Comments 184
Мне почему-то казалось, что цена такая сложится, если только правильный пароль окажется последним при переборе. А если он подберется при "половине" работы, то и цена снизится вдвое. Т.е. эти цифры как бы максимальная цена.
Это если взлом поставить на поток и обеспечить постоянный приток клиентов. А если нет, то и ориентироваться надо на минимальную сумму оплаты услуг.
Пишется исходя из худшего случая
Наверное стоит рассчитывать не на худший сценарий и не на удачу в переборе, а брать среднее, ну типа как период полураспада.
надо значит все пароли свои с цифры 9 начинать)
С пробела :)
поможете взломщикам, если они начнут с конца ;-)
на самом деле - брать первые или последние комбинации - самая плохая идея, да и средние то же не очень.... но и бесконечно на половинки делить взломщики не будут
просто проверять первые и последние %5-10 комбинаций будут скорее всего в первую очередь, возможно и середину диапазона то же проверят....
тут всё зависит только от алгоритмов перебора, я вот например не помню "мастер-пароль" принтера по умолчанию, но помню что я его не менял, т.к. доступа по сети к нему нет, а помещение закрыто на ключ.
И когда приходится заходить в админку принтера я начинаю перебирать все комбинации, которые мог поставить завод от 123, 1234, 123456, 000, 0000 и тп
в итоге за пару-тройку минут я пароль"вспоминаю"... искать его в мануале или в Интернете будет немного дольше (включить комп, зайти в поиск, найти сайт - да он еще и не первый в выдаче будет и тд).
так и взломщики - они совсем не дураки. сначала прогонят самые часто встречающиеся пароли(а там не такие уж и большие списки), словарные пароли, потом то же самое в другой раскладке, потом с добавлением цифр и тд
В итоге если вы не конкретная цель, то при правильном пароле проще взломать соседний вай-фай, чем ваш...
не будешь же ты после каждой попытки закидывать копеечку на новые расчёты. оплатишь полный прогон.
А сам роутер позволяет делать достаточно быстрый брутфорс? Я не особо знаком с тем, как это устроено, но вряд ли время проверки пароля не зависит от скорости роутера
PS и у вас в последней таблице 3 и 4 типы одинаковые
методика рассчитана на то, что пароль будет сгенерирован псевдослучайным генератором, но поскольку для простоты запоминания люди используют относительно осмысленные комбинации, то в случае атаки сначала будет атака по словарю - а там скорость перебора повыше и вероятность подбора около 50% , а еще радужные таблицы, так что брутфорс это сферический конь в вакууме а реальная атака это совсем другое.
для простоты запоминания люди используют относительно осмысленные комбинации
Не думаю. У меня лично фантазия иссякла давно уже, так что пользуюсь генератором. Комбинации абсолютно бессмысленные, запоминаются просто мнемонически т.к. каждый день пользуешься.
В результате, у вас всего 2-3 пароля для всех сервисов. Одна утечка на любом из них, и данный пароль попадает в радужные таблицы. После этого, взлом превращается в поиск готового хеша в индексе, а не генерация и проверка в цикле, что имеет несколько другую сложность.
Я тоже так делаю, но кажется, правильнее для каждого сервиса иметь свой случайный пароль, и не запоминать его, а пользоваться менеджером паролей.
Вы точно понимаете, что такое радужные таблицы?
Вот это: $2a$12$A8mmR6GZui2HQFZxp8BTFOE7pgy1NVc2ikfVB/T9HwLJt2YAcUUJG хеш(Bcrypt) для пароля 123, уверен что нету ни одной радужной таблицы, где он есть
Bcrypt работает немного по другому, как раз для того, чтобы радужные таблицы для этого не подошли. Во-первых, добавляет рандомную соль к паролю. Во-вторых, делает очень много раундов хеширования. И если второе ещё как то можно обойти для генерации радужных таблиц (хотя это оч дорого), то после соли они становятся практически бесполезны.
Во-вторых, делает очень много раундов хеширования. И если второе ещё как то можно обойти для генерации радужных таблиц (хотя это оч дорого),
Мда. Радужные таблицы ДЛЯ ЭТОГО и делают, чтобы дорогое хеширование делать один раз.
Соль и вектор инициализации - вот что убивает смысл радужных таблиц.
Сколько раундов делать будете для записи в таблице (настройки для конкретного сайта неизвестны)? Сколько займет генерация чего то адекватного?
Ваш вопрос неправильный.
Для кастомного сайта радужные таблицы вообще не подходят, ибо они подходят там, где алгоритм (и количество раундов) не только известны, но еще и являются штатным способом. Ибо смысл генерации радужных таблиц для КОНКРЕТНОГО сайта отсутствовал всегда, чего тогда уж не перебор?
Если говорить про сайты, да и вообще про более менее актуальный софт, то везде уже штатные алгоримы предлагаются с солью, поэтому польза от радужных таблиц заметно подупала еще лет 10 назад, но все еще актуальна для нишевых случаев.
Тем более что универсальные таблицы для популярных хешей можно тупо купить на черном рынке по очень недорогим ценам, точнее даже не таблицы а доступ к ним (кинул хеш, получил ответ, и не надо генерить, где-то хранить...)
Совершено верно. И на сайтах пароли хранят аналогично с солью.
Правильнее регулярно менять пароли.
Главное, чтобы этот менеджер был аппаратным....
о я так сделал пароль когда-то довольно длинный, вводил его пару лет с клавиатуры, а потом понадобилось войти с телефона, и все, не могу вспомнить
а там скорость перебора повыше и вероятность подбора около 50%
Очень интересно как посчитана эта вероятность
а еще радужные таблицы
Которые в случае с WI-FI имеют смысл только если точка доступа имеет SSID "по-умолчанию", тот же Keenetic добавляет к SSID рандоный постфикс.
распечатать qr с подключением вайфай и вообще пофиг на название сети и пароль . у меня около 20 символов но всем абсолютно все равно. все сканируют
Это если с телефона подключаться. А если надо будет ноутбук подключить?
Телефоном сканировать и прочитать. Передать с телефона на ноутбук 20 байт это проблема?
Сейчас большинство ноутбуков с камерой.
Передать с телефона на ноутбук 20 байт это проблема?
А как вы передадите? Ноут-то без подключения ещё.
Для использования встроенной веб камеры нужна программа-считыватель qr кодов. Которое может быть не установлено на данный момент. Короче тот ещё квест.
А как вы передадите? Ноут-то без подключения ещё.
Записали в текстовый файл, подключили телефон через USB, переписали файл на нотебук, профит!!!
ну можно тогда и просто его по изернету подключить, чего уж там)
уж проще действительно руками набрать.
а современные телефоны могут это? по юсб? помнится давно гугл вырезали возможность как накопитель телефон подключать к пк и чтобы его подключить там жуткие танцы с бубном начались. с тех пор уж не подключал телефон к пк, а потом wifi стало достаточно (внутренняя сетка).
что-то сложные ходы вы придумываете. сделать доступ по whitelist к wifi и, я не знаю насколько это надëжно, но думаю вероятность взлома падает в разы.
Ни разу ещё не видел чтобы это не работало. На своём телефоне пользуюсь этим регулярно.
NearShare? Передача файлов по BT?
Могут. Точнее есть ньюансы если надо подключить Android к macOS (штатно этот функционал не поддерживается, надо например Android File Transfer качать с гугла). С Windows проблемы нет (с Linux просто не знаю но думаю не будет).
На iOS проблемы нет.
Ну и всякие Nearby Share
Для использования встроенной веб камеры нужна программа-считыватель qr кодов. Которое может быть не установлено на данный момент. Короче тот ещё квест
Было дело, проходили данный квест.
Делал скриншот qr-кода и скармливал телефону. Вуаля и пароль получен
Да руками 20 символов один раз набрать - это разве проблема?
Мне кажется у большинства людей пароль вайфая написан на наклейке на роутере и рандомно сгенерирован провайдером.
Радужные таблицы не работают для WPA2, разве что вы собрались ломать только точки доступа с именем home .
ну это смотря какие люди.... есть люди, которые прекрасно помнят 3-5-10 12-16 символьных комбинаций, есть люди которые понмят комбинации и по 64 символа - именно комбинации, а не "осмысленные" сочетания.
Иногда эти комбинации могут быть визуальными - например "ход конём" по клавиатуре делать с определёнными правилами направления или еще что.... но часть из таких комбинаций вполне подходит под "пароль из списка".... в общем всё достаточно сложно
даже если вспоминать произведения Лукьяненко - там например не использование пробелов было, вместо строчных прописные и наоборот вроде (сейчас уже не помню точно, давно читал), а уж если добавить ошибки в слова - например вместо каждой 2й "А" ставить латинскую, вместо каждой 3й "О" ставить "0" и тд и тп
тут сильно зависит от того, как сильно пароль должен быть "в оперативном доступе", какой длинны, какое время на его воспроизведение готов потратить пользователь, сколько усилий для запоминания и какие риски при утере (если нет копии)
например если пароль нужен редко и можно потратить несколько минут на его воспроизведение то можно придумать очень простые правила, которые в итоге не дадут подобрать его просто по словарю.... а уж если поизгаляться...
например набираем на клавиатуре слово, но на 1 букву выше чем буквы слова, а если там символов нет, то на 2 ниже... - такое подобрать "по словарю" уже крайне сложно будет...
И всё это рушиться под напором социальной инженерии.... Если человека очень хорошо знают или он использует похожие пароли на разных сервисах, если он может просто записать пароль в блокнот или на стикере у монитора и тд и тп
А еще бесят сервисы типа почты.... сложный пароль они позволяют аннулировать указав кличку собаки, девичью фамилию или подобные вещи... которые очень просто найти/узнать или подобрать....
А еще бесят сервисы типа почты.... сложный пароль они позволяют аннулировать указав кличку собаки, девичью фамилию или подобные вещи... которые очень просто найти/узнать или подобрать
В смысле узнать/подобрать? Разве туда не случайную последовательность из символов так 20 вбивают, а что-то осмысленное? ))
Зачем вообще запоминать пароль к Wi-Fi?
Создал рандомный пароль, напечатал QR-код, наклеил\положил под на роутер, копию (текстовую и QR) положил в мобилку. Друзьям и мобильным устройствам показываешь QR, ноутбукам и прочим PC скидываешь файликом для Ctrl+C, Ctrl+V. Единственная проблема - телевизор, но 1080\4к по wi-fi такое себе удовольствие, лучше избегать
напечатал QR-код
Нормальные роутеры умеют генерировать и показывать его в админке. Вдобавок, не придётся переделывать бумажку, когда понадобиться поменять пароль.
Только это долго и запарно ползти в админку =) - пароль от роутера вспоминать, ПК запускать.
В админку и со смартфона заходить можно, а пароли лично я не ввожу никогда, они у меня настолько стойкие, что вводит их KeePass по нажатию горячей клавиши.
Так чтобы зайти в админку роутера со смартфона нужно сначала этот смартфон подцепить к Wi-Fi, нет? Или вы предлагаете выставить жопой наружу веб-морду админки?)
С таким успехом можно и WPS юзать...
Андроид умеет показывать QR-код с PSK и раздавать его по Блютусу Nearby Share, хотя в публичных местах без бумажки не обойтись.
А почему только 8 символов?
У нас сейчас требования УИБ в компании - пароль (как минимум один доменный и один к тестовому серверу) не менее 12-ти символов с использованием не менее 3-х групп из 4-х
маленькие буквы латинского алфавита
большие буквы латинского алфавита
цифры
символы
Еще и менять каждые 90 дней...
Для роутеров и точек доступа использую то же правило. 12 символов, большие буквы, маленькие буквы, цифры (символы уже сложнее в голове держать, так что ладно уж).
Ну и тут вопрос даже не в стоимости, а во времени. Вообще, криптография - это про время, требуемое на взлом. Успеете ли взломать до того, как информация не перестала быть актуальной или нет.
символы уже сложнее в голове держать, так что ладно уж
Самые популярные из попадавшихся мне приёмов - ставить "!", "?", ".", "$" или "#" скраю, либо "@" между "половинами" пароля...
Мне кажется, чем больше требований, тем больше вероятность, что пароль окажется на бумажке под клавиатурой. Ну, или, как минимум, превратится в superPassword!1
в принципе, этот суперпассворд!1 без компроментации вполне даже сложен для счёта.
если по классике не первый символ в подслове, а произвольный и вместо a, o подставлять символы @ и прочие. но как он где-то скомпроментирован - тушите свет.
Для домашнего вайфай эот не так уж и плохо, сосед бумажку не отсканит
Вон на бумажку не стоит гнать. Еще без физического проникновения еще надо умудриться достать.
В век облаков - время уже не имеет принципиального значения. Прямо сейчас можно арендовать несколько десятков тысяч инстансов - которые уже расшифруют за приемлемое время. Все упирается в цену этого решения.
Рекомендую: пароль Aa1!Aa1!Aa1! удовлетворяет почти всем когда либо придуманным требованиям. Через месяц меняется на Bb2@Bb2@Bb2@.
Пользователи быстро пришли к умозаключению, что проще запомнить "Месяцгод123456-". И набирается быстрее т.к. только два раза нажать шифт.
а через два или три символа жать шифт? или контрольные слова буквы перемежать цифра, знак?
опять же у многих современных кешей есть куча проблемных мест в кодировании и какой бы не был длинный исходный пароль, хэш под него может быть подобран с "коротким" но неудобным. просто тот отобразится также как и длинный пароль.
У меня дома на файвай пароль 26 символов, так просто дочь прикололась.
А себе на телефон дочь поставила код из 16 цифр.
Специалист по информационной безопасности растет :)
символы уже сложнее в голове держать
Возьмите все символы которые хотели бы использовать, буквы (заглавные и строчные), цифры и составьте из этого определённую матрицу соответствий с системой счисления (8,10,16-ричные), после чего напишите формулу которая будет вычислять пароль любой длинны и вводите первые 20-30 символов. В итоге только вы знаете формулу и правило составления матрицы символов и можете в любой момент на любом устройстве вычислить и ввести пароль. А для случаев регулярной смены сделайте 12-15 сдвигов матрицы.
Какая-то лютая дичь у вас на картинке.
Первый случай: Большие+маленькие+цифры+символы на 11 символов, это не менее 41 бит энтропии и 2'000'000'000'000 лет перебора.
А второй случай, это пара суток подбора по словарю.
На картинке принцип diceware. Энтропия зависит от используемого словаря и длины.
Как на картинке получилось 28 бит энтропии?
Редкое слово, неверное написание, большие и маленькие латинские буквы, цифры и символы. 11 символов. Какова энтропия при таких вводных?
И чтобы два раза не вставать. 6 слов из базового корпуса английского словаря (6000 слов), только маленькие буквы. Какое количество сочетаний и какой энтропии оно соответствует?
И ещё один гвоздь в крышку, чтобы гроб точно не открылся: diceware, набор из 28 слов, 6 слов в последовательности. Какова получается энтропия?
Вы это, не дописывайте 3 параграфа изменением коммента. Лучше новый киньте, а то бы после уведомления в почте и не зашел.
Я, когда задался этим вопросом, "а как KeePass 2 высчитывает энтропию паролей?" не понимал, что да к чему. А потом как поооонял. (По памяти) классическое понимание: "сколько надо бит, чтобы закодировать эту последовательность символов". Если отталкиваться от этого, то всего две вводных, 1) размер словаря и 2) количество элементов из этого словаря.
Теперь, если исходя из этого спрашивать "а что если выпадет редкое слово" - то тут либо подмена постулатов (получили статистику, а не подсчет энтропии), либо критика этого метода подсчета, потому что у каждого слова будет свой "вес"* для отражения атак в действительности. (*подсмотрел, если говоря про энтропию, то частота вхождения)
набор из 28 слов, 6 слов в последовательности. Какова получается энтропия?
Исходя из моего параграфа - это статистическое, а что если. При идеальном CSPRNG решение одно и то же, что и для другого любого результата, потому что слова выпадают с вероятностью 1/28 независимо друг от друга. http://bearcave.com/misl/misl_tech/wavelets/compression/shannon.html
Тут мне остается только заметить, что ваш ответ похож на https://en.wikipedia.org/wiki/Gambler's_fallacy и отправить вас к статистикам за объяснением, потому что это не моё. А что считали на картинке - не знаю, банально брать равнозначную вероятность каждого символа, но это не соотносится с практикой символов в паролях.
Вот тут и закопана манипуляция. Энтропия (количество бит) считается не просто из двоичной длины пароля, а на самом деле представляется собой разрядность двоичного числа, которое хранит все возможные комбинации пароля.
А потому давайте посчитаем.
Первая картинка:
маленькие буквы+больше+цифры+символы (10 штук) = 26+26+10+10 = 72 доступных символов. На картинке нет явных закономерностей и нужен будет полный перебор.
Пароль из 11 знаков. Возводим 72 в степень 11: 72^11 = 2.69e20. Что приблизительно равно 2 в степени 68.
Таким образом энтропия получается 68 бит.
Далеко не 28 бит энтропии, и выходит, что тут нам уже наврали с три короба.
Во втором случае. Видная явная закономерность, которая происходит из способа генерации пароля: английские слова, существительные, маленькими буквами в количестве 6 штук.
Если выбираем слова из набора 20 слов, то 20^6 = 6.4e7 = 2^26, то есть 26 бит;
Набор из 100 слов, то 100^6 = 1e12 ~ 2^40 то есть 40 бит;
Набор из 1000 слов, то 1000^6 = 1e18 ~ 60 бит;
Весь базовый корпус английского языка - примерно 2500 слов, то 2500^6 = 2,44e20 ~ 68 бита; Вот теперь похоже.
Выходит, что для сравнимой с первым паролем сложности подбора нужно составлять предложения из 2500 слов. И что там проще запомнить - большой есть вопрос: так как лошадь/конь/кобыла/мул и батарея/батарейка/аккумулятор, скоба/скобка/шпилька/гвоздь и т.п. Успехов в запоминании.
Всмотрелся в картинку, там типа каждый бит энтропии серым квадратом обозначен. Судя по расположению квадратов, оценивается энтропия на выходе описанного алгоритма:
Взять слово
Менять ли первую букву на заглавную
Три раза: менять ли гласные на цифры по типу 1337
В конце добавить спецсимвол + число в рандомном порядке
У спецсимвола 4 квадрата энтропии
У числа 3 квадрата
Кто тут ближе к реальности брутфорса - не знаю, но по подсчетам поступил бы как вы, не поняв сути картинки. Столько раз видел, а ни разу не задумывался. Короче, зря они так это нарисовали.
Это и есть манипуляция.
И осталось понять, что они считают энтропией во втором случае. У них разная длина слов, при равной энтропии. Почему у них энтропия слова 11 бит? Хрен его знает почему - потому, что гладиолус! Точнее, потому, что они посчитали, что слова берутся из словаря в 2000 слов.
Но в этом случае они в пух и прах проигрывают первому случаю, и им нужно не четыре слова, а 7 или 8. А запомнить такое количество слов из большого словаря, это уже не "лошадь, батарея, скоба", забыть и перепутать очень легко.
Раздражает, что эту картинку приводят в качестве аргумента там, где на самом деле она доказывает обратное - что не нужно верить абы чему из интернетов, а нужно честно считать энтропию или писать старые добрые длинные пароли с разнообразными символами.
Прав был доктор Хаус.
Другими словами, словарь для пароля {f, g, h, ф}. Если выпадают только первые три символа, то пароль брутфорсится на раз-два-три. Выпадает русская ф (которая действительно часть пароля) - до свидания. А высчитанная энтропия не отличается.
Отличается. Энтропия считается исходя из возможных компонентов пароля.
Если у вас словарь для пароля {f, g, h, ф}, то он брутфорсится за более чем вменяемое время полным перебором по битовой длине всего возможного европейского юникода.
Более того, если это у вас способ формирования паролей такой (то есть некая программа таким образом генерирует, или вы всегда/часто таким образом пароль придумываете), то хоть японские иероглифы используйте или символы из мёртвых языков, но энтропия будет считается из алфавита в четыре символа и реальная энтропия 12 символьного пароля будет 24 бита, а потому подбирается он за секунды.
Подбираться он будет за секунды только в случае бинарного брутфорса (и то 4 против 5 байт в UTF-8), иначе несовпадение словарей вообще не даст сбрутфорсить. В остальном разногласий не вижу.
Наука говорит, что нужно исходить из того, что возможности злоумышленника по подбору ограничены только максимальной вычисленной мощностью (а не алгоритмами и способами перебора), он обладает всей возможной информацией о пароле и способе его формирования, кроме самого пароля, и он будет использовать самый эффективный способ перебора.
На практике несколько нестандартных символов в достаточно длинном пароле действительно делают его практически неподбираемым.
Но та же практика говорит, что криворукие уроды совершенно точно и неизбежно однажды налажают с пользовательским интерфейсом или начнут фильтровать вводимые символы и/или налажают с юникодом, и использующий нестандартные символы хитрец совершенно неизбежно потеряет доступ к своей информации даже если будет помнить пароль ;)
замены так часто - шанс что пароль будет записан или новый пароль будет равен позапрошлому (равенство с предыдущим обычно проверяется), ну или они меняются по какому-то простому правилу....
Nvidia требует для того, чтобы запустить geforce experience пароль (емнип) из всех четырех перечисленных групп. И сверху еще двухфакторную авторизацию.
Все это чтобы никто ни в коем случае не спёр мои дрова на видяху, я полагаю
скорее всего, 8 тут для примера, потому что реалистично подобрать за вменяемое время / $.
уже 12 надо б было ждать дня эдак 3, а от 16 там бы брут вышел золотым )
Что-то я не понимаю табличку.
Третья и четвертая строка в поле "Тип" мне видятся идентичными - при разной сложности и стоимости.
Спасибо, поправил.
А еще, точка очень слабо отличается от запятой, в колонке со стоимостью. Первые секунд 30 вкуривал, почему у вариантов 2 и 3, оценка требуемых ресурсов отличается на несколько порядков, а стоимость на считанные проценты.
Можно использовать пробел для выделения тысяч.
Было бы интересно для 12, 16, 24 символов: только цифры, только маленькие буквы, только маленькие и большие буквы? Чтобы посмотреть на тему длины пароля.
Вообще я всегда делал перебор по словарям, а брут только до определенного предела.
Ну и уже 10 символов увеличат потребное время и стоимость на два порядка.
ЗЫ. У меня пароль от моей сети 14 символов, а у гостевой, которую даю если требуется вайфай кому пароль 12345678. Но из гостевой сети попасть можно тока в интернет...
8 символов, из маленьких букв латинского алфавита, больших букв латинского алфавита и цифр
В последнем варианте наверное еще символы.
Мой пароль, достаточно простой (19 латинских символов, только строчные), стоит по этой формуле ~176 287 триллионов долларов. Значит ли это, что его невозможно сломать? Конечно, нет. Смысл статьи совершенно непонятен.
Злоумышленник в общем случае не знает же заранее, какие символы фактически используются в пароле. Поэтому пробовать ломать брутфорсом всё равно придётся по сложному варианту, а упрощение взлома от сокращения алфавита несколько надумано.
Можно ломать сначала только циферные комбинации, потом идти на цифро-буквенные (исключая чисто циферные). В этом случае количество переборов будет такое же как и у самого сложного варианта, но при этом сами варианты будут "отсортированы" по сложности и более простые сломаются раньше.
Мы же длину искомого пароля тоже не знаем. Поэтому, прежде чем мы перейдём к паролям из 8 цифр, мы должны будем перебрать все 7-значные пароли с наиболее широким алфавитом (иначе до какой длины мы должны перебирать цифры, прежде чем принять решение использовать буквы?). Это не учтено в приводимой оценке сложности.
Справедливо. Видимо после прочтения статьи я как-то откалибровался под сценарий "только 8-значные пароли".
например, мы видим по имени сети провайдера и знаем какая длина паролей у него обычно) Речь не про гарантированный взлом тут, как мне кажется, а "попробовали 10 и 5 сломали"
Пароль на wifi меньше 8 символов быть не может.
все семизначные пароли перебираются за время одной итерации 8-значных.
Можно перебирать в порядке усложнения. Условно 6 цифр, 4 буквы, 7 цифр, 8 цифр, 5 букв и т.п. Туда же идёт "словарь + 1 символ", "словарь + 2 символа" и т.п.
Это увеличит время подбора простых паролей, но даже близко не приравняет их к сложным.
По-моему, ошибка в 2-3 варианте где-то.
Там точка как сепаратор 000.000.000 и запятая как разделитель дробной части.
А-а, всё, увидел. Нетривиальное форматирование.
(Автору: я бы заменил точку на пробел при разделителях тысяч, а то имхо вводит в заблуждение)
Спасибо за идею, вот только редактор текста на хабре, начинает жестко тупить (с пробелами) Поэтому пришлось выдумывать как отобразить в едином стиле.
Тоже запнулся на этом месте таблицы...
Тем более что во втором столбце разделитель тысяч - это запятая, а в третьем - запятая отделяет дробную часть от целой; а разделитель тысяч - уже точка...
Если сложно использовать пробел как разделитель тысяч, то для дробной части чуть меньше знаков после запятой?
Или примечание под таблицей написать. Про отличие точки и запятой в данном конкретном случае.
(Ибо не всегда статья читается как научная монография. Зачастую - бегло и по-диагонали. Особенно - в пятницу :)
Может быть, использовать неразрывный пробел?
Можно апостроф ещё как разделитель.
разделяйте апострофом!
Тоже задумался почему цена не выросла.
Просто уберите дробную часть у $9 ))
И в двух последних случаях не указаны единицы - GH
Повторял, повторяю и буду повторять. Расширение на цифры, иврит и символы из dingbats увеличивают основание степени. А увеличивать надо показатель.
40^8=6,55*10^12
60^8=1,69*10^14
20^12=4,1*10^15 - слово чуть подлиннее даже без использования верхнего регистра защищает лучше всей этой символьной чуши. Запись слова наоборот или использование датского/польского слова - и все словари оказываются w dupie.
Да, я тоже являюсь противником этих жёстких требований к множеству символов. Набирать 8-символьный пароль с телефона с переключением регистра и спецсимволами займёт больше времени, чем 16-символьный без переключений. Но последний более криптостоек.
Все уже давно сказано: https://xkcd.ru/936/
В бесплатном LPP можно настроить сложность в зависимости от длины пароля, но куча ИБшников застряли в нулевых с единственной политикой в GPO.
Погодите. Но ведь таблица актуальна, если только заранее знать словарь. А если загодя достоверно неизвестно, какие символы используются, то сложность перебора будет по умолчанию по 4-ой строке, разве нет?
Ну, можно идти от 1-ой строки все выше и выше.
Кажется при переборе все давно используют психологию пользователя. Так как для сгенерированного пароля примерно все равно в каком порядке перебирать, а для придуманного можно выдернуть суперприз раньше. Поэтому сначала словари, потом цифры, потом цифры и чуть-чуть букв/спецсимволов, потом буквы и цифры и тд.
Не согласны с методикой оценки? Давайте обсудим в комментария
Ваш пример из таблицы:
96 ядер IceLake - машина
240K/с
1,27$/ч
2,777777778$/1Gh
Давайте пересчитаем:
240K * 3600c = 864млн_хэшей/ч
Тогда стоимость 1G_хэша = 1.47$ = 1Г_хэш * 1.27$ / 864млн
а у вас по расчетам 1G_хэша = 2.77$
Кто прав?
Другое не проверял.
Статья про элементарную математику брутфорса паролей, которую знает каждый новоиспеченный хакер после просмотра сериала Mr.Robot.
На WPA-Enterprise c авторизацией через Radius->LDAP по паролю этот расчёт тоже распространяется, или там по-другому? А если по сертификату?
Вот тут описывалось кем-то:
https://habr.com/ru/articles/150179/
Сертификаты неудобно настраивать, а пароли можно украсть. Остаются DPSK или вход через captive-портал со своими нюансами.
Для параноиков можно организовать что то вроде "One Time Password " написать скрипты на роутере и телефоне компьютере, которые к паролю добавляли цифры ДДММГГГГ. И каждый день они меняются. Или какую-нибудь математическую функцию от них F(ДД,ММ,ГГГГ). Но тогда отпадают умные устройства.
Или WIFI давать доступ только по МАС адресам
MAC - считывается из эфира и подделывается при необходимости легко :(
Да сразу аутентификацию WPA2-Enteprise с отдельным логином-паролем для каждого юзера. И TOTP в довес
Или WIFI давать доступ только по МАС адресам
Этот метод даёт только неудобство для легального пользования сетью. Злоумышленник подходящие MAC адреса поймает без проблем.
у меня у половины соседей пароли это какая-нибудь дата - 8 цифр. 1080ти очень быстро перебирает)
еще у большей части не выключен WPS на роутерах. При этом если это старый и не обновленный TP-Link, то подбирать PIN выгоднее и быстрее.
Очередной спор какой пароль лучше... Паяльник стоит 2 бакса. Дороже чем 8 цифр, но дешевле всех остальных методов.
пароль на WifI как замок от честных воров. В ethernet тоже могут включиться, в подъезде например. секурность надо обеспечивать другими методами
А нельзя один раз вычислить хеши и добавить в таблицу, следующие хеши подбирать по таблице? И ещё глупый вопрос, а хеши все одной длинны?
Криптографические хеш-функции (и вообще наверно все хеш-функции) имеют результат одной длины. Иное реализовывать программно бессмысленно.
Про радужные таблицы писали выше в комментариях. Отличается при различных SSID. Значит SSID - выполняет функцию соли.
А нельзя один раз вычислить хеши и добавить в таблицу, следующие хеши подбирать по таблице? И ещё глупый вопрос, а хеши все одной длинны?
Это и есть радужные таблицы.
Против них изобрели соль, вектор инициализации.
Ну и в идеале вообще защитить хеш от открытого доступа...
Как вариант усложнения взлома автоматически передавать ложные хендшейки которые не расшифровываются ни как. На 99% злоумышленник перехватит именно их и понесет финансовые убытки и интерес пропадет.
чихнул на выходных, получилось вот это:
https://howmuchyourwifi.com/
А насколько дорогой у тебя ВайФай?
50 символов из букв разного регистра, цифр и спецсимволов. И это мои требования ко всем паролям.
Было 30, но когда заметил, что уже неделю под окнами крутится фургон с белорусскими номерами, поменял все пароли, вдобавок усилил. Тревога, правда, оказалась ложной - в доме реально поселился белорус.
Хмм... у меня 62 символа, сгенерированных. Интересно столько долларов уже напечатано? Да, и гораздо проше найти эксплойт для прошивки
для прошивки чего? роутера? а попасть туда как?
то, что у вас wifi пасс 62 символа, это похвально. следует помнить, что надо так же переключить основную сеть в wpa3 режим, либо, если роутер не поддерживает создание нескольких сетей, в режим wpa2/wpa3, т.к. wpa2 давно публично взломали, сколько непубличных подобных уязвимостей, стоит только гадать. https://www.krackattacks.com/
Я правильно понимаю, что безопасность WPA3 зависит от имплементации в точке доступа?
Под каждый ресурс генерирую уникальный пароль через keypassxc вида
?qÍã¼åÖîv§jîÕ§ÃÌk/f+Î^2@.¡¼MÑ|«ù0¨küàºG9᫤Z®ÉázPT<Ûó{ÅéÓ[õÌW+¿Eí±ÇôÙf/½=?¾Bn+iDä4|ìÕÂÆ£vØôVCRÆIÙ9DÒçüÉwªÛ³nĵH»îIK1¾*E©C¡7E¹Ò
Самая большая проблема всегда не в пароле, а в ...
Ваш пароль слишком длинный. Максимум допустимо 20 символов. (Это очень хорошо, когда пишут ограничения, потому что зачастую о них неизвестно и приходится их подбирать на ощупь и спустя несколько попыток)
Вы используете неизвестные недопустимые символы. Какие конкретно - непонятно. Почти всегда неизвестно можно ли использовать точку или подчёркивание.
И потому вынуждено приходится использовать генерированные пароли вида
E3R9X8mtlBwogCJ1TIWM
Без спецсимволов и расширенного списка.
Прошу тех, кто делает верификацию паролей, учитывать чтобы стандартный сгенерированный пароль впринципе можно было использовать. Хотя бы 128 символов ограничением и только со стандартными цифрами, буквами. И ещё более главное, чтобы после того, как его приняли при регистрации, по нему можно было войти в систему. К сожалению, часто зарегистрироваться на сайте слишком сложно, потому что пароли необходимо ослаблять на неизвестность и подбирать на ощупь - можно ли такой использовать или нет.
Вдобавок, конечно хочется обычный TOTP. Самый простой. RFC 6238...
Хакер в любом случае заранее не знает какие символы фактически используются в пароле. Поэтому ему придётся использовать сразу самый дорогой вариант.
А что за клауд провайдер ?
Цены приятные чтобы обучать модели
Имею NVIDIA RTX 3060, LHR версию.
В программе Elcomsoft Wireless Security Auditor при переборе выдаёт около 375.000 комбинаций в секунду.
LHR может замедлять перебор пароля?
Сколько стоит ваш Wi-Fi?