Tässä oli jo monta hyvää pointtia, mutta pari asiaa oli unohtunut.
Entropian määrä ja mahdollinen salasanan vahvistaminen aka password streghtening / key stretching, sekä järkevän / tehokkaan salasanan tallennuksen käytätminen md5:n sijaan, esim scrypt.
Kun tekee hommat järkevästi, niin kohtuullisella, mm. 16 merkkisellä avaimella saa kyllä varsin vahvan salauksen aikaiseksi. Valitettavaa kuitenkin on se, että monin paikoin hommat on tehty normaalisti, eli käytännössä todella typerästi. Lisäksi ohjelmistokehittäjien typeryyden lisäksi laskee vielä käyttäjien typeryyden salasanojen valinnassa, niin soppa on täydellinen. - Kuten kaikki varsin hyvin tiedämme.
Viimeiseksi vielä se mitä tässä ei ollut mainittu, eli jokaiseen palveluun tulee tietenkin käyttää ERI salasanaa. Samaa salasanaa ei tule koskaan käyttää eri palveluihin. Samaankin palveluun olisi suositeltavaa olla useita salasanoja sen mukaan, millaista käyttöoikeutta juuri sen istunnoin aikana tarvitaan. Taas kerran, hieno idea, joka ei useimmissa palveluissa koskaan tahdo toteutua.
Tämän päälle sitten vielä 2FA jne.
Viimeiseksi teille linkki pureksittavaksi:
https://www.grc.com/haystack.htmKunhan entropia on riittävä ja ennakoimaton voi salasanan muistamista helpottaa myös vaikka täytesäännöillä. Tämä vahvistaa sanasanaa, kunhan edes osa siitä on riittävän vahva.
mm. s-a--l---a----s-----a------n-------a on helppoa muistaa, mutta ei helposti kräkättävissä.
Henkilökohtaisesti en ymmärrä miksi salasanoihin laitetaan rajoituksia. Mun mielestä salasana on kasabittejä, se mistä se muodostuu, on sitten käyttäjän ihan oma asia. UTF-8 merkistö sallii melkoiset salasanat.
Lisää tästä aiheesta on mun blogissa vaikka kuin paljon, sekä paljon paremmista ratkaisuista myös. Tämä keskustelu kuitenkin pomppaa aina pinnalle kun salasanavuotoja tulee. Mielestäni salasanavuoto ei ole se ongelma, koska eihän niillä salasanoilla tee mitään. Toisaalta, jos hyökkääjillä oli pääsy salasanoihin, on heillä hyvin todennäköisesti pääsy myös muuhun järjestelmissä olevaan dataan. Joten tämä kertoo siitä, että peli on tuossa vaiheessa jo menetetty. Salasana ja autentikointijärjestelmän pitäisi kuitenkin olla yksi niistä eniten kovetetuista osa-alueista järjestelmässä. Löysin muuten tuollaisen failin yhden virtuaalikonepalveluita tarjoavan firman web-portaalista.
Unohtamatta sitten sitä, että monet palvelut ei salaa verkkoliikennettä ja käyttää cookie autentikointia ja vaikka mitä muuta failia päälle.
