NorSIS ber nordmenn droppe 1234 som passord

[NTB - digi]

NorSIS ber nordmenn droppe 1234 som passord

[LMH1]

hvorfor har man da passord? kunne det ikke vært bankid eller noe annet?

[Offpiste]

Bruk Bitwarden og 2FA.

[Sandormen]

Nøhj. Ikke forsøk å få folk til å unngå ‘1234’ Eller fødselsdato.

man kan advare i mange år, faktisk, det er god butikk i å gi råd.

Jeg ønsker at folk lager en tilfeldig

’J4@vI_Elsk3r’

Men hey, det vil aldri(?) skje?

Dere vet de årlige lister med dårlige passord?

-Vi har to millioner mest brukte passord. Problemer opstår når folk bruker kurillisk eller tagalog.

-Så tar ting tid.

-Man finner først ut hvilken internett-tilbyder man bruker, så finner man ut hvor lenge personen har hatt abonnement, så ‘vet’ man hvilken ruter personen sitter med, så bruker man ‘google’, 

Vips, man er hakket.

Vel, egentlig ikke hakking, men ‘man-in-the-middle’.

Man bruker informasjonen til å sende en email, som ligner fra personens bank, de sender det hele. 

Jeg har vanskelig for å definere forskjellen mellom de som snyter for små penger, og de som sender millionregninger til et stort firma.

-Man skulle jo tro de som håndterer millioner (EQUINOR, JEG  SER DERE) Vil kikke på småregninger og en ‘kalkun’ til 70.000,-

Vi behøver sekretærer som står fram.

[Dubious]

Kan jo prøve 56789

[Aksjeluringen]

Man høster som man sår...Bruker man 1234 eller qwerty som passord er det virkelig velfortjent at folk hacker kontoen.

[Stimann]

At folk fortsatt bruker slike passord er helt uforståelig. At det går an ?

[0laf]

Æsj, nå må jeg endre passordet mitt, jeg som har brukt 1234 i flere tiår ?
 

Det som er pussig, er at svært mange tjenester fremdeles krever spesielle tegn, store bokstaver eller lignende i passordet, og at man stadig anbefaler ditt og datt, men ikke anbefaler det aller enkleste, en frase som er lett å huske, men som har uvanlige ord og høy entropi.

Et passord som "Lykka kjæm itj rækan på ei fjøl" har en entropi på nesten 200 bits, og vil være nesten helt umulig å knekke med brute-force, samt at det trolig er like umulig med ordlister.

Enklere varianter, som "Dizzie Tunes er tipptopp" har fremdeles entropi på over 100 bits, og vil være usedvanlig vanskelig å knekke.

Til sammenligning har passord som "X£{|%&(OR0" eller "AF=_ÅA*S""¤" entropi på 40-50 bits, og er nærmest umulig å huske, men er mye lettere å knekke.

[blured]

De vanlige kravene pleier å være store og små bokstaver, minst ett symbol og et tall og minst x-antall tegn. Om man har en frase, så er det fremdeles veldig lett å oppfylle om man bruker et symbol i stedet for mellomrom, og bare legger til et tall et sted:

Det er vanligvis et større problem etter min erfaring at nettsider har en maksimalt tillatt lengde på passordene (pga begrensninger i systemet...), slik at man likevel må gå over til å bruke forferdelige passord som "X£{|%&(OR0" eller "AF=_ÅA*S""¤".

[Merko]

Sandormen skrev (1 time siden):

Jeg ønsker at folk lager en tilfeldig

’J4@vI_Elsk3r’

Men hey, det vil aldri(?) skje?

 

Det eksemplet ditt er jo faktisk et dårlig og usikkert passord.  

Last ned LastPass til nettleser og mobil, så er man ganske godt sikra. 

Da får man generert gode passord som man ikke må huske, annet enn et "master passord" når man skal inn i vaulten sin en sjelden gang.

▬▬▬▬▬▬▬▬▬▬▬Signatur▬▬▬▬▬▬▬▬▬▬▬
Innlegget nyttig? Gjerne eller innlegget!
Mine Anbefalte Chrome / Edge Plugins

[Memento scientiam (takk for meg)]

Wow, dette var jo virkelig en nyhet. Æsj... Nå må jeg endre alle de 1234-passordene mine. Hvordan skal jeg få til det? Jeg brukte jo tross alt midlertidige e-postaddresser hver gang også! 

[0laf]

Merko skrev (2 timer siden):

Last ned LastPass til nettleser og mobil, så er man ganske godt sikra. 

Javisst, ingenting er bedre enn å gi bort absolutt alle brukernavn og passord til en tjeneste på nett, da er det trygt.

LastPass er jo også en glimrende tjeneste, de har bare blitt kompromittert et par ganger i året siden de startet opp.

• Sitat

  • 2014 - Researchers at the University of California Berkeley discovered a number of vulnerabilities in a handful of password managers (LastPass)
  • 2015 - An intrusion to the company’s servers was detected. While encrypted user data wasn't stolen, cyber criminals stole LastPass account email addresses, password reminders, server per-user salts, and authentication hashes.
  • 2016 - LastPass: Google Project Zero Hacker Tavis Ormandy discovered a critical zero-day flaw that allowed any remote attacker to compromise accounts completely.
  • 2017 - LastPass: Tavis Ormandy discovered a vulnerability in its browser plugins, which LastPass called a “major architectural problem“. The password management service advised users to avoid using its browser plugins while it dealt with the issue.

   

Endret 18. august 2020 av 0laf

[Merko]

0laf skrev (2 minutter siden):

Javisst, ingenting er bedre enn å gi bort absolutt alle brukernavn og passord til en tjeneste på nett, da er det trygt.

 

Passordene er trygt kryptert hos LastPass.  

0laf skrev (2 minutter siden):

LastPass er jo også en glimrende tjeneste, de har bare blitt kompromittert et par ganger i året siden de startet opp.

 

Passord har aldri kommet på avveie fra LastPass.  

[0laf]

Merko skrev (8 minutter siden):

Passordene er trygt kryptert hos LastPass.  

Poenget er vel at de ikke burde være kryptert noe som helst sted, det bør være kun deg som har passord, det er trolig tryggere lagret i plaintext på din egen maskin, men aller helst lagret godt i hodet ditt.

Enhver tjeneste som lagrer passord, kryptert eller ikke, er dømt til å feile, det er "sikkerhet 101".

At LastPass ikke har blitt mer alvorlig kompromittert, er mer flaks enn dyktighet.
 

[Merko]

0laf skrev (1 minutt siden):

det bør være kun deg som har passord, det er trolig tryggere lagret i plaintext på din egen maskin, men aller helst lagret godt i hodet ditt.

 

Det er jo med slik tankegang at flere og flere folk blir "hacket", eller mister tilgang til kontoene sine..

 

[NoTrace]

41 minutes ago, 0laf said:

Poenget er vel at de ikke burde være kryptert noe som helst sted, det bør være kun deg som har passord, det er trolig tryggere lagret i plaintext på din egen maskin, men aller helst lagret godt i hodet ditt.

Enhver tjeneste som lagrer passord, kryptert eller ikke, er dømt til å feile, det er "sikkerhet 101".

At LastPass ikke har blitt mer alvorlig kompromittert, er mer flaks enn dyktighet.
 

Så lenge de fortsetter å holde krypteringen sin oppdatert med nye protokoller er det ikke nevneverdig stor sikkerhetsrisiko å bruke tjenesten. Jeg er ikke enig med påstanden.

Når man i tillegg bruker Lastpass slik det er tiltenkt, å benytte ett sterkt passord per tjeneste, kontra samme over alt, så minimerer man også muligheten for at disse tjenestene blir hacket for så å bli brukt for å komme seg inn på andre tjenester.

[galasb]

Vanlige passord på norske arbeidsplasser er:

Sommer2020, Host2020, Vinter2020, Vaar2020 (eller bare 20 bak)

[blured]

Ikke så rart når de jevnlig krever at man bytter passord, i tillegg til at passord for innlogging på maskiner ikke er noe man bruker passord manager på. Da blir det fort til at man kombinerer et grunnpassord (som forhåpentligvis er et bra et...) + årstall/periode

[Sandormen]

Merko skrev (På 18.8.2020 den 20.40):

Det eksemplet ditt er jo faktisk et dårlig og usikkert passord.  

Last ned LastPass til nettleser og mobil, så er man ganske godt sikra. 

Da får man generert gode passord som man ikke må huske, annet enn et "master passord" når man skal inn i vaulten sin en sjelden gang.

▬▬▬▬▬▬▬▬▬▬▬Signatur▬▬▬▬▬▬▬▬▬▬▬
Innlegget nyttig? Gjerne eller innlegget!
Mine Anbefalte Chrome / Edge Plugins

Dårlig og usikkert? Mnjae.

En streng på 12 tegn er rimelig sikker, og om man bruker en strofe på flere ord som er spesifikt for sitt eget språk blir det enklere å huske. -Og hvis man vil kan man jo legge inn lengre strofer.

Enkel å hakke sier du? Javel?

Tenker du bruteforcing? Lykke til, med mindre du har god tid, skal du nok få en utfordring med mitt lille 12-tegn eksempel. ?

[Merko]

Sandormen skrev (3 minutter siden):

Dårlig og usikkert? Mnjae.

16 tegn er vel det som er anbefalt nå. Passordet blir ikke noe sikrere av at du putter diverse tegn i passordet.
Det beste er om du enten har en lengre setning, eller "blokker" av ord du husker rekkefølgen på.