Forum Mjukvara Moln- och internettjänster Tråd

Hur ser erat system för lösenord + autentisering ut?

1 2 3 4 5 6 7 8
Skriv svar
Permalänk
Medlem
●

Är nog lite annorlunda... 1993 skaffade jag min första uppringda internet-tjänst, Calypso, och fick då ett lösenord. Detta använder jag fortfarande i olika varianter, och har ännu inte blivit hackad, etc. Frugan använder samma 😊
Som 4-pin - lösenord använder jag samma pin som jag fick när jag började hyra film, ca 1988...

Redigera
Citera flera Citera
Permalänk
Medlem
●

Använder Bitwarden och proton pass (började med ena, testar den andra… gillar Bitwarden mer).

Är skönt att bara kunna 1 lösenord för att komma åt alla andra lösenord 🙂

Redigera
Citera flera Citera
Permalänk
Medlem
●

Hur jag hanterar mina lösenord? Jag använder huvudet.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Har lösenorden nedskrivna i en journal. Journalen ligger i vapenskåpet som väger 195 kg, är bultat i betonggolvet i källaren.
Om någon lyckas stjäla den så har jag större problem än några lösenord.

Visa signatur

Spel/multimedia burk: ASUS Prime B660-Plus D4. PNY CS2140 M.2 NVMe Gen 4 500GB. Kingston Fury 16GB (2x8GB) DDR4 3200MHz. Intel Core i3 12100F 3.3 GHz 12MB. DeepCool AG400. PowerColor Radeon RX 6600 8GB Fighter. DeepCool PK650D 650W. Kolink Observatory HF Mesh. Skärm: Samsung 65" Q77C 4K QLED. Ljud: Yamaha 5.1 förstärkare. XTZ 93:22 frontar, Eltax Monitor III bak. Audio Technica ATH-M50x

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag har alla mina lösenord nedskrivet i en texteditor och sparat det i Veracrypt och Veracrypt filen är sparad i min raid för extra säkerhet och andra lösningen är att jag använder Googles egna inloggnings tjänst så att man slipper skriva in lösenord och användarnamn när man loggar in i tex Epicgames.

Visa signatur

🖥 ᴀᴍᴅ ʀʏᴢᴇɴ 3600 | ᴍꜱɪ ʙ350ɪ | ɴᴠɪᴅɪᴀ ʀᴛx 2070 | ᴋɪɴɢꜱᴛᴏɴ 16ɢʙ | 🖴 ᴄᴏʀꜱɪᴀʀ ᴍ2 512ɢʙ | 🖴 ᴡᴅ1ᴛʙ 2x ʀᴀɪᴅ |🔌ꜱᴇᴀꜱᴏɴɪᴄ 750ᴡ | 👾 ᴡɪɴᴅᴏᴡꜱ 11 ᴘʀᴏ |
🖥️ ᴀᴏᴄ 32" 2ᴋ 75ʜᴢ | ⌨️ ʀᴀᴢᴇʀ ᴏʀɴᴀᴛᴀ ᴠ3 x | 🖱️ ʀᴀᴢᴇʀ ᴅᴇᴀᴛʜᴀᴅᴅᴇʀ | 🔊 ᴇᴅɪꜰɪᴇʀ ʀ1000ᴛ4 |
📱 ɢᴏᴏɢʟᴇ ᴘɪxᴇʟ 7ᴀ | 🎧ᴀᴘᴘʟᴇ ᴇᴀʀᴘᴏᴅ | 🎮 ᴘᴄ-xʙᴏx 360 | 🕹️ ᴛʜʀᴜꜱᴛᴍᴀꜱᴛᴇʀ |

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Monolithic:

Ja det har jag sett. Men är väl för paranoid för någon molntjänst. Litar inte riktigt på deras säkerhet.
Men hade jag gjort det, hade jag nog använt bitwarden eller protonpass eller någon liknande tjänst istället! 😁

Gå till inlägget

Nextcloud kan du hosta själv, så då beror det på om du litar på dig själv :>

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av VinterSolen:

Använder just nu idag BitWarden, men med deras senaste skit-ändring i UI så är allt så jävla bloatat att man måste scrolla 500 mil för att hitta vault/generate/inställlnings-knapparna i botten.

Är på väg att gå över till keepass istället.

Gå till inlägget

Var behöver du scrolla?

Visa signatur

Ny signatur!

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

bara för att lägga till ett extra inlägg

Lösenordshanterare. 2FA när möjligt.

Kan systemet jag skall ha ett konto på inte hantera komplicerade lösenord (typ P5bg22$*V!Lqd8K#jV^sw ) så rapporterar jag det till de som har hand om det och undviker det. Går tyvärr inte alltid i jobbet.

Visa signatur

Proud AMD customer since 1998!

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Hatar sidor som kräver att man har krångliga tecken och skit i lösenordet. Jag kör lösenord på minst 16 tecken som är lätt att komma ihåg. Det är ju längden som spelar roll (höhöhö), inte om man använder Ak#"34aBQ.

Men jag kör 1Password och brukar låta den generera så behöver jag inte bry mig. Men där jag inte kan ha 1Password (typ AD på jobbet) så kör jag enkla men långa.

Visa signatur

Dator

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Erooo:

Hatar sidor som kräver att man har krångliga tecken och skit i lösenordet. Jag kör lösenord på minst 16 tecken som är lätt att komma ihåg. Det är ju längden som spelar roll (höhöhö), inte om man använder Ak#"34aBQ.

Men jag kör 1Password och brukar låta den generera så behöver jag inte bry mig. Men där jag inte kan ha 1Password (typ AD på jobbet) så kör jag enkla men långa.

Gå till inlägget

Mmm.. kör ibland pass phrases.. så får man typ 50 tecken eller mer, och det är inte "säkert nog" utan du ska behöva krångla med en massa fula tecken.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Erooo:

Hatar sidor som kräver att man har krångliga tecken och skit i lösenordet. Jag kör lösenord på minst 16 tecken som är lätt att komma ihåg. Det är ju längden som spelar roll (höhöhö), inte om man använder Ak#"34aBQ.

Men jag kör 1Password och brukar låta den generera så behöver jag inte bry mig. Men där jag inte kan ha 1Password (typ AD på jobbet) så kör jag enkla men långa.

Gå till inlägget

Mest för att ditt påstående inte ska får vara oemotsagt. Jo - det spelar roll att använda komplexa lösenord som inte består av ord jämfört med att endast ha vanliga ord i sitt lösenord.

Eftersom du är övertygad att det du gör funkar för dit så ska jag inte försöka övertala dig om motsatsen, men för alla andras skull så ska alla veta att det spelar roll att ha ett komplext lösenord jämfört med ett som består av ord (med samma längd).

Visa signatur

Dator: MSI X570 Tomahawk, AMD 5600x, 64 GB RAM, 2xNVMe, 2xSATA SSD, 10 GBit NIC, Grafik Nvidia 3060 12 GB RAM
Skärm: Dell U3821DW 38" ultrawide Bärbar dator: MBA M1
Synology DS1821+ (10Gbit) - Dockers, VM, Surveillance Station 9 kameror
DS3612xs (10Gbit) - Backup sparas till denna från ovan
Skrev jag något vettig? "Tumme up":a så vet jag att det fanns nytta i min post.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Erooo:

Hatar sidor som kräver att man har krångliga tecken och skit i lösenordet. Jag kör lösenord på minst 16 tecken som är lätt att komma ihåg. Det är ju längden som spelar roll (höhöhö), inte om man använder Ak#"34aBQ.

Men jag kör 1Password och brukar låta den generera så behöver jag inte bry mig. Men där jag inte kan ha 1Password (typ AD på jobbet) så kör jag enkla men långa.

Gå till inlägget

Kan oxå vara så att du kör med repetition, till exempel - dåligt - ABBA, det kan då bli 44443333bbbbAAAA Det är förhållandevis lätthackat, även med 16 tecken enligt dina krav... men lätt att komma ihåg.

Dessutom, använder man "manuella" system i hur man sätter lösenord så kan det funka ett tag, men över tid blir det svårare att komma ihåg eller göra nya varianter. Vet inte hur andra har det, men för några år sedan städade jag ganska ordentligt och jag var uppe i över 400 inloggningar, varav säkert en tredjedel var till ställen jag inte använt på flera år.

Så kan det bli efter 30 år i databranschen... Med en lösenordshanterare behöver jag i princip bara minnas ett enda lösenord, alla andra kan vara typ XxN*n&M$Ruq5xQUot^#9zGg5U7A$zRWqF^CE5%BdrF*3Wc6u$p4ECMj%oNVRnFJC^53h!foj2@hRTC*o8BgKjv2jh4 om systemet tillåter det.

En annan variant som jag märker få system tänker på är att även använda ett komplicerat användarnamn/kontobeteckning. Då blir det genast två stycken, nåja, komplicerade saker att jobba fram. HemmaFixareJobbarenHomdax@Swe eller nått sånt, men du får kanske Redax spader, finns säker bättre varianter.

Visa signatur

Proud AMD customer since 1998!

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Airikr:

Yepp, du har helt rätt. Till exempel Sverige-Finland-Danmark3-Norge tar sekler att knäcka, enligt Bitwardens egna lösenordstestare. Det går alltså att knäcka, och det är det jag menar med att allt man behöver, är tid. Men eftersom det tar hundratals år att knäcka en enkel lösenordsfras med minst 3 ord, så kan man ju säga så som du skrev: oknäckbart

Gå till inlägget

I praktiken måste ju dock orden vara valda slumpmässigt från en stor ordlista för att en lösenordsfras med minst 3 ord ska vara säker, om man utgår från att attackeraren har ordlistan (vilket man ska). Om vi vill uppnå en säkerhet på 64 bitar behövs en lista med typ 2 642 246 ord för en fras med 3 slumpmässigt valda ord, eller en lista med 55 109 ord för en fras med 4 slumpmässigt valda ord. Så ditt exempel Sverige-Finland-Danmark3-Norge har väldigt låg säkerhet i praktiken eftersom ordlistan är väldigt liten (svenska namn på nordiska länder), det vill säga 4 * log2(5) ≈ 9.3 bitar totalt. Skiljetecknet (-) och den inkastade siffran (3) ökar inte entropin särskilt utöver det, så den lösenordsfrasen tar nog egentligen bara en bråkdel av en sekund att knäcka. Tror inte att bitwardens lösenordstestare är smart nog att ta hänsyn till sånna mönster och ser det bara som ett långt lösenord med slumpmässigt valda stora och små tecken, siffror och specialtecken.

(du är säkert medveten om detta men känns som att folk generellt har dåligt intuition gällande lösenordsfraser och tror att dom är säkra oavsett hur orden i frasen valdes)

Senast redigerat
Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Gustav-P:

Mest för att ditt påstående inte ska får vara oemotsagt. Jo - det spelar roll att använda komplexa lösenord som inte består av ord jämfört med att endast ha vanliga ord i sitt lösenord.

Eftersom du är övertygad att det du gör funkar för dit så ska jag inte försöka övertala dig om motsatsen, men för alla andras skull så ska alla veta att det spelar roll att ha ett komplext lösenord jämfört med ett som består av ord (med samma längd).

Gå till inlägget

Med vanliga ord så behöver man inte ha "datainspektionen" typ, även om det är många bokstäver. Det jag menar är att du inte behöver ha ultrakomplexa. Du kan t.ex. lägga in lite punkter eller bindestreck här och där om du så vill.

Många sidor har min 6 eller 8 tecken med minst en stor bokstav, ett litet, ett konstigt tecken.

Jag tror ju mer på att "ExYZäta20!" finns med i något slags rainbow table (även om det går snabbt att knäcka utan table) än "Jag-Föddes-På-En-Gård-1970!", men du får gärna påvisa på vilket sätt mitt tänk är fel, det här är inte flashback.

Edit. Jag har gjort ett nytt inlägg till en annan person som gav lite mer insikt så jag ska förstå

Senast redigerat
Visa signatur

Dator

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Homdax:

Kan oxå vara så att du kör med repetition, till exempel - dåligt - ABBA, det kan då bli 44443333bbbbAAAA Det är förhållandevis lätthackat, även med 16 tecken enligt dina krav... men lätt att komma ihåg.

Gå till inlägget

Vinter2025 incoming!

Sen om folk vill repetera så är det ju upp till dom, folk skriver ju upp krångliga lösen på post-it med. Så oavsett val av lösenord så kommer någons lösenord inte vara säkert nog.

Senast redigerat
Visa signatur

Dator

Redigera
Citera flera Citera
Permalänk
Medlem
●

Använder Bitwarden med tvåstegsverifiering (WebAuthn). Sätter i regel lösenord på 32 slumpade tecken och inloggning med säkerhetsnyckel där det är möjligt (Google och Facebook). För 1,5 år sedan köpte jag två säkerhetsnycklar och har så småningom lagt till dem i olika inloggningar - på Google har jag tagit bort inloggning med TOTP och har endast inloggning med lösenord och nycklarna.

De lösenord som jag behöver slå in, till exempel inloggning på jobbet, gör jag i form av fraser på finska eller tyska, gärna meningslösa sådana: DerSchneebesenspieltKlavier#1812=Was eller de första bokstäverna från orden i en lägre mening (ordspråk eller citat från någon bok).

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Parus:

Använder Bitwarden med tvåstegsverifiering (WebAuthn). Sätter i regel lösenord på 32 slumpade tecken och inloggning med säkerhetsnyckel där det är möjligt (Google och Facebook). För 1,5 år sedan köpte jag två säkerhetsnycklar och har så småningom lagt till dem i olika inloggningar - på Google har jag tagit bort inloggning med TOTP och har endast inloggning med lösenord och nycklarna.

De lösenord som jag behöver slå in, till exempel inloggning på jobbet, gör jag i form av fraser på finska eller tyska, gärna meningslösa sådana: DerSchneebesenspieltKlavier#1812=Was eller de första bokstäverna från orden i en lägre mening (ordspråk eller citat från någon bok).

Gå till inlägget

Som i fysiska nycklar typ Yubico?

Visa signatur

Dator

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Erooo:

Som i fysiska nycklar typ Yubico?

Gå till inlägget

Ja, fysiska och Yubikey (Yubikey 5 NFC och 5C NFC). En nyckel förvarar jag hemma och en nyckel har jag med mig.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Retracted

Senast redigerat
Visa signatur

PenTest+, CEH, OSCP+, GPEN, OSCE, OSEE

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Takyon:

I praktiken måste ju dock orden vara valda slumpmässigt från en stor ordlista för att en lösenordsfras med minst 3 ord ska vara säker, om man utgår från att attackeraren har ordlistan (vilket man ska). Om vi vill uppnå en säkerhet på 64 bitar behövs en lista med typ 2 642 246 ord för en fras med 3 slumpmässigt valda ord, eller en lista med 55 109 ord för en fras med 4 slumpmässigt valda ord. Så ditt exempel Sverige-Finland-Danmark3-Norge har väldigt låg säkerhet i praktiken eftersom ordlistan är väldigt liten (svenska namn på nordiska länder), det vill säga 4 * log2(5) ≈ 9.3 bitar totalt. Skiljetecknet (-) och den inkastade siffran (3) ökar inte entropin särskilt utöver det, så den lösenordsfrasen tar nog egentligen bara en bråkdel av en sekund att knäcka. Tror inte att bitwardens lösenordstestare är smart nog att ta hänsyn till sånna mönster och ser det bara som ett långt lösenord med slumpmässigt valda stora och små tecken, siffror och specialtecken.

(du är säkert medveten om detta men känns som att folk generellt har dåligt intuition gällande lösenordsfraser och tror att dom är säkra oavsett hur orden i frasen valdes)

Gå till inlägget

Mjo. Det exemplet var dåligt. Ett bättre sådant är Zech-Glomplach-Achregh3-Mjölysch.

Saken är den att lösenordsfraser ska vara enkla att komma ihåg (som mitt första exempel), men de ska inte vara enkla för en mänsklig hacker att knäcka. Allt beror på vad för ord man väljer och hur bra minne man har. Många personer gillar dock inte att komma ihåg lösenord hit och lösenord dit. Och tyvärr är det inte många som använder lösenordshanterare för "då måste man ju komma ihåg ytterligare ett till lösenord". De ser såklart inte det fina med det.

Visa signatur

Citera mig om du vill att jag ska hitta till ditt svar.
airikr.me. Andra projekt: Keizai, Koroth, Serenum & Enc.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Takyon:

I praktiken måste ju dock orden vara valda slumpmässigt från en stor ordlista för att en lösenordsfras med minst 3 ord ska vara säker, om man utgår från att attackeraren har ordlistan (vilket man ska). Om vi vill uppnå en säkerhet på 64 bitar behövs en lista med typ 2 642 246 ord för en fras med 3 slumpmässigt valda ord, eller en lista med 55 109 ord för en fras med 4 slumpmässigt valda ord. Så ditt exempel Sverige-Finland-Danmark3-Norge har väldigt låg säkerhet i praktiken eftersom ordlistan är väldigt liten (svenska namn på nordiska länder), det vill säga 4 * log2(5) ≈ 9.3 bitar totalt. Skiljetecknet (-) och den inkastade siffran (3) ökar inte entropin särskilt utöver det, så den lösenordsfrasen tar nog egentligen bara en bråkdel av en sekund att knäcka. Tror inte att bitwardens lösenordstestare är smart nog att ta hänsyn till sånna mönster och ser det bara som ett långt lösenord med slumpmässigt valda stora och små tecken, siffror och specialtecken.

(du är säkert medveten om detta men känns som att folk generellt har dåligt intuition gällande lösenordsfraser och tror att dom är säkra oavsett hur orden i frasen valdes)

Gå till inlägget

Ser att du gett svar som jag undrade över.

Bråkdelen av en sekund?
Vad avses då att användas, brute force från start enbart med en viss datapata?

Du får gärna förklara mer så jag hänger med på vad som avses, för jag trodde i min enfald att det skulle vara bra nog med Sverige-...-exemplet.

"4 * log2(5) ≈ 9.3 bitar totalt"

Vad står 4:an för, antal ord/länder? och 5:an? Och vad menas med 9,3 bitar totalt? När jag läser bitar så tänker jag bitar som i 8 bitar blir en byte. Är det en sådan bit som avses? Om 4:an är antalet ord/länder, då kan man alltså använda sig av fler ord för att få upp antalet bitar, men längden behöver inte vara längre för att det ska bli bättre?

Om 4 = ord / länder:
Sverige-Finland-Danmark3-Norge = 4 * log2(5) ≈ 9.3 bitar (30 tecken)
På-En-Öde-Ö-Var-En-Man-I-Land = 9 * log2(5) ≈ 20.8 bitar (29 tecken)

Blir det senare säkrare för att det har fler ord men färre tecken? Om så, kan jag då påstå att man bör ha ett lösenord med många ord istället för ett långt med få ord?

Och då måste man ju även som "cracker" använda sig av den svenska ordlistan mot ens lösenord, är det troligt?
Då kan man ju använda rövarspråk så blir det än mindre troligt

Och vad händer om jag t.ex. byter ut alla min a:n till ett specialtecken, t.ex. ^ ? (förutsatt att jag använder några ord med a)

Tack på förhand.

Edit. Hittade denna post: https://www.reddit.com/user/atoponce/comments/186u5li/passwor...
Där fanns en intressant gist: https://gist.github.com/atoponce/a7715930ae6eb7d6b487f2f76b57...

Edit 2:
I gisten fanns en länk till en twitterpost där ett företag kör 448st RTX 2080:
https://x.com/TerahashCorp/status/1155112559206383616

Bland kommentarerna så nämer TS detta om längd på lösenord:

"We prefer max of 8 characters and stored as MD4 hash 😉

But if it's *security* you're after, yah, 12+ char random is the way to go. Adding special chars doesn't really add much."

Då förstår jag inte varför Sverige-Finland-Danmark3-Norge skulle vara osäkert? Nu är det inte random, men det är bra många tecken.

Edit 3:
Hittade att han skrev detta: "Only if the words are selected at random!" om ett inlägg kring det skojjiga "Well, I never... correct horse battery staple for evermore then!"

Senast redigerat
Visa signatur

Dator

Redigera
Citera flera Citera
Permalänk
Medlem
●

Har funderat på att prova bitwarden.. men hur funkar det om jag har ett sparat lösenord för en sida, vi säger sweclockers..
Sen vill jag logga in på sweclockers på min sons dator? Blir det krångligt? Är det ens möjligt?

Visa signatur

Chassi: FD Meshify 2 Compact - Mobo: Asus TUF Z690 Plus - CPU: Core i7 12600k - Kylare: Be Quiet! Dark Rock Pro 5
Grafik: RTX3070 - Minne: 2x16GB HyperX DDR4 3200MHz CL16
Lagring: Samsung 990 PRO 2TB, Samsung 970 EVO Plus 2TB - Nätagg: Seasonic FOCUS GX 650W Skärm: ASUS PG279Q 27" 1440p 144Hz G-Sync

Redigera
Citera flera Citera
Permalänk
Medlem
●

När det kommer till Sverige-Finland-Danmark3-Norge så är det inte särskilt säkert eftersom orden existerar via ordlista. Oavsett ordning och bindestreck så är många crackingverktyg väldigt sofistikerade now days, som t.ex hashcat. Räcker att sätta vissa regler så kommer maskinen dra fram det lösenordet väldigt snabbt - trots sin längd. Vet att många pratar om fraser vilket sägs vara väldigt säkert. Enligt mig är de det också förutsatt att de orden som nämns i frasen inte existerar i "hackarens" ordlista/or - oavsett följd i frasen.

De absolut säkraste lösenorden är 16chars + som är slumpade med något verktyg/lösenordshanterare, och då pratar vi 16 chars inklusive siffror och special chars. T.ex: xA4wcXKut$!G1XLa

* 16 chars ink versaler & gemener
* Siffror
* Special chars

Använder man lösenordshanterare kan man lika gärna köra dessa 3 regler eftersom det är hanteraren som memorerar de oavsett.

Senast redigerat
Visa signatur

PenTest+, CEH, OSCP+, GPEN, OSCE, OSEE

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Kimpur:

Har funderat på att prova bitwarden.. men hur funkar det om jag har ett sparat lösenord för en sida, vi säger sweclockers..
Sen vill jag logga in på sweclockers på min sons dator? Blir det krångligt? Är det ens möjligt?

Gå till inlägget

Hur menar du? Du kan ha Bitwarden på flera enheter och du kan ta fram lösenordet i Bitwarden appen/tillägget när som helst.

Visa signatur

Stationär PC: Chassi: Phanteks Enthoo EVOLV ATX MB: MSI B550 Gaming Plus CPU: AMD Ryzen 7 5700X Kylning: Noctua NH-U12S GPU: MSI GeForce GTX 1060 Gaming X 6 GB RAM: Corsair Vengeance LPX Black 32GB 3600MHz NVMe: 2st Kingston A2000 SSD: Intel 520 180GB och Intel 530 240GB HDD: WD Green 1TB, Toshiba 640GB samt fler HDD PSU: Corsair RM750X. Mobila enheter Mina Androidenheter och Dell Latitude 5400. Citera om du vill ha ett garanterat svar från mig

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag kör en lösenordshanterare.

Visa signatur

Driver sprutjournal.se

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Erooo:

Ser att du gett svar som jag undrade över.

"4 * log2(5) ≈ 9.3 bitar totalt"

Vad står 4:an för, antal ord/länder? och 5:an? Och vad menas med 9,3 bitar totalt? När jag läser bitar så tänker jag bitar som i 8 bitar blir en byte. Är det en sådan bit som avses? Om 4:an är antalet ord/länder, då kan man alltså använda sig av fler ord för att få upp antalet bitar, men längden behöver inte vara längre för att det ska bli bättre?

Gå till inlägget

Lösenordsentropi uttrycks i termer av bitar. Ett lösenords entropi kan beräknas genom att hitta entropin per tecken, vilket är en loggbas 2 av antalet tecken i teckenuppsättningen som används, multiplicerat med antalet tecken.

  • Ett lösenord som redan är känt har 0 bitars entropi.

  • Ett lösenord som kräver som mest två gissningar för att hitta har 1 bitars entropi.

  • Ett lösenord med n bitars entropi skulle kräva 2^n gissningar för att garantera att lösenordet hittas.

https://kodgeneratorn.se/vad-ar-ett-starkt-losenord

Personligen så kör jag Bitwarden och datorgenererade lösenord överallt där det går. Jag brukar köra 35 tecken med tre siffror och fem specialtecken som regler för mina lösenord. Kanske lite overkill men varför inte?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av bork:

Hur gör ni? För mig är det här extremt bökigt

Gå till inlägget

Jag orkar inte riktigt med lösenords-appar och har helt enkelt förlitat mig på tre lösenord/lösenordssystem

- Kritiskt lösenord: vilket enbart knutits till mitt huvudsakliga mail-konto, det använder 2-factor authentication och byts sällan då det enbart används på mailen i "säker miljö", Därefter har jag...
- Lösenord till tjänster: Där har jag ett som liknar mitt kritiska lösenord men samtidigt är det ganska kraftigt modifierat med ett system jag inte berättar, däremot använder jag de första två första-, och sista två bokstäverna av tjänstens namn insprängt i särskilda positioner i lösenordet, varannan av dessa bokstäver är små/stora, sist men inte minst har jag ett...
- Okritiskt lösenord till lätthackade forum: Där använder jag ett äldre högstadie-lösenord där jag bytt ut två bokstäver mot första och sista bokstaven i själva forumets namn.

För mig funkar detta bra. Jag kommer alltid ihåg grundformen till dessa lösenord samt deras system. har haft det så i 15år+ och minns alltid mina lösenord. Och även om ett forum-lösenord blir hackat så är lösenordet inte identiskt med andra forum, samtidigt är dessa lösenord inte i närheten av samma lösenord som större tjänster jag befinner mig på eller mitt kritiska mail-lösenord.

Senast redigerat
Visa signatur

Motorola 68020 @ 42Mhz, AGA Grafik, 2MB RAM, 8MB Fast RAM, 2GB eMMC

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Airikr:

Mjo. Det exemplet var dåligt. Ett bättre sådant är Zech-Glomplach-Achregh3-Mjölysch.

Saken är den att lösenordsfraser ska vara enkla att komma ihåg (som mitt första exempel), men de ska inte vara enkla för en mänsklig hacker att knäcka. Allt beror på vad för ord man väljer och hur bra minne man har. Många personer gillar dock inte att komma ihåg lösenord hit och lösenord dit. Och tyvärr är det inte många som använder lösenordshanterare för "då måste man ju komma ihåg ytterligare ett till lösenord". De ser såklart inte det fina med det.

Gå till inlägget

Ja där kan åtminstone inte jag se någon koppling mellan orden. Men för att göra frasen lättare att komma ihåg hade jag valt en ordlista med vanligare ord och skippat 3:an, så t.ex. denna genererad i bitwarden: constrain handprint canopy claim. Dom använder en ordlista med 7776 ord, så vi får log2(7776) ≈ 13 bitar entropi per slumpmässigt valt ord. Det ger 52 bitar entropi med 4 ord och 65 bitar med 5 ord. Jag tycker att en sån fras är mycket lättare att komma ihåg än ett lösenord med motsvarig säkerhet, som t.ex. 2f8oBMVb8 som också har ungefär 52 bitar.

Skrivet av Erooo:

Ser att du gett svar som jag undrade över.

Bråkdelen av en sekund?
Vad avses då att användas, brute force från start enbart med en viss datapata?

Du får gärna förklara mer så jag hänger med på vad som avses, för jag trodde i min enfald att det skulle vara bra nog med Sverige-...-exemplet.

"4 * log2(5) ≈ 9.3 bitar totalt"

Vad står 4:an för, antal ord/länder? och 5:an? Och vad menas med 9,3 bitar totalt? När jag läser bitar så tänker jag bitar som i 8 bitar blir en byte. Är det en sådan bit som avses? Om 4:an är antalet ord/länder, då kan man alltså använda sig av fler ord för att få upp antalet bitar, men längden behöver inte vara längre för att det ska bli bättre?

Om 4 = ord / länder:
Sverige-Finland-Danmark3-Norge = 4 * log2(5) ≈ 9.3 bitar (30 tecken)
På-En-Öde-Ö-Var-En-Man-I-Land = 9 * log2(5) ≈ 20.8 bitar (29 tecken)

Blir det senare säkrare för att det har fler ord men färre tecken? Om så, kan jag då påstå att man bör ha ett lösenord med många ord istället för ett långt med få ord?

Och då måste man ju även som "cracker" använda sig av den svenska ordlistan mot ens lösenord, är det troligt?
Då kan man ju använda rövarspråk så blir det än mindre troligt

Och vad händer om jag t.ex. byter ut alla min a:n till ett specialtecken, t.ex. ^ ? (förutsatt att jag använder några ord med a)

Tack på förhand.

Edit. Hittade denna post: https://www.reddit.com/user/atoponce/comments/186u5li/passwor...
Där fanns en intressant gist: https://gist.github.com/atoponce/a7715930ae6eb7d6b487f2f76b57...

Edit 2:
I gisten fanns en länk till en twitterpost där ett företag kör 448st RTX 2080:
https://x.com/TerahashCorp/status/1155112559206383616

Bland kommentarerna så nämer TS detta om längd på lösenord:

"We prefer max of 8 characters and stored as MD4 hash 😉

But if it's *security* you're after, yah, 12+ char random is the way to go. Adding special chars doesn't really add much."

Då förstår jag inte varför Sverige-Finland-Danmark3-Norge skulle vara osäkert? Nu är det inte random, men det är bra många tecken.

Edit 3:
Hittade att han skrev detta: "Only if the words are selected at random!" om ett inlägg kring det skojjiga "Well, I never... correct horse battery staple for evermore then!"

Gå till inlägget

"Bitar" i det här fallet avser entropi, vilket är ett vanligt sätt att mäta mängden information som något innehåller inom informationsteori. Om lösenord av en viss form har 9.3 bitar entropi så finns det 2^(9.3) ≈ 630.3 möjliga kombinationer av lösenord som har den formen, så varje bit dubblar mängden olika kombinationer (och gör det därmed dubbelt så svårt att knäcka lösenordet). Går att se som ett standardiserat sätt att jämföra lösenord på, där vi reducerar lösenord till en sträng av 1:or och 0:or som genererats slumpmässigt genom att singla en slant.

För att beräkna detta behöver vi veta antalet symboler som går att välja mellan, och hur många symboler som valts slumpmässigt för att generera lösenordet. Om vi t.ex. använder symbolerna A-Z, a-z och 0-9 så finns 62 olika symboler att välja mellan, och om vi drar 10 av dessa symboler slumpmässigt för att generera ett lösenord så får vi log2(62^10) = 10 * log2(62) ≈ 59.5 bitar entropi.

För ordfraser så bör vi utgå ifrån att attackeraren har ordlistan, så där blir istället varje ord en symbol, och mängden ord i ordlistan blir antalet olika symboler som går att välja mellan. För ordlistan "svenska namn på nordiska länder" har vi 5 olika symboler att välja mellan (Danmark, Finland, Island, Norge och Sverige), så varje slumpmässigt valt ord i frasen tillför i det fallet log2(5) ≈ 2.3 bitar entropi.

Sen finns lite osynlig entropi utöver detta eftersom attackeraren behöver testa olika ordlistor för att hitta rätt, men att arbeta sig upp från små ordlistor med nära besläktade ord (eller t.ex. namn på anhöriga) lär vara en vanlig taktik.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Vi skall kanske inte glömma att en hel del internationella system inte klarar av att hantera åÅäÄöÖÄüÜñÑ och så vidare. Visst det skall finnas inom ramen för UTF-8 men långtifrån alltid.

Visa signatur

Proud AMD customer since 1998!

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Kimpur:

Har funderat på att prova bitwarden.. men hur funkar det om jag har ett sparat lösenord för en sida, vi säger sweclockers..
Sen vill jag logga in på sweclockers på min sons dator? Blir det krångligt? Är det ens möjligt?

Gå till inlägget

Du kan antingen ha lösenordshanteraren i telefonen, gå in på web-vault:en och du kan installera tillägget i webbläsaren för att logga in med huvudlösenordet. Glöm bara inte att logga ut

Redigera
Citera flera Citera
1 2 3 4 5 6 7 8
Skriv svar