Dopo l'hack di Mat Honan Ho studiato la mia lista di account di lavanderia che ho nei numerosi siti Web che uso. C'è un fatto che spicca:
Molti siti Web limitano notevolmente le dimensioni e le opzioni relative ai caratteri delle password.
Ironia della sorte, i siti web governativi e finanziari sono stati i peggiori trasgressori. Un sito governativo ha limitato le password a 6-8 caratteri alfanumerici. Alcuni siti finanziari hanno limitato la dimensione a 8 caratteri.
Sembra che un attacco di prova-ogni-possibilità potrebbe essere fattibile a meno che il sito Web non abbia implementato una sorta di contromisura. Le contromisure contro questo tipo di attacco sono discusse qui e qui .
Mi rimane la seguente domanda:
Come posso determinare se un sito Web in qualche modo protegge da un attacco di forza bruta sulla mia password? (supponiamo che io non possa creare un account anonimo)
Google rivela alcune indicazioni sulla presenza di applicazioni e librerie per montare un attacco probatorio per conto mio, preferirei non rischiare di attirare l'attenzione o causare un rifiuto del servizio. Sembra che ci dovrebbe essere un modo meno dirompente di determinare se è stata implementata una contromisura.
Seguiteci per rispondere alle prime risposte:
- Non sto chiedendo di proteggere un sito web che controllo. Sono semplicemente un utente dei siti Web in questione.
- I conti finanziari e governativi che ho non sono facilmente creati. E sicuramente non può essere creato in modo anonimo. Il tentativo di forzare la brute-force su un account che uso (sia anonimo che non) mette a repentaglio la sua disponibilità per il mio uso.