Microsoft предложила альтернативу сложным паролям

[rianon]

Слушайте, а как красиво можно пополнять словарь для брутфорса

[Gorthauer87]

Парсить stdout?

[pennanth]

Вводимый пароль не обязан быть правильным. Просто любой пароль, введенный N раз (вне зависимости от правильности или от учетной записи), считается убитым.

[bondbig]

я так понял, не N раз, а N-ым количеством пользователей. Если, например, пароль ytrewq ввели 10 человек, то 11 не сможет его использовать. Как-то так.

[pennanth]

Идея в том, чтобы запретить «похожие» пароли. Похожесть может вычисляться разными способами: расстоянием Левенштейна, Хэмминга, etc.

Поэтому одинакового или похожего пароля не будет ни у одной пары пользователей. Разумеется, тогда ввод одного и того же пароля несколько раз для одного или многих пользователей и будет означать атаку.

[spmbt]

Да, новость — в стиле 1-апрельской шутки. Т.е. легко найти хотя бы 1 популярный пароль, при котором происходит отказ при попытке регистрации, чтобы затем перепробовать его на всех остальных пользователях и найти тех самых N, которые его используют.

[alexeyrom]

1. Для начала нужно иметь список всех пользователей.
2. Разумеется, в схему входит блокирование попыток многократного входа под разными логинами с одним паролем.
3. Да, это можно делать с разных компьютеров и т.д. Но это уже значительно увеличивает усилия взломщика.

[iAmGeorge]

все 11 не смогут

[bondbig]

а что произойдет? Их принудят сменить пароль? Глупость. Предложенный метод призван не допустить массовых популярных паролей на ресурсе. Скажем, если при аудитории 100К одинаковый простой пароль выберут всего 1% — это уже 1000 человек, а если взглянуть на сервисы типа фейсбука, то это 5М пользователей с одинаковым паролем. С применением сабжевого метода — 10 пользователей. Ну и хрен с ними, как говорится, не будет таких массовых угонов, как сейчас.

[ilgub]

и начнется беда как с логинами: «Данный логин занят». Зачастую простой пароль выбирается обдуманно, когда перспектива потерять аккаунт не пугает.

[JustOxlamon]

«Этот пароль уже использует пользователь Миша. Пожалуйста используйте другой пароль.» (с) Bash

[inode]

Да, действительно, если система отказывается принимать какой-либо пароль, значит он точно используется кем-то другим. По-моему, это все-таки баг, а не фича. :)

[alexeyrom]

Во-первых, нет. В описанной схеме используется такая структура данных, что есть вероятность получить ответ «пароль используется», даже если это не так. А во-вторых, это, конечно, не фича, но и не баг.

[inode]

В прошлом году неоднократно сообщалось об утере базы паролей некоторыми социальными сетями.

Можно пример? Что-то мне не верится, что какая-то серьезная социальная сеть хранит пароли в открытом виде.

[PoliTeX]

это не проблема, есть база хешей, из такой базы паролей можно найти пользователей, хэши паролей которых известны, и их будет ооочень много…

[pennanth]

А солить хэши? Вроде же, стандартная практика.

[DeeZ]

Часто всплывают базы, похищенные фишингом.
От контакта в прошлом году всплывало 2 базы, собранные таким образом. Например вот и вот

[homm]

новая схема проверяет, чтобы один и тот же пароль был не более чем у нескольких пользователей системы одновременно, при этом пропадает необходимость использовать сложные пароли без ущерба для общей безопасности системы.

Это как из первого следует второе? Если у меня будет пароль god и его больше ни у кого не будет, меня что, не смогут взломать?

[jfkz]

homm имел ввиду, что если поставить простой пароль, который больше никто не использует — безопасность не улучшится.

Имеет смысл комбинировать — оставлять старые проверки на сложность самого пароля, и новые — на непопулярность. Хотя я пока тоже не вижу особого улучшения в этом нововведении.

[mussgrinn]

Почему не улушится? Никто не говорит об отмене 10 попыток на перебор — соответственно, взломщики смогут использовать базу лишь из 10 слов, что даст им возможность взломать всего пару десятков аккаунтов (т.к. лишь у пары десятков пользователей будут эти пароли, остальным система запретит их использовать и придется придумывать пароли похитрее), но никак не тысячи или миллионы.

[axshavan]

Вас — смогут. Но так как ни у кого больше такого пароля не будет, то остальных взломать станет чуть сложнее (наверное).

[homm]

Ну как же! Пресс релиз утверждает, что я смогу пользоваться простыми легко запоминающимися паролями и меня не сломают.

[axshavan]

Видимо, вся загвоздка в том, что сложно будет выбрать такой простой легко запоминающийся пароль.

[alexeyrom]

для общей безопасности системы

Если Ваш аккаунт взломают, но только его, то от безопасности системы в целом не сильно убудет.

[fenrirgray]

Угу и на всех более менее популярных сервисах пользователям все равно придется придумывать сложные пароли, потому что все простые будут уже заняты, а сложные пароли трудно запомнить. Как там в статье было? Круг замкнулся?

[axshavan]

Только что подумал, что всё равно это будет ухудшение и безопасности, и удобства.
В стандартной схеме у всех людей длинные сложные пароли, но некоторые простые и одинаковые (например, AaBbCc123!@#). В предложенной МС схеме у некоторых людей будут совсем простые пароли, у некоторых — чуть сложнее, а остальные будут ломать себе головы над выбором нового длинного сложного пароля, которого, к тому же, ни у кого ещё и нет.
По понятной причине пароли проще будут у тех пользователей, кто менял их (или регистрировался) раньше, и, если как-нибудь отследить эту информацию, то можно выделить множество аккаунтов с, вероятно, простыми паролями. А остальные будут плеваться и выдумывать себе пароли по полдня.

[aduchi]

То что парольная защита является анахронизмом никого не волнует?