Kirjoittaja Aihe: Salasanan turvallisuus  (Luettu 2914 kertaa)

ajaaskel

  • Palvelimen ylläpitäjä
  • Käyttäjä
  • Viestejä: 3388
    • Profiili
Salasanan turvallisuus
« : 04.03.13 - klo:19.59 »
Toisaalla esitettiin mielenkiintoinen haaste salasanoihin liittyen.  Tehtävänä on selvittää md5 -tiivisteestä (esimerkiksi tämän näköinen "baceebebc179d3cdb726f5cbfaa81dfe") takaisin selväkieliseksi päin mikä oikea salasana on:

http://www.ohjelmointiputka.net/posti.php?tunnus=md5h

Idea on mielenkiintoinen ja koska se on myös opettavainen niin hieman tarinaa siitä.  
Yksinkertainen tapa selvittää alkuperäinen salasana on lähteä kokeilemaan järjestyksessä läpi kaikki yksimerkkiset: a, b, c, d,..., sitten kaksimerkkiset aa, ab, ac,..., kolmimerkkiset aaa, aab, aac,... jne.  Tuo on eräänlainen "raa'an voiman" keino.   Kirjoittelin pienen bash-ohjelman eli skriptin joka tekee tuon.  Ohjelma rakentaa kokeiltavan merkkijonon, ajaa sen md5 -muunnoksesta (md5sum) läpi ja vertaa tuliko tulokseksi sama mitä oltiin etsimässä.  Tässä pieni esimerkki ohjelman toiminnasta:

Koodia: [Valitse]
./avaa_md5

md5 tiivisteen avaus kokeilemalla vaihtoehdot peräkkäin.
Tämä esimerkki etsii vain pieniä kirjaimia a...z.
Salasanan pituus voi olla yhdestä neljään merkkiä.

Anna md5: baceebebc179d3cdb726f5cbfaa81dfe

Kokeillaan yksimerkkiset salasanat

Kokeillaan kaksimerkkiset salasanat
Salasana on: ur

Tarkastetaan tulos koodaamalla tuo "ur" takaisin md5 -tiivisteeksi vaikka näin:

Koodia: [Valitse]
echo -n "ur" | md5sum
baceebebc179d3cdb726f5cbfaa81dfe  -

tai näin:
Koodia: [Valitse]
echo -n "ur" | openssl md5
(stdin)= baceebebc179d3cdb726f5cbfaa81dfe

Näyttäisi idea toimivan ok ja murtamishaasteen lyhyt salana aukeaa tuolla keinolla nopeasti.  

Ohjelma kokeilee tehtävämäärityksen mukaisesti vain pieniä kirjaimia a...z mutta mikään ei estä muuttamasta ohjelmaa niin että se kokeilee myös isoja kirjaimia ja numeroita tai vaikkapa kaikkia näppäimistön merkkejä.  Tässä yhteydessä joudutaan kuitenkin miettimään ohjelman ajoaikaa:  Jos testattavaa merkistöä laajennetaan niin kestää oleellisesti pidempään ajaa läpi kaikki yhdistelmät. Tässä esimerkissä on rajoituttu 4 merkin mittaisiin salasanoihin.  Ohjelma aukaisee (riippuen koneen tehosta) tuon mittaisen salasanan vielä ihan kohtuullisessa ajassa tavanomaisella kodin tietokoneella.  Tuon Ohjelmointiputkan md5 -haasteen neljä ensimmäistä koodia aukeavat vaivatta mutta aika pitenee voimakkaasti salasanan pidetessä.  
Menetelmänä kaikkien salasanojen läpikäynti peräkkäin on 100 % varma mutta tehoton tapa.   Ideana tuossa ei olekaan esittää tehokasta tapaa vaan näyttää idean toiminta käytännössä ja päästä kokeilemaan miten salasanan pituus vaikuttaa jos niitä puretaan takaisin päin selväkieliseksi.
Ohjelma on täällä ja se on helppolukuinen ohjelmointia hieman tuntevalle (sopisi vaikka kouluun harjoitukseksi ?):

http://www.homelinuxpc.com/download/avaa_md5

Tiputuksen jälkeen anna ajo-oikeus:
Koodia: [Valitse]
chmod +x avaa_md5ja aja sitten:
Koodia: [Valitse]
./avaa_md5

Tuo yksinkertainen koe jo osoittaa yhden asian:  Lyhyt salasana aukeaa nopeasti yksinkertaisin keinoin ja hyvin tehottomalla menetelmälläkin.  Salasanojen purkuun on kuitenkin kehitetty tehokkaampia menetelmiä.  Yksi mielenkiintoinen menetelmä on "Rainbow Table" eli sateenkaaritaulu joka nopeuttaa selvitystä paljon mutta on onnistumisvarmuudeltaan usein vain 99,9 %.  Menetelmässä käytetään ennalta laskettuja taulukoita jotka on talletettu suurehkoihin tiedostoihin.  Näitä tiedostoja voi tehdä itse mutta se on aikaa vievää.  Itse salasanan selvitys sujuu kuitenkin nopeasti sen jälkeen. Näitä tauluja saa kuitenkin myös valmiiksi koodattuna netistä. Toinen asia jota käytetään on tehokkaat näytönohjaimet, näytönohjainta "väärinkäytetään" tekemään laskutoimituksia jolloin laskentanopeus voi olla esimerkiksi 25 kertainen tuiki tavallisella kotikoneellakin.   Jo näiden asioiden takia kymmenmerkkinen salasanakin md5 -tiivisteenä aukeaa.   Myös erilaisten nettipalveluiden kautta saa salasanat auki nopeasti.        
Linuxeissa on jo pidemmän aikaa ollut käytössä menetelmiä jotka on vaikeampi murtaa.  
 
« Viimeksi muokattu: 04.03.13 - klo:20.10 kirjoittanut ajaaskel »
Autamme ilolla ja ilmaiseksi omalla ajallamme.  Ethän vaadi, uhoa tai isottele näin saamasi palvelun johdosta.

odysseus

  • Käyttäjä
  • Viestejä: 367
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #1 : 24.03.13 - klo:14.07 »
Hyvä pointti tuo salasanojen pituus.

Itse olen joskus miettinyt sitä hommaa kun aina sanotaan, että hyvässä salasanassa on aina isoja ja pieniä kirjaimia sekä numeroita ja erikoismerkkejä. Monet palvelut jopa vaativat nykyään kaikkia noita, jotta salasana kelpaa.

En kuitenkaan ymmärrä tuota kaikken käytön vaatimusta. Pituus on mielestäni ainoa, joka ratkaisee.

Minun mielestäni se on aivan sama onko salasanassa vain vaikkapa pieniä kirjaimia, sillä eihän se "purkaja" tiedä mitä on käytetty. Purkuohjelma siis olettaa kuitenkin, että käytössä on kaikkia mahdollisia yhdistettynä. Jos jätän erikoismerkin käytön pois, niin mielestäni salasana ei huonone yhtään.

Otetaanpa esimerkki:

"oikeinsalainensana"
Tämä on varmasti huono, sillä nuo sanat ovat sanakirjasta ilman välilyöntejä

"oIkeInsAsAlAInensAnA"
Tässä on jo aika paha, vaikka muutettiin vain i=I ja a=A. Ei löydy enää sanakirjasta.

"o2ke2nsAlA2nensAnA"
Ei kun pahenee.. Nyt siis i=2 ja a=A

"o2ke2nsAlA2nensAn4"
Tässä nyt vielä se ero, että viimeinen A=4

"o2ke2nsAlA2nens@n4"
Ja nyt erikoismerkki mukaan, toiseksi viimeinen A=@

Minusta nuo kaikki muut paitsi ensimmäinen ovat purkuohjelmalle aivan yhtä pahoja jos malli on tuo brute-force. Ellei nyt sitten ensin käydä läpi pieniä kirjaimia ja sitten isoja ja sitten numeroita ja sitten.... ....Siinä tapauksessa salasana on turvallisin, jos se sisältää vain niitä viimeiseksi mukaan otettavia merkkejä (ascii-numeron mukaan tai vastaavaa) ja kääntäen turvattomin jos se on taulukon alkupäästä.

Eli millä perusteella väitös on aina se, että pitää sisältää kaikkia mahdollisia merkkejä?

Minä väitän, että tuommoinen 16 merkkiä pituutta on jo aika hyvä. Itse palvelussa/tietokannassa luonnollisesti sitten md5-summaan pitää tietenkin lisätä suola ja se saa olla vaikka 4kb pitkä jono soopaa.
md5-summan summaus toisella suolalla tai kaksinkertainen kryptaus ovat myös hyviä keinoja.



Ville Pöntinen

  • Käyttäjä
  • Viestejä: 2078
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #2 : 25.03.13 - klo:08.32 »
Minun mielestäni se on aivan sama onko salasanassa vain vaikkapa pieniä kirjaimia, sillä eihän se "purkaja" tiedä mitä on käytetty. Purkuohjelma siis olettaa kuitenkin, että käytössä on kaikkia mahdollisia yhdistettynä. Jos jätän erikoismerkin käytön pois, niin mielestäni salasana ei huonone yhtään.

Mielenkiintoista pohdintaa, kiitos vaan.

Jos suolaus on pitkä ja tehdään käyttäen muitakin merkkejä, kuin pienaakkosia, ovat kaikki salasanat käytännössä yhtä hyviä, eikö? Tosin suolasta riippuen yhden murrettuaan on kräkkeri moninkertaisesti lähempänä muidenkin murtamista.

Omasta, käyttäjän näkökulmasta (kun en tiedä millaista suolausta käytetään ja miten salasanaani säilytetään) pidän kyllä erikoismerkkejä salasanoissa järkevänä. Jos joku saa haltuunsa palvelun koko tietokannan, lähtee hän luultavasti murtamaan ensin salasanoja, joissa on käytetty vain pienaakkosia, jos sellainen on sallittu.

Joka tapauksessa minustakin pituus yhtä tärkeä tekjä, 6-8 merkkinen salasana on niiiiiin paljon nopeampi avata.

Elekaz

  • Käyttäjä
  • Viestejä: 92
    • Profiili
    • Piece of code
Vs: Salasanan turvallisuus
« Vastaus #3 : 25.03.13 - klo:08.51 »
Tosin suolasta riippuen yhden murrettuaan on kräkkeri moninkertaisesti lähempänä muidenkin murtamista.

Eikös suolauksen idea nimenomaan ole se, että yhden salasanan murrettuaan, hyökkääjä joutuu nähdä saman vaivan toisen salasanan kanssa. Suolan tulisi mielestäni olla jokaiselle käyttäjälle eri.

Jos joku saa haltuunsa palvelun koko tietokannan, lähtee hän luultavasti murtamaan ensin salasanoja, joissa on käytetty vain pienaakkosia, jos sellainen on sallittu.

Näin minäkin luulen, siksi itse käytän mahdollisuuksien mukaan numeroita ja erikoismerkkejä, jos ne ovat sallittuja. Skandinaaviset merkithän saattaa olla ihan hyvä lisä salasanoihin, tosin ulkomailta palveluihin kirjautuminen voi hankaloitua julkisilta päätteiltä. En tosin tiedä noista kräkkäys softista, osaavatko ne ottaa huomioon tälläiset seikat.

JaniAlander

  • Käyttäjä / moderaattori+
  • Viestejä: 2493
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #4 : 26.03.13 - klo:02.20 »
Mitenkäs turvallisia ovat salauslauseet, ts ei yksi salasana vaan kokonainen lause, tyyliin mitä vaikka PGP avaimissa on. Esim.: Tämä oN salaUslause pvm 11.11.2003
Skandeja välilyöntejä isoja kirjaimia numeroita pisteitä...
Core i5-4460 3.2ghz 24GB Ram, Nvidia RTX2060 Kubuntu 18.04-64bit FreeBSD 11.0-Release Windows 10 Pro 64-bit Samsung Series 5, AMD A-6 2.1 GHz 4 Gt Ram, Ubuntu 18.04 64-bit.
Lenovo T60 Core2Duo 2GB Ram Ati Mobility Radeon 128 MB Ubuntu Mate 16.04-64bit
Commodore Amiga 500 1MB Ram.

petteriIII

  • Käyttäjä
  • Viestejä: 598
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #5 : 26.03.13 - klo:06.38 »
Kokeilinpa tuota ajaaskelen skriptiä. Hyvin toimi - tosin verkkosivulle oli lipsahtanut joku vanhempi versio ja riviltä 8: generoitu=$(echo -n $salasana | md5sum | cut -c1-32)   piti -n poistaa.

Mutta Skriptiajuri toi esiin uuden ilmiön: joku oppii, varmaankin BASH. Jokatapauksessa ajettaessa sama uudestaan homma nopeutuu 5-10 kertaiseksi, mutta vain USER kohdasta ja toiset ovat suurinpiirtein niinkuin ennenkin.

Kun vaihtaa käyttäjää tai boottaa niin taas ensimmäinen ajo kestää ja seuraavat ovat nopeampia.
- saattaa olla että se on skriptiajuri joka muistaa, mutta ei se siitä yhtään normaalimmaksi muutu.

_Pete_

  • Käyttäjä
  • Viestejä: 1633
  • Fufufuuffuuu
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #6 : 26.03.13 - klo:10.53 »

Eli millä perusteella väitös on aina se, että pitää sisältää kaikkia mahdollisia merkkejä?


Mitä enemmän merkkejä kuuluu joukkoon josta salasana on muodostettu, sitä enemmän kombinaatioita
erilaisiin salasanoihin on mahdollista.

Jos siis tiedetään että salasana on tehty vain ascii merkeistä a-z niin voidaan käyttää brueforcetuksessa pelkästään näiden kombinaatioita kokeiluun. Jos mukana on myös merkit A-Z niin tuo joukko kaksinkertaistuu ja sitä myöten myös läpikäytävien bruteforcetusten lukumäärä tulee jo tuolla huomattavasti suuremmaksi.

bananapi / rapi2 / vServer

petteriIII

  • Käyttäjä
  • Viestejä: 598
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #7 : 26.03.13 - klo:19.59 »
Kiinnostuinpa tutkimaan tuota Ajaaskelen kuvausta 'reinbow-hausta': toimiiko se kuinka ja niinpoispäin. Tosiaan taulukon kasaaminen on meikäläisten rimpula-PC:llä kammottavan hidasta, mutta valmiilla taulukolla saa salasanan md5sum:masta nopeammin kuin kerkiää kätensä enteriltä
nostaa - tämä siis BASH:illa.

Jo aikoinaan koneeseen pääsi helposti murtautumaan kunhan pääsi koneen näppäimiin. Mutta se ei vastannut sitä että saa salasanan ja pääsee koneeseen ihan kunnolla. Eikä se salasanan hommaminen verkonkaan yli mahdotonta ole. 


_Pete_

  • Käyttäjä
  • Viestejä: 1633
  • Fufufuuffuuu
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #8 : 27.03.13 - klo:08.41 »
Jo aikoinaan koneeseen pääsi helposti murtautumaan kunhan pääsi koneen näppäimiin. Mutta se ei vastannut sitä että saa salasanan ja pääsee koneeseen ihan kunnolla. Eikä se salasanan hommaminen verkonkaan yli mahdotonta ole. 

Sama pätee nykyään ubuntuihinkin. Default asetuksilla valitsee vaan grub-menusta recovery boot ja pääsee suoraan root-shell. Ei tarvi nähdä vaivaa/hupia  edes murtautumisesta.

bananapi / rapi2 / vServer

ajaaskel

  • Palvelimen ylläpitäjä
  • Käyttäjä
  • Viestejä: 3388
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #9 : 27.03.13 - klo:09.41 »
Kokeilinpa tuota ajaaskelen skriptiä. Hyvin toimi - tosin verkkosivulle oli lipsahtanut joku vanhempi versio ja riviltä 8: generoitu=$(echo -n $salasana | md5sum | cut -c1-32)   piti -n poistaa.

Mutta Skriptiajuri toi esiin uuden ilmiön: .....

Tiputin ja kokeilin mutta en havainnut mitään vikaa toiminnassa:

Koodia: [Valitse]
chmod +x avaa_md5
./avaa_md5

md5 tiivisteen avaus kokeilemalla vaihtoehdot peräkkäin.
Tämä esimerkki etsii vain pieniä kirjaimia a...z.
Salasanan pituus voi olla yhdestä neljään merkkiä.

Anna md5:  baceebebc179d3cdb726f5cbfaa81dfe

Kokeillaan yksimerkkiset salasanat

Kokeillaan kaksimerkkiset salasanat
Salasana on: ur

Kertoisitko hieman lisää minkä ongelman kohtasit tai miten ?

PS.  Tein myös uteliaisuudesta version joka käyttää rinnakkaista prosessointia mutta en laittanut sitä esille kun tuo yksinkertainen esimerkki on idean valaisemiseksi ja opetustarkoitukseen selkeämpi.
Autamme ilolla ja ilmaiseksi omalla ajallamme.  Ethän vaadi, uhoa tai isottele näin saamasi palvelun johdosta.

ajaaskel

  • Palvelimen ylläpitäjä
  • Käyttäjä
  • Viestejä: 3388
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #10 : 27.03.13 - klo:10.12 »
Lainaus
Sama pätee nykyään ubuntuihinkin. Default asetuksilla valitsee vaan grub-menusta recovery boot ja pääsee suoraan root-shell. Ei tarvi nähdä vaivaa/hupia  edes murtautumisesta.

Jatkoin hieman toisen otsikon alle:

http://forum.ubuntu-fi.org/index.php?topic=44833.0
« Viimeksi muokattu: 27.03.13 - klo:10.20 kirjoittanut ajaaskel »
Autamme ilolla ja ilmaiseksi omalla ajallamme.  Ethän vaadi, uhoa tai isottele näin saamasi palvelun johdosta.

petteriIII

  • Käyttäjä
  • Viestejä: 598
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #11 : 27.03.13 - klo:16.53 »

Kertoisitko hieman lisää minkä ongelman kohtasit tai miten ?

PS.  Tein myös uteliaisuudesta version joka käyttää rinnakkaista prosessointia mutta en laittanut sitä esille kun tuo yksinkertainen esimerkki on idean valaisemiseksi ja opetustarkoitukseen selkeämpi.


Minun koneessani ei skripti toiminut ollenkaan ennenkuin tuon -n poisti. Kai se sitten on niin, että koneet ovat erilaisia - mutta kummallista se on. Voi se olla niinkin, että koneeni on pikkuisen rikki kun sitä joutuu päivittäin boottaamaan eri distrioihin monia kymmeniä kertoja ja joskus se tulee tehtyä virtanapista - 'kun näin eläkeläisellä on kiire'.

Voisitko hieman valottaa tuota rinnakkaisprosessointia ? Xarg:illa toteutuksen teorian arvostelua olen joskus nähnyt, mutta en yhtään toimivaa esimerkkiä. Eikä minulla ole edes käsitystä, kuinka edullista sitä on BASH:issa käyttää.

ajaaskel

  • Palvelimen ylläpitäjä
  • Käyttäjä
  • Viestejä: 3388
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #12 : 27.03.13 - klo:18.45 »
Jatkoin rinnakkainajon ideasta hieman tänne:

http://forum.ubuntu-fi.org/index.php?topic=44839.0

Olen soveltanut tuota joihinkin asioihin.

Lainaus
Minun koneessani ei skripti toiminut ollenkaan ennenkuin tuon -n poisti.
Tuo miinus ännä estää LF-merkin lähettämisen, saman voisi tehdä myös "printf": n avulla.  LF-merkki aiheuttaa virheellisen tuloksen md5-koodauksessa.
« Viimeksi muokattu: 27.03.13 - klo:18.48 kirjoittanut ajaaskel »
Autamme ilolla ja ilmaiseksi omalla ajallamme.  Ethän vaadi, uhoa tai isottele näin saamasi palvelun johdosta.

odysseus

  • Käyttäjä
  • Viestejä: 367
    • Profiili
Vs: Salasanan turvallisuus
« Vastaus #13 : 29.03.13 - klo:19.52 »
Jo aikoinaan koneeseen pääsi helposti murtautumaan kunhan pääsi koneen näppäimiin. Mutta se ei vastannut sitä että saa salasanan ja pääsee koneeseen ihan kunnolla. Eikä se salasanan hommaminen verkonkaan yli mahdotonta ole.  

Sama pätee nykyään ubuntuihinkin. Default asetuksilla valitsee vaan grub-menusta recovery boot ja pääsee suoraan root-shell. Ei tarvi nähdä vaivaa/hupia  edes murtautumisesta.




Tuota-tuota-tuota:

Jokaiseen koneeseen pääsee ihan helposti. Sehän on tarkoituskin, jos olet koneen ääressä!

Ubuntuun en muista mikä bootissa komentoriville, mutta esimerkiksi Fedoraan boot option perään numero 1 tai sana "single". ja olet yhden käyttäjän root tilassa. Sitten vain komennat passwd ja saat laittaa root salasanaksi ihan minkä haluat. Windowsissa tämä onnistuu boottaamalla live linux ja (asentamalla sekä) ajamalla chntpw -komento.

Salasanan tarkoitus ei ole lokaaliin koneeseen pääsyn estäminen! Sen hankalaksi tekeminen on täysin turhaa ja vain haittaa ja hidastaa esimerkiksi yrityksen IT-tuen toimintaa.

Salasanan tarkoitus on estää pääsy verkosta käsin siinä tapauksessa, että et pääse boottaamaan konetta! Kaikki muu salaus lokaalin pääsyn (=tiedon saaniin) estämiseksi on tehtävä tietoja (tiedostoja) kryptaamalla.
« Viimeksi muokattu: 29.03.13 - klo:19.54 kirjoittanut odysseus »

Sami Lehtinen

  • Käyttäjä
  • Viestejä: 729
  • Techie
    • Profiili
    • Sami Lehtinen
Vs: Salasanan turvallisuus
« Vastaus #14 : 04.05.13 - klo:19.19 »
Tässä oli jo monta hyvää pointtia, mutta pari asiaa oli unohtunut.
Entropian määrä ja mahdollinen salasanan vahvistaminen aka password streghtening /  key stretching, sekä järkevän / tehokkaan salasanan tallennuksen käytätminen md5:n sijaan, esim scrypt.

Kun tekee hommat järkevästi, niin kohtuullisella, mm. 16 merkkisellä avaimella saa kyllä varsin vahvan salauksen aikaiseksi. Valitettavaa kuitenkin on se, että monin paikoin hommat on tehty normaalisti, eli käytännössä todella typerästi. Lisäksi ohjelmistokehittäjien typeryyden lisäksi laskee vielä käyttäjien typeryyden salasanojen valinnassa, niin soppa on täydellinen. - Kuten kaikki varsin hyvin tiedämme.

Viimeiseksi vielä se mitä tässä ei ollut mainittu, eli jokaiseen palveluun tulee tietenkin käyttää ERI salasanaa. Samaa salasanaa ei tule koskaan käyttää eri palveluihin. Samaankin palveluun olisi suositeltavaa olla useita salasanoja sen mukaan, millaista käyttöoikeutta juuri sen istunnoin aikana tarvitaan. Taas kerran, hieno idea, joka ei useimmissa palveluissa koskaan tahdo toteutua.

Tämän päälle sitten vielä 2FA jne.

Viimeiseksi teille linkki pureksittavaksi:
https://www.grc.com/haystack.htm

Kunhan entropia on riittävä ja ennakoimaton voi salasanan muistamista helpottaa myös vaikka täytesäännöillä. Tämä vahvistaa sanasanaa, kunhan edes osa siitä on riittävän vahva.

mm. s-a--l---a----s-----a------n-------a on helppoa muistaa, mutta ei helposti kräkättävissä.

Henkilökohtaisesti en ymmärrä miksi salasanoihin laitetaan rajoituksia. Mun mielestä salasana on kasabittejä, se mistä se muodostuu, on sitten käyttäjän ihan oma asia. UTF-8 merkistö sallii melkoiset salasanat. ;)

Lisää tästä aiheesta on mun blogissa vaikka kuin paljon, sekä paljon paremmista ratkaisuista myös. Tämä keskustelu kuitenkin pomppaa aina pinnalle kun salasanavuotoja tulee. Mielestäni salasanavuoto ei ole se ongelma, koska eihän niillä salasanoilla tee mitään. Toisaalta, jos hyökkääjillä oli pääsy salasanoihin, on heillä hyvin todennäköisesti pääsy myös muuhun järjestelmissä olevaan dataan. Joten tämä kertoo siitä, että peli on tuossa vaiheessa jo menetetty. Salasana ja autentikointijärjestelmän pitäisi kuitenkin olla yksi niistä eniten kovetetuista osa-alueista järjestelmässä. Löysin muuten tuollaisen failin yhden virtuaalikonepalveluita tarjoavan firman web-portaalista.

Unohtamatta sitten sitä, että monet palvelut ei salaa verkkoliikennettä ja käyttää cookie autentikointia ja vaikka mitä muuta failia päälle.