростями хотябы ;)

[@Angerslave]

Именно в таких случаях я непременно запускаю свой любимый менеджер паролей и генерирую пароль вроде \?50`g8ap3^vZV/J.41E&P6*29l_:+7!

[@onthefly]

Есть подозрение, что такие пароли не каждый сайт примет. Не шутите?

[@hellt]

для тех которые не примут — урезаю до n бит

[@pxx]

С такими паролями одна проблемма — помнить их невозможно, поэтому хранятся они где-нибудь в менеджере типа KeePass. Но вот случаются иногда казусы типа «забыл флешку на работе» и все, до утра сиди без сладкого.

[@ZiBoX]

Фух. Хорошо что я сразу, даже когда решил посмотреть, пароль нормальный вбил.

[@genk]

<a href=«www.sxipper.com»">sxipper позволяет совершенно не думать. Он придумывает случайные пароли и потом их сам вводит, я их не помню.

[@CurlyBrace]

Ань, раскрою тайну: особо продвинутые гики используют пароли типа qazwsx ))

[@al1k]

а ещё более продвинутые
QaЯцSx

[@aquality]

Можно ошибиться и придумать уже существующее название животных, растений, стран, островов =)

[@lobity]

Есть множество сервисов для подбора md5. Некий список составлен сдесь: forum.antichat.ru/thread11028.html
Там-же есть удобный php-скрипт.

Простые пароли не пройдут!

А вообще, было бы неплохо задать условие (если такого нет), что если количество какого-нибудь пароля в БД превысило 50 (100, 150), то считать его небезопасным и при аутентификации пользователя выводить ему предупреждение, мол, «Хабрачеловек, твой пароль опасносте!». Можно даже «пыщь-пыщь» добавить. :)

[@lobity]

Извините:
сдесь = здесь

[@burdakovd]

ага-ага… Извините, Вы не можете использовать указанный пароль. Такой пароль уже использует пользователь Misha. Пожалуйста, придумайте другой пароль.

[@lobity]

Ну зачем же называть пользователей? Я к этому не призывал. В предложенной мной фразе отсутствует намек на чей-нибудь ник.

[@burdakovd]

понимаю что не призывали, эт просто цитатка с баша вспомнилась:)

а вообще мне кажется, что если пароли с сальтами хэшированы в базе, то посмотреть «количество какого-нибудь пароля в БД» не получится

[@lobity]

Это да, но тогда (при незнании соли) будет существенно затруднен взлом хэша.

[@CurlyBrace]

Это как бы была ирония… Лучше всего использовать многосимвольные пароли, в которых чередуются строчные и прописные буквы, цифры и спецсимволы, длинной не меньше 10-12 знаков, лишенные любого смысла.

[@timurv]

Я просто читаю и иногда ставлю плюсы-минусы. Ничего страшного в с своем пароле 123456 не видел.

[@nikolaikopernik]

Ха, а у меня пароль вовсе не 1234576 и все-равно подобрали ( Даешь блокировку аккаунта после 5 промахов по паролям на Хабре!

[@meako]

Мне начинает казаться. что подобные периодические скандалоподобные встряски на хабре — эдакая фича, средство от скуки.

[@nps]

Хабрадрама [x]

[@ognevsky]

Хабра-барбара [x]

[@Q_Zma]

рабыня-храбыня :)

[@ognevsky]

так не добавиццо =)

[@Q_Zma]

что не добавится? нипонил

[@ognevsky]

неважно

[@ognevsky]

тут чуть ниже статьи — теги. На Лепре их можно добавлять всем. Если больше 2 человек (насколько я понял) напишут «новый тег [x]», то к списку тегов данного топика добавится еще и «новый тег».
есть уже известные старожилам длинные названия тегов, я их не запомнил пока что =)

вроде как-то так

[@tigrenok]

а вообще — крестиков не существует. как и лепры. :)

[@ognevsky]

нееее, ну естественно!!!
я же чисто абстрактно пишу, что было бы неплохо, если бы было именно так (если бы вообще существовала какая-то-там Лепра)! =)

[@onthefly]

FAIL [x]

[@alfsoft]

просто хабрия [x]
храбриканка [x]
хабрилон-5 [x]
хабровый скачок [x]
хабральф [x]
хабрайдеры (путешествие в хабралельные миры) [x]
захабренные [x]
хабрекскс [x]

Угадайте сериал! :)

[@glader]

Больше одного

[@ognevsky]

я хотел сказал >= 2 =) неточно выразился, спс что уточнили

[@megahertz]

Спасибо за опперативность :)

Давно хотел нормальный пароль поставить, но все руки не доходили.

[@megahertz]

Нормальные пароли вылетают из головы так же быстро, как и придумываются. На хабре я в начале регистрировался ради интереса и не думал, что буду здесь постоянно. В таких случаях лень пароль записывать.

[@noita_kronk]

Ай-ай-ай. Для таких целей придумывается один хорошо запоминаемый пароль и впредь используется. А так — это всё равно, что под ковриком ключи оставлять. Через Ваш балкон ограбят богатого соседа, а дверь сломают Вам.

[@kabachok]

я вот так и делаю :)

[@tigrenok]

или я вас не так понял, или… думается мне, что если ключи оставлять — то дверь таки клечем откроют, а не сломают (как могли бы ;)).

[@noita_kronk]

Спасибо Вам за то, что внимательно читаете Хабр. (-: Да, я ошибся с аналогией, лучше бы ничего не писал. И так всем всё ясно.

[@omfg]

Вспомнил еще один хороший способ)

Как то забыл пароль на аську (вот глупый)) и сделал восстановление. Пришел сгенерированный пароль, который было лень менять) в итоге запомнил и юзаю до сих пор

[@noita_kronk]

Есть и такой способ, да. :-) И с весьма нетривиальными легковоспроизводимыми алгоритмами. Но это на любителей.

[@noita_kronk]

Придумал.

[@ZiBoX]

Есть старый способ, пишешь предложение из 3-4 слов, например, «мама мыла раму». Запоминаешь его!(это важно ;) ) и используешь для паролья первые 3-4 символа(в зависимости от размера слов) и получается «маммылрам» или «vfvvskhfv». Даже если не ошибаюсь есть таккая прога-генератор, составляет такие предложения, очень забавные, например, «сантехник рубит письма». И получается «сантрубпис» или «cfynhe,gbc». Главное запомнить слова.
Мутабор короче ))

[@Angerslave]

0_о вы храните пароли в голове? Тогда мы идём к вам.
Шутка, конечно, у самого раньше была пара сложных паролей, которые использовались на разных популярных для меня ресурсах. Однако со временем я потерял возможность и необходимость выходит в инет из интернет-кафе, поэтому сохранялка паролей стала моим помощником в деле придумывания, сохранения и удобного использования паролей.

[@iamtroll]

Упс, мой пароль — на главной! :)

[@proc]

Ну вот, а мы человека уже линчевали.

[@kabachok]

так его судьба то неизвестна, может он сам и брутил

[@proc]

Ну дело не в этом. Тут на лицо «судебная» ошибка. Написал бы ту статю кто другой, и его бы распяли.

Даже если он виноват, осадок остался :(

Это я себя виню.

[@Orlangur]

Вроде бы в посте нет ни слова про оправдание WebMan

[@enartemy]

По-моему это даже еще хуже, нежели сети ботов.

[@konopkov]

а решение простое — рядом с полем пароля при регистрации надо вычислять уровень его сложности. офигенно стимулирует придумать сложный пароль;)

[@egorinsk]

меня почему-то нет)

[@svscorp]

я на измене :)

[@onthefly]

Напрасно! Хабр бесопасносте :-)

Сегодня вечером это подтвердило второе явление статьи об апгрейде асусовского нетбука, совмещённой с манифестом от WebMan. НЛО среагировало достаточно быстро, хотя злодей успел на главную вывесить фото любимой девушки.

[@maxshopen]

Так подождите, осталось непонятным — так это WebMan надергал чужих аккаунтов — а потом ими себе прокачивал рейтинг, или как?

[@acostovich]

WebMan — это миф, %username%!

[@iamtroll]

Вы путаете! Миф, это вот:

[@Denis_in_ua]

Юзайте Keepass.
Эта программулина отучила меня вбивать простые пароли.
Действительно, зачем изощряться и придумывать что-то вроде 12345, если можно просто открыть программку и создать запись для очередного сайта, пароль сгенерится автоматом, копировать привычным ctrl+c при наведении на строку записи.

П. С. Не реклама.

[@kvervo]

Да согласен Keepass отличная программулина.
Но вот между ней и Хабром были проблемы.

Я сгенерировал себе пароль для доступа к Хабру, который после не давнего «капитального ремонта» перестал работать.
Хабр отвечал, что произошла «Неизвестная ошибка». После несколько недель переписки с тех. поддержкой, проблема так и не была решена. И я просто попросил чтобы сбросили мой пароль.

После этого все заработало на ура. Но я все таки ради эксперимента изменил свой пароль на старый и «Неизвестная ошибка» вернулась.

Пароль был: _]$Qf*.%!Stou8Wz(c"D

[@egorinsk]

видимо спецсимволы

[@Recluse]

Скорее всего кавычки :)

[@egorinsk]

А что длеать, если отвалистя жесткий диск с программой? Что делать в инет-кафе без прлограммы под рукой?

Если бы все было так просто(( Уж лучше в голове днержать нескодлько паролей на все случаи жизни

[@kvervo]

Ну есть Keepass Portable. Нашу на флехе с собой и каждую неделю делаю бакап

[@onthefly]

Суперское название для подобного рода программы.
Все ассоциации в тему: Keep pass / Key pass / Keep ass

[@Maximark]

И тату на руку для пароля

[@nps]

С манускриптом Войнича для обфускации

[@FloppyFormator]

Bolshoi booze?

[@mgyk]

Может при регистрации добавить проверку на адекватность пароля? А то такие штуки будут выползать раз в пару месяцев. И кроме этого лочить ип на час, если кто-то с третьей попытки залогиниться не смог.

[@Paul]

Зачем на час, лочить на несколько секунд — от брутфорса защитит и забывчивым пользователям мешать не будет.

[@Alver]

эм. правильно ли я понял, что раньше защиты от брутфорса не стояло?

[@egorinsk]

Где-то админы писали, что у них дофига трафика идет на страницу авторизации

[@benone]

Вообще для таких сервисов у меня пароль достаточно простой и одинаковый (хотя не 123456=))).
Считаю необходимым ставить сложный пароль только на почту, остальное восстановится…
А то как бывает… Администраторы всяких форумов неизвестных потом пароли продают=) Или базу сломают…

[@nps]

Сайт с таким паролем уже сломали (BestPersons), но ничего страшного так и не произошло.

[@pxx]

Восстановить то восстановится, но, как говорится, осадок то останется…

[@parovozik]

скандалы, интриги, расследования. Программа суперхабр. Показать всё, что скрыто =)

[@AmirL]

Кстате при регистрации (при вводе пароля) можно проверять достаточно ли сложный пароль вводит человек. И может даже запрещать простые.

[@1602]

Регистрация существует?

[@maxshopen]

Я бы предложил инициировать общий сброс пароля. Т. е. махнуть всем и послать почтой.
Иначе как вы вычислите всех, кого «взломали»? Ну нашли 150 аккаунтов… их еще может быть 300 про запас

[@feedbee]

У меня вот тоже изначально был простой пароль :( Но не так давно я решил заняться собственной безопасностью и сменил многие пароли, на хабре в том числе. Слава богу, похоже успел во время :)

[@Omni]

Собственный рецепт, но наверняка многими используемый и ранее: учится наизусть куплет из песни на редком для русско/англоязычного сообщества языке, например, на финском или монгольском (латиница, конечно, нужна).

Запомнить несколько строк на чужом языке не так трудно, как кажется, особенно, если песня прикольная.

Далее для разных сайтов в качестве пароля берутся слова из этой песни. Если где-то что-то забыл, легко вспоминается путём перебора.

Рекомендую взять на вооружение.

P.S. Свою песню я вам не спою :-)

[@ZiBoX]

«Я цуцок парви парлэлла. Тык парвилла тыц тандулла.» я угадал?

[@FloppyFormator]

Вот, а для меня эта песня начиналась со слов «Як цуп цоп».
Так и запутаться можно в одной песне.

[@Omni]

Нет, не угадали. Для сложности подбора и простоты написания взят эсперанто.

[@kurokikaze]

Жестоко :)
добавил словарь эсперанто

[@coldFlame]

А мне первых букв слов хватает. Из песни на нередком английском языке, который я все-таки знаю. Это проще.

[@pxx]

А у меня на днях ситуация случилась: стою в маршрутке, смотрю парень с мобилки в одноклассники пошел. Поглядел, запомнил простой е-маил, простой пароль — 6 цифр — дата рождения. Доехал домой, заглянул к нему в одноклассники, заглянул вконтакт. Баловаться в его аккаунтах не стал, ибо нафиг нужно, а вот письмецо с логин-паролем и рекоммендациями по безопасности ему на почту выслал.

[@SpaceLover]

А у меня дво коллег остались без аккаунтов на хабре! а начальнег сказал — «ну и поделом вам, будете больше работать!» Только не понятно, если блокируете аккаунт, зачем комменты и посты удалять?
Вообщем, администрация этого сайта превзошла в некорректности саму себя!

[@SpaceLover]

Меня кстати, тоже заблокировали. Хорошо, что у меня на хабре 2 аккаунта!