Jei vienas iš mano slaptažodžių yra pažeistas Ar mano kiti slaptažodžiai pakenkti pernelyg?

Jei vienas iš slaptažodžių yra pažeistas, ar tai automatiškai reiškia, kad kenkia ir kitiems slaptažodžiams? Nors žaidime yra nemažai kintamųjų, klausimas yra įdomus žvilgsnis į tai, kas yra pažeidžiamas slaptažodžiu ir ką galite padaryti, kad apsaugotumėte save.

Šiandienos „Klausimų ir atsakymų“ sesijos metu mes galime pasveikinti „SuperUser“ - „Stack Exchange“ padalinį, bendruomenės diską „Q&A“ svetainių grupavimas.

Klausimas

„SuperUser“ skaitytojas Michaelas McGowanas smalsu, kiek toli pasiekia vieno slaptažodžio pažeidimo poveikį; jis rašo:

Tarkime, kad naudotojas naudoja saugų slaptažodį A vietoje ir kitokį, bet panašų saugų slaptažodį svetainėje B. Galbūt kažkas panašaus mySecure12 # PasswordA vietoje A ir mySecure12 # PasswordB svetainėje B (nedvejodami naudokite kitokį „panašumo“ apibrėžimą, jei tai prasminga).

Tarkime, kad svetainės A slaptažodis yra kažkaip pažeistas ... galbūt A svetainės kenksmingas darbuotojas arba saugumo nutekėjimas. Ar tai reiškia, kad svetainės B slaptažodis taip pat buvo veiksmingai pažeistas, ar šiuo atveju nėra „panašaus slaptažodžio“? Ar skiriasi tai, ar kompromisas A vietoje buvo paprasto teksto nutekėjimas ar maišyta versija?

Ar Michaelas turėtų nerimauti, jei jo hipotetinė padėtis bus įvykdyta?

Atsakymas

„SuperUser“ dalyviai padėjo išspręsti šią problemą Michaelui. „Superuser“ dalyvis Queso rašo:

Pirmiausia atsakykite į paskutinę dalį: Taip, tai būtų skirtinga, jei atskleisti duomenys būtų aiškūs, palyginti su išnykusiomis. Jei maišote vieną simbolį, visai maišai yra visiškai skirtingi. Vienintelis būdas, kaip užpuolikas žinotų, kad slaptažodis yra brutalus jėgos išspaudimas (neįmanomas, ypač jei maišos yra nesūdytos. Žr. Vaivorykštės lenteles).

Kalbant apie panašumo klausimą, tai priklausytų nuo to, ką puolėjas žino apie jus. Jei gausiu jūsų slaptažodį A svetainėje ir jei žinau, kad naudojate tam tikrus naudotojo vardų kūrimo modelius, galiu išbandyti tuos pačius susitarimus dėl slaptažodžių svetainėse, kuriose naudojate.

Arba, pirmiau pateiktuose slaptažodžiuose, jei aš, kaip užpuolikas, matome akivaizdų modelį, kurį galiu naudoti atskirai tam tikroje vietoje esančiai slaptažodžio daliai atskirti nuo bendrojo slaptažodžio dalies, aš tikrai padarysiu tam pritaikytos slaptažodžio atakos dalį tau.

Pavyzdžiui, pasakykite, kad turite labai saugų slaptažodį, pvz., 58htg% HF! C. Jei norite naudoti šį slaptažodį skirtingose ​​svetainėse, į pradžią įtraukiate konkretų svetainę, kad galėtumėte naudoti tokius slaptažodžius: facebook58htg% HF! C, wellsfargo58htg% HF! C arba gmail58htg% HF! C, galite statyti, jei aš nulaužkite „Facebook“ ir gaukite „facebook58htg% HF!“ c matysiu šį modelį ir naudosiu jį kitose svetainėse, kurias manau, kad galite naudoti.

Viskas ateina į modelius. Ar užpuolikas matys modelį konkrečioje svetainės dalyje ir bendroje slaptažodžio dalyje?

Kitas „Superuser“ dalyvis Michaelas Trauschas paaiškina, kaip daugeliu atvejų hipotetinė situacija nėra didelė priežastis susirūpinti:

Pirmiausia atsakykite į paskutinę dalį: Taip, tai būtų skirtinga, jei atskleisti duomenys būtų aiškūs, palyginti su išnykusiomis. Jei maišote vieną simbolį, visai maišai yra visiškai skirtingi. Vienintelis būdas, kaip užpuolikas žinotų, kad slaptažodis yra brutalus jėgos išspaudimas (neįmanomas, ypač jei maišos yra nesūdytos. Žr. Vaivorykštės lenteles).

Kalbant apie panašumo klausimą, tai priklausytų nuo to, ką puolėjas žino apie jus. Jei gausiu jūsų slaptažodį A svetainėje ir jei žinau, kad naudojate tam tikrus naudotojo vardų kūrimo modelius, galiu išbandyti tuos pačius susitarimus dėl slaptažodžių svetainėse, kuriose naudojate.

Arba, pirmiau pateiktuose slaptažodžiuose, jei aš, kaip užpuolikas, matome akivaizdų modelį, kurį galiu naudoti atskirai tam tikroje vietoje esančiai slaptažodžio daliai atskirti nuo bendrojo slaptažodžio dalies, aš tikrai padarysiu tam pritaikytos slaptažodžio atakos dalį tau.

Pavyzdžiui, pasakykite, kad turite labai saugų slaptažodį, pvz., 58htg% HF! C. Jei norite naudoti šį slaptažodį skirtingose ​​svetainėse, į pradžią įtraukiate konkretų svetainę, kad galėtumėte naudoti tokius slaptažodžius: facebook58htg% HF! C, wellsfargo58htg% HF! C arba gmail58htg% HF! C, galite statyti, jei aš nulaužkite „Facebook“ ir gaukite „facebook58htg% HF!“ c matysiu šį modelį ir naudosiu jį kitose svetainėse, kurias manau, kad galite naudoti.

Viskas ateina į modelius. Ar užpuolikas matys modelį konkrečioje svetainės dalyje ir bendroje slaptažodžio dalyje?

Jei esate susirūpinęs, kad dabartinis slaptažodžių sąrašas nėra pakankamai įvairus ir atsitiktinis, rekomenduojame patikrinti išsamų slaptažodžio saugumo vadovą: kaip sugadinti el. Pašto slaptažodį. Perskaičiavę slaptažodžių sąrašus, jei būtų pažeistas visų slaptažodžių, jūsų el. Pašto slaptažodžio, motina, greitai galite greitai pasiekti savo slaptažodžių portfelį.

Ar ką nors papildyti paaiškinimu? Garsas išjungtas komentaruose. Norite perskaityti daugiau atsakymų iš kitų „tech-savvy Stack Exchange“ vartotojų? Čia rasite visą diskusijų temą.