Вы, оказывается, отвечаете не кнопкой ответа, я случайно заметил. Если вас интересует продолжение дискуссии, пользуйтесь кнопкой "Ответить".
В цитате, которую Вы комментировали завершив эти утверждением, ничего такого нет. Наоборот, МФ-щики прекрасно встроились в ИТ на писюках.
Зато в личном опыте такое есть, знаю нескольких человек. Не все встроились.
Глядя на Ваш профайл на Хабре, я не вижу что Вы постоянно переучиваетесь. У меня, например, список скилсов на писюках побольше Вашего будет, не считая МФ-ских скилсов, количество которых за время работы только в Канаде упятерился.
1) Я не пишу туда совсем всё, что умею и когда-то делал. Некоторые вещи нет смысла писать, они покрываются общим умением. 2) Развитие возможно и в пределах одного пункта. Вообще, мне эти меряния органами не очень интересны, скажу лишь, что радикально менял направление, наверно, раз пять.
"Некоторые" свойства железа реализуются соответствующими механизмаи операционной системы zOS.
Вы не представляете себе, какие свойства я имел в виду, но говорите про zOS.
И какие, по-вашему, суперсвойства zOS тут настолько важны?
Все мы рождаемся "очень глупенькими" и набираем знаний/умений/опыта или из рассказов других, или из собственных шишек. Статья как раз делится правильными подходами, которые могут быть неочевидны для тех, кто с этим не сталкивался.
Есть такая проблема, угу. Частично из-за инерции. А частично из-за следующих факторов: 1) Кодировки. Ладно, в Unix мире можно обеспечить всё на utf-8. А если участвует Windows? Будет пароль перегнан в utf-16le или нет? А то, что это даст другой хэш? А раньше ещё была путаница koi8-r против cp1251 против cp866. 2) А ввод пароля при залоченном экране? Не везде можно было переключить на клавиатуру с кириллицей (кажется, только с Windows 10, если рассматриваем MS, сделали гарантию ввода). 3) Клавиатура и режим ввода. Вы садитесь за чужую машину, а там, например, ивритская клавиатура и нет режима ввода кириллицы, а менять системные настройки никто не даст.
Согласен, что для заметной части пользователей ситуация "сесть за чужую машину и залогиниться в себя" недопустима в принципе. Но те, кому это нужно и можно (корпоративная обстановка) будут влиять на среднее мнение.
Вы не Гугл и не Яндекс. Так что для вас bcrypt будет вполне надежен.
Процитированное - реверанс его авторов из стандартной академической скромности. А вот умолчательное использование в дистрибутивах - уже аргумент в пользу его предпочтения. Извините за отсылку к авторитетам, но там явно думали, совещались и просили консультаций у криптографов, перед тем, как принять это решение. И ещё, за 10+ лет развития "железа", облаков и вообще IT, понятие "large-scale" поменялось.
А вот ваше "Вы не Гугл и не Яндекс" (откуда вы знаете-то? может, я как раз в одном из них работаю?) показывает, что к вопросу защиты вы относитесь достаточно наплевательски.
И в третий раз повторюсь - перестаньте проецировать на всех свои сверхспособности и обратитесь к реальности. Для большинства людей - а расчёт именно на них, а не на гениев типа вас - запомнить пароль можно только если есть сверхстойкая ассоциация, которая не теряет своей прочности в мозгу за годы. Но таких ассоциаций у среднего человека очень мало, или они представлены не в текстовом виде.
Стихи, как вы предлагаете рядом, такой ассоциацией не являются - даже если помнится основная конструкция, отдельные слова и целые строки забываются и их надо перечитывать.
Вам таки надо познакомиться с реальными наработками по UX.
И снова это показывает, насколько вы подвержены эффекту "curse of knowledge" ("curse of skills", как бы он ни назывался), абсолютно не понимая, какие проблемы могут быть у других. Именно в этом случае я знаю людей, которые, в остальном успешные "по жизни", 1) забыли напрочь после школы все стихи, и тем более другие точные цитаты из классиков, 2) при набирании подобной цитаты могут ошибиться в орфографии (дремлеш? дремлишь? прелесный? чудестный?), пропустить запятые, 3) банально опечататься раз пять при наборе этой фразы, попав в соседнюю клавишу. Про "крайне низкие шансы закончить школу" - грубая неправда. Заканчивают, и (повторюсь) успешно живут.
(Это я даже ещё не вспоминал, что если хотя бы 2% начнут цитировать одни и те же произведения из школьной программы, то уже они станут типовыми фразами для подбора пароля.)
Пожалуйста, или спуститесь на землю из своих воздушных замков из слоновой кости, или обратитесь к реальности - через научные исследования эргономики и UX.
1 пароль в секунду? Вы серьёзно? В rtx3090 10 000 универсальных процессоров, частота каждого 1.7 миллиарда тактов в секкнду, за такт универсальный процессор делает больше одной операции.
При согласии в принципе, замечу, что современные средства шифрования паролей намеренно рассчитываются на очень дорогую (и по памяти, и по операциям) проверку. Почитайте установочные документы по yescrypt, Argon2 и прочим. Например, для дефолтных параметров yescrypt имеем, на современный x86 не-мобильного типа, около 100мс и 32MB на одну проверку. То есть 10 паролей в секунду на ядро.
Про GPU, ChatGPT мне сказал такое:
Plausible range: ~3 ms → ~30 ms per hash.
A single RTX 5070 might do on the order of 10⁴–10⁵ hashes per second if you run many independent kernels in parallel and memory fits — but because each yescrypt instance needs ~32 MiB working memory, a 12 GB card can only hold ~360 instances in VRAM at once, so concurrency is limited and per-hash throughput drops if you try to run more than VRAM allows. (12 GB / 32 MiB ≈ 384.)
я не проверял, я слишком мало знаю про GPU. Но выглядит достоверно. Итого ≈3000 в секунду. И это на весьма дорогой современной технике.
Перемножте эти цифры и добавьте ещё множитель 1 000 000, т.к. есть сервисы совместного подбора паролей и ботнеты из милионов устройств.
Эти сервисы и ботнеты будут загружены на много лет вперёд, если мы говорим про обычное использование для украденного с сайта "я и моя собака, а вот прайс на то как я пилю деревья". Если мы говорим про целевую атаку (advanced persistent threat) - да, их купят. Иначе - нет.
Согласен, автор статьи перегибает в другую сторону. Но и говорить, что всё короче, например, 16 символов будет взломано за день-два - совершенно неадекватно.
Даже если не вводить ключ в агента, то мы имеем: 1) В сетевом взаимодействии ключ гарантирует неутечку рабочего секрета (приватного ключа) при знании парного публичного ключа. "Гарантирует" здесь на том уровне, что найти приватный ключ по публичному - задача на десятки порядков сложнее, чем найти пароль даже при использовании какого-нибудь yescrypt. 2) В локальном, пароль на ключе не восстанавливается кроме, опять же, сложного перебора (сложнее, чем для crypt, хотя и проще, чем вычисление приватного ключа перебором) и может регулярно меняться владельцем.
Как по мне, оба - в безусловный плюс. (Конечно, и минус есть - файл ключа надо носить с собой.)
С учётом вашего соседнего комментария, где вы (пусть и неявно) предлагаете всем перейти вместо ключей на набирание 40-символьных паролей, этот дядя угрожает именно вам. Ключ с не сильно сложной защитной фразой имеет безусловные преимущества и по удобству, и по безопасности.
Я набираю 40-символьный пароль по многу раз в день — и не облезаю.
Значит, вы в этом уникум и в состоянии сделать то, что всеподавляющее большинство пользователей сделать не в состоянии. Но это само по себе не было бы проблемой, все мы в чём-то уникумы. Проблема, что вы считаете, что все должны уметь такое. А вот это уже деструктивная позиция, которая не должна приниматься в расчёт при выборе подхода, приемлемого (и имеющего преимущество над остальными) хотя бы для большинства.
Встроенные в мозг, угу. И открываемые паролем - слепком ауры носителя (при множественных личностях нужны раздельные токены). Лет через двести, наверно, будут.
Вы, оказывается, отвечаете не кнопкой ответа, я случайно заметил. Если вас интересует продолжение дискуссии, пользуйтесь кнопкой "Ответить".
Зато в личном опыте такое есть, знаю нескольких человек. Не все встроились.
1) Я не пишу туда совсем всё, что умею и когда-то делал. Некоторые вещи нет смысла писать, они покрываются общим умением. 2) Развитие возможно и в пределах одного пункта. Вообще, мне эти меряния органами не очень интересны, скажу лишь, что радикально менял направление, наверно, раз пять.
Вы не представляете себе, какие свойства я имел в виду, но говорите про zOS.
И какие, по-вашему, суперсвойства zOS тут настолько важны?
Есть разные методы. Например, вот такое средство:
Потому что вопрос надо ставить не "зачем", а "почему".
Все мы рождаемся "очень глупенькими" и набираем знаний/умений/опыта или из рассказов других, или из собственных шишек. Статья как раз делится правильными подходами, которые могут быть неочевидны для тех, кто с этим не сталкивался.
С чего это? Он может быть сгенерирован из своего готового образа, облачные провайдеры свободно допускают такое и рекламируют как сервис.
Есть такая проблема, угу. Частично из-за инерции. А частично из-за следующих факторов:
1) Кодировки. Ладно, в Unix мире можно обеспечить всё на utf-8. А если участвует Windows? Будет пароль перегнан в utf-16le или нет? А то, что это даст другой хэш? А раньше ещё была путаница koi8-r против cp1251 против cp866.
2) А ввод пароля при залоченном экране? Не везде можно было переключить на клавиатуру с кириллицей (кажется, только с Windows 10, если рассматриваем MS, сделали гарантию ввода).
3) Клавиатура и режим ввода. Вы садитесь за чужую машину, а там, например, ивритская клавиатура и нет режима ввода кириллицы, а менять системные настройки никто не даст.
Согласен, что для заметной части пользователей ситуация "сесть за чужую машину и залогиниться в себя" недопустима в принципе. Но те, кому это нужно и можно (корпоративная обстановка) будут влиять на среднее мнение.
Процитированное - реверанс его авторов из стандартной академической скромности. А вот умолчательное использование в дистрибутивах - уже аргумент в пользу его предпочтения. Извините за отсылку к авторитетам, но там явно думали, совещались и просили консультаций у криптографов, перед тем, как принять это решение. И ещё, за 10+ лет развития "железа", облаков и вообще IT, понятие "large-scale" поменялось.
А вот ваше "Вы не Гугл и не Яндекс" (откуда вы знаете-то? может, я как раз в одном из них работаю?) показывает, что к вопросу защиты вы относитесь достаточно наплевательски.
И в третий раз повторюсь - перестаньте проецировать на всех свои сверхспособности и обратитесь к реальности. Для большинства людей - а расчёт именно на них, а не на гениев типа вас - запомнить пароль можно только если есть сверхстойкая ассоциация, которая не теряет своей прочности в мозгу за годы. Но таких ассоциаций у среднего человека очень мало, или они представлены не в текстовом виде.
Стихи, как вы предлагаете рядом, такой ассоциацией не являются - даже если помнится основная конструкция, отдельные слова и целые строки забываются и их надо перечитывать.
Вам таки надо познакомиться с реальными наработками по UX.
Это решается бэкапами. Ключ с паролем я доверю даже условному гуглу.
И снова это показывает, насколько вы подвержены эффекту "curse of knowledge" ("curse of skills", как бы он ни назывался), абсолютно не понимая, какие проблемы могут быть у других. Именно в этом случае я знаю людей, которые, в остальном успешные "по жизни", 1) забыли напрочь после школы все стихи, и тем более другие точные цитаты из классиков, 2) при набирании подобной цитаты могут ошибиться в орфографии (дремлеш? дремлишь? прелесный? чудестный?), пропустить запятые, 3) банально опечататься раз пять при наборе этой фразы, попав в соседнюю клавишу. Про "крайне низкие шансы закончить школу" - грубая неправда. Заканчивают, и (повторюсь) успешно живут.
(Это я даже ещё не вспоминал, что если хотя бы 2% начнут цитировать одни и те же произведения из школьной программы, то уже они станут типовыми фразами для подбора пароля.)
Пожалуйста, или спуститесь на землю из своих воздушных замков из слоновой кости, или обратитесь к реальности - через научные исследования эргономики и UX.
При согласии в принципе, замечу, что современные средства шифрования паролей намеренно рассчитываются на очень дорогую (и по памяти, и по операциям) проверку. Почитайте установочные документы по yescrypt, Argon2 и прочим. Например, для дефолтных параметров yescrypt имеем, на современный x86 не-мобильного типа, около 100мс и 32MB на одну проверку. То есть 10 паролей в секунду на ядро.
Про GPU, ChatGPT мне сказал такое:
я не проверял, я слишком мало знаю про GPU. Но выглядит достоверно.
Итого ≈3000 в секунду. И это на весьма дорогой современной технике.
Эти сервисы и ботнеты будут загружены на много лет вперёд, если мы говорим про обычное использование для украденного с сайта "я и моя собака, а вот прайс на то как я пилю деревья". Если мы говорим про целевую атаку (advanced persistent threat) - да, их купят. Иначе - нет.
Согласен, автор статьи перегибает в другую сторону. Но и говорить, что всё короче, например, 16 символов будет взломано за день-два - совершенно неадекватно.
Даже если не вводить ключ в агента, то мы имеем:
1) В сетевом взаимодействии ключ гарантирует неутечку рабочего секрета (приватного ключа) при знании парного публичного ключа. "Гарантирует" здесь на том уровне, что найти приватный ключ по публичному - задача на десятки порядков сложнее, чем найти пароль даже при использовании какого-нибудь yescrypt.
2) В локальном, пароль на ключе не восстанавливается кроме, опять же, сложного перебора (сложнее, чем для crypt, хотя и проще, чем вычисление приватного ключа перебором) и может регулярно меняться владельцем.
Как по мне, оба - в безусловный плюс. (Конечно, и минус есть - файл ключа надо носить с собой.)
С учётом вашего соседнего комментария, где вы (пусть и неявно) предлагаете всем перейти вместо ключей на набирание 40-символьных паролей, этот дядя угрожает именно вам. Ключ с не сильно сложной защитной фразой имеет безусловные преимущества и по удобству, и по безопасности.
Значит, вы в этом уникум и в состоянии сделать то, что всеподавляющее большинство пользователей сделать не в состоянии. Но это само по себе не было бы проблемой, все мы в чём-то уникумы. Проблема, что вы считаете, что все должны уметь такое. А вот это уже деструктивная позиция, которая не должна приниматься в расчёт при выборе подхода, приемлемого (и имеющего преимущество над остальными) хотя бы для большинства.
Ну вот и интересно, зачем вы настаиваете на жертве безопасности.
Картинка зачётная, но от ответа вы ушли.
Биометрию легче подделать. По крайней мере ту, что сейчас отработана технологически.
Встроенные в мозг, угу.
И открываемые паролем - слепком ауры носителя (при множественных личностях нужны раздельные токены).
Лет через двести, наверно, будут.
Чтобы задавать такой вопрос в такой формулировке, нужно вначале обосновать, что эта сущность лишняя. Я не вижу, почему бы ей быть лишней.
спасибо:)
Если я правильно прочитал, они это обещали делать именно для входа в локальную систему, в начале сессии или для разблокирования.