Здравствуйте, kochetkov.vladimir, Вы писали:

0K>>Пароли можно перехватить кейлоггером или прочими штуками и увести сразу все пароли.

KV>Как же ты их вводишь при аутентификации, если боишься кейлоггеров?

Нужно их вводить очень редко. И сделать так, чтобы самый важный секрет не украли.

Вот, гляньте: https://pip.verisignlabs.com/

Здравствуйте, 0K, Вы писали:

0K>А вы будете плакать и еще долго восстанавливать все свои пароли. А как вы их восстановите, если у вас документов нет? Если вообще сможете восстановить.

я, во первых, плакать не стал бы по двум причинам:
1. я пользуюсь обычным манагером паролей, и файл паролей у меня всегда есть в бэкапе. У тому же, я могу его расшифровать и без программы-манагера
2. я не настолько привязан к инету, чтобы плакать по поводу потери аккаунтов, хотя у меня паролей несколько сотен уже. Я больше огорчуть по поводу потери винта и данных на нем

и в третьих, вы все никак не хотите читать.
перечитайте внимательно , что я написал выше, и подумайте. Как подумаете, поймете, что никакой троян ее не уведет по нескольким причинам (а если уведет, то вина целиком и полностью ваша), а еще поймете, что даже если винт ваш сгорит вместе с прогаммой, то все пароли легко восстановимы.
Читате внимательнее.

Здравствуйте, kochetkov.vladimir, Вы писали:

KV>Нет смысла. Хоть один раз, хоть миллион, но время, необходимое на подбор такого пароля будет находиться в одном и том же порядке.

Почему же? За 1 сек. можно получить хеш SHA1 около 1 млн. раз. А по нашему сложному алгоритму -- только 1 раз. Есть разница между 1 день и 1 млн. дней (27 тыс. лет)?

Вообще это придумано для коротких фрах. К примеру, из 3-х слов. Перебрать такие фразы не сложно. И если иметь хеш (логин+фраза) -- то и фразу найти вполне реально.

Здравствуйте, _Raz_, Вы писали:

0K>>Что именно тонко в этом случае? Необходимость помнить секретную константу для защиты от оффлайн воровства (константа одинаковая для всех паролей)?

_R_>Именнно она. И именно потому что одинакова.

Одна. Но вы то ее нигде не записываете и никуда не воодите, где могут похитить. Использовать ее будете может только 2-3 раза в жизни.

Здравствуйте, fuyant, Вы писали:

F>я, во первых, плакать не стал бы по двум причинам:
F>1. я пользуюсь обычным манагером паролей, и файл паролей у меня всегда есть в бэкапе. У тому же, я могу его расшифровать и без программы-манагера

А бекап где? Если на DVD, так он тоже сгореть может. Если на онлайн сервисе, так к нему пароль в этом же бекапе. А как вы получите бекап без пароля к онлайн сервису.

Тем более, если это почта, так ящики могут подчистить, если долго использовать не будете. А такое может быть (к примеру, пираты захватили )

F>2. я не настолько привязан к инету, чтобы плакать по поводу потери аккаунтов, хотя у меня паролей несколько сотен уже. Я больше огорчуть по поводу потери винта и данных на нем

А, так с этого и нужно было начинать. У нас не так. Интернет -- это наше все

F>и в третьих, вы все никак не хотите читать.
F>перечитайте внимательно , что я написал выше, и подумайте. Как подумаете, поймете, что никакой троян ее не уведет по нескольким причинам (а если уведет, то вина целиком и полностью ваша), а еще поймете, что даже если винт ваш сгорит вместе с прогаммой, то все пароли легко восстановимы.
F>Читате внимательнее.

А если получить полный доступ к компу (через RDP) и пароль юзера?

0K>Ну, достаточно ОДИН доверенный пароль украсть -- и получаешь доступ ко всему: ко всей вашей личной жизни.

Какая там личная жизнь в интернете.

Здравствуйте, nen777w, Вы писали:

0K>>Ну, достаточно ОДИН доверенный пароль украсть -- и получаешь доступ ко всему: ко всей вашей личной жизни.

N>Какая там личная жизнь в интернете.

Вы что? Да хотя-бя ваша переписка и выписка по счету. Хотите чтобы все знали куда сколько вы денег тартите и какая у вас зарплата?

Здравствуйте, 0K, Вы писали:

0K>Далее. Грузимся с Live CD на компе без сетевого подключения (для пущей безопасности). Запускаем программулину, которая получает пароль по секретной фразе и логину (по алгоритму выше). Тратим пол часа и записываем все пароли ко всем сервисам в блокнот или книгу. Нужно еще что-то придумать, чтобы нельзя было воспользоваться паролями, в случае, если книгу украдут. Один из вариантов -- добавить к каждому из паролей секретную константу (ее нужно запомнить). Добавлять можно не в начало, а, к примеру, после 2-го символа.

Ужасно.
1. Есть сайты и места (особенно корпоративные), где тебе не позволят дать свой пароль.
2. У разных мест разная политика по паролям: где-то не более 8 символов, где-то не менее 10; где-то только буквы и цифры, где-то минимум 2 символа пунктуации. Пригодного для всех варианта не будет в принципе.

Так что симпатичная в остальном идея убивается в ноль этими двумя проблемами.

0K>Какие есть еще идеи и какие минусы в предложенной схеме?

При твоей паранойе по троянам и кейлоггерам, идея с коробочкой, хранящей сертификат, выглядит как-то реальнее.

Здравствуйте, netch80, Вы писали:

N>1. Есть сайты и места (особенно корпоративные), где тебе не позволят дать свой пароль.

Ну что же... Такие пароли можно хранить в зашифрованном архиве.

N>2. У разных мест разная политика по паролям: где-то не более 8 символов, где-то не менее 10; где-то только буквы и цифры, где-то минимум 2 символа пунктуации. Пригодного для всех варианта не будет в принципе.

Проблемы нет. 20 байт можно преобразовать как хочешь. Хоть в цифры, хоть в буквы только маленькие хоть в большие + маленькие + цифры + спецсимволы.

N>При твоей паранойе по троянам и кейлоггерам, идея с коробочкой, хранящей сертификат, выглядит как-то реальнее.

Есть у меня такая коробочка. Но:

1. Ее ведь тоже можно потерять, верно?
2. Нельзя использовать для всех нужд. К примеру для почты.
3. Если эта коробка будет подключена, то трояном можно ее использовать. Я могу об этом даже не узнать (разве что лампочка будет мигать). Если подскажите коробку с физической кнопкой на корпусе -- буду благодарен. Давно такую ищу.

Здравствуйте, 0K, Вы писали:

0K>Почему же? За 1 сек. можно получить хеш SHA1 около 1 млн. раз. А по нашему сложному алгоритму -- только 1 раз. Есть разница между 1 день и 1 млн. дней (27 тыс. лет)?

Вы комбинаторику читали? если пароль состоит из цифр тогда получаем на подбор у нас нужно максимум n^10 раз, где n — количество цифр.
Если из букв (только английский) то n^26, где n — количество знаков.
А если из букв и цифр, тогда n^36 — этот порядок куда более достаточен для надежности, если n приближается к 10.

Здравствуйте, alexsoff, Вы писали:

A>Вы комбинаторику читали? если пароль состоит из цифр тогда получаем на подбор у нас нужно максимум n^10 раз, где n — количество цифр.

Т.е. если из 1 цифры, то 1^10=1 вариант, если из 2, то 2^10=1024. Ничего не перепутали?

A>Если из букв (только английский) то n^26, где n — количество знаков.
A>А если из букв и цифр, тогда n^36 — этот порядок куда более достаточен для надежности, если n приближается к 10.

А мы говорим о 5-ти словах русского языка. Слов всего 10 тыс. А с формулой вы напутали, походу наоборот: n -- в показатели степени.

Здравствуйте, 0K, Вы писали:

0K>Здравствуйте, kochetkov.vladimir, Вы писали:
KV>>Нет смысла. Хоть один раз, хоть миллион, но время, необходимое на подбор такого пароля будет находиться в одном и том же порядке.

0K>Почему же? За 1 сек. можно получить хеш SHA1 около 1 млн. раз. А по нашему сложному алгоритму -- только 1 раз. Есть разница между 1 день и 1 млн. дней (27 тыс. лет)?
0K>Вообще это придумано для коротких фрах. К примеру, из 3-х слов. Перебрать такие фразы не сложно. И если иметь хеш (логин+фраза) -- то и фразу найти вполне реально.

Так взламывающему не интересны исходные фразы (в общем случае, он и не будет знать, как именно получился хэш, который ты используешь в качестве пассфразы). Ему нужно подобрать конечный пароль, которым ты аутентифицируешься в какой-либо системе. А время для брутфорса результатов хэширования один и тем же алгоритмом, будет сравнительно одинаково для всех результатов, т.к. они будут одной длины и использовать один и тот же алфавит.

Здравствуйте, 0K, Вы писали:

0K>походу наоборот: n -- в показатели степени.

Это верно, для цифр — 10^n, для букв — 26^m, а если врхний/нижний регистр — 52^m

0K>Ну, достаточно ОДИН доверенный пароль украсть...
Имею 6(шесть) почтовых ящиков с разными логинами, у каждого свое назначение. А еще активно использую mailinator.com

Да хоть взломают все почтовые ящики, аккаунты на форумах и в мессенджерах — это все вторично, только вне Интернета есть жизнь!
35 паролей — это диагноз, сочувствую.

Здравствуйте, kochetkov.vladimir, Вы писали:

KV>Так взламывающему не интересны исходные фразы (в общем случае, он и не будет знать, как именно получился хэш, который ты используешь в качестве пассфразы). Ему нужно подобрать конечный пароль, которым ты аутентифицируешься в какой-либо системе. А время для брутфорса результатов хэширования один и тем же алгоритмом, будет сравнительно одинаково для всех результатов, т.к. они будут одной длины и использовать один и тот же алфавит.

Ну, подобрать 3 русских слова легче, чем 20 латинских символов (больших маленьких) + цифры. Доказательство:

Для слов всего вариантов: 10000^3 = 1000000000000
Для 20 латинских символов: 62^20 = 7,0442342554699802296833026461637e+35

А хеш SHA1 имеет длину 20 байт. Т.е. вполне достаточно, чтобы 20 символов сделать.

Здравствуйте, 0K, Вы писали:

0K>Ну, подобрать 3 русских слова легче, чем 20 латинских символов (больших маленьких) + цифры. Доказательство:

Взламывающему неизвестно:

а) что это слова
б) что их 3
в) что там используется только русский алфавит

ему известно (в данном случае) лишь то, что пароль представляет из себя фиг его знает какой функции хэш, от фиг его знает какой строки (как в отношении используемого алфавита, так и общего количества символов). Этого достаточно, чтобы бросить эту гиблую затею и перейти к бруту конечной строки.

Я не пытаюсь доказать, что предложенная тобой схема никуда не годится, она неплоха, на самом деле. Просто есть неточности в допущениях, не более того

Здравствуйте, kochetkov.vladimir, Вы писали:

KV>Взламывающему неизвестно:

KV>а) что это слова

Слов всего 10 тыс. вариантов.

KV>б) что их 3

Ну, можно на удачу проверить все комбинации из 2 и 3-х слов. 4 -- уже слишком долго.

KV>в) что там используется только русский алфавит

В принципе да. Но если этот способ станет массовым, то у 50% пользователей все слова будут русскими.

KV>ему известно (в данном случае) лишь то, что пароль представляет из себя фиг его знает какой функции хэш, от фиг его знает какой строки (как в отношении используемого алфавита, так и общего количества символов). Этого достаточно, чтобы бросить эту гиблую затею и перейти к бруту конечной строки.

Предположим у мошенника есть один из паролей. Задача -- найти секретную фразу. Он знает алгоритм (в случае, если придуманный мной способ будет массовым). Знает, что фраза состоит скорее всего из русских слов (примерно 3 слова). Если пароль есть хеш фразы (+ логин) -- то найти можно, времени займет не много. А вот если пароль по фразе нужно находить 1 секунду (долго по времени) -- то ситуация меняется, потребуется 23 тыс. лет вместо одного дня.

Примерно так.

Здравствуйте, 0K, Вы писали:
0K>Слов всего 10 тыс. вариантов.
Почему? о каких словах идет речь?

0K>В том то и дело: секретную фразу украть невозможно. Идея такова, что ее нельзя нигде записывать. Можно только вводить на машине, загруженной с Live CD без сетевогоп подключения.
ага, и тут по законам мыльного жанра ГГ идет с парольной книгой по делам, и его переезжает автобус. Книга бесследно пропадает где-то в городской грязи, а ГГ после черепно-мозговой травмы теряет память

Для чего такие сложности? Любопытно, что такого страшного сможет узнать/совершить злоумышленник, похитивший ваши пароли (пусть даже все 35 штук)? Прочитать личную переписку? Получить историю списания средств с банковской карты? Какой ужас . Мне одному кажется, что это паранойя?