Gli hack delle applicazioni web tradizionali tendono ad accadere di più da attacchi brutali di attacchi casuali o da attacchi euristici mirati?

1

Sto scrivendo consigli per la selezione di una password principale per un gestore di password, e mi chiedo se ci sono dati disponibili sulla probabilità di attacchi diversi che portano a una password incrinata. Sono interessato ai dati relativi a ciò che un utente è in grado di controllare con la password stessa (quindi, qualcosa come il phishing non è sul mio radar tanto più che la vulnerabilità è l'utente piuttosto che la stringa di caratteri stessi).

Quindi, per una password sicura, penso che raccomanderò, in ordine decrescente di importanza:

  • lunghezza (forza bruta)
  • unicità (forza bruta inversa, nome utente e password corrispondenti del sito A compromesso per proteggere il sito B)
  • impersonalità (ipotesi basata su dettagli personali conoscibili)
  • facilità di memorizzazione (indirettamente rilevante, i primi tre rendono difficile ricordare una password, quindi devi decidere se sacrificare quelli per ricordarli meglio o se devi annotarli e rischiare che la carta venga rubata )

Ho una lunghezza in cima perché 1) la ricerca in generale lo cita come il modo migliore e più semplice per rendere una password più sicura e 2) nella mia esperienza, gli attacchi sembrano essere in massa / random più di quanto siano mirati per una media utente finale.

So che ci sono un sacco di avvertimenti; il modello di minaccia per l'email di un politico di alto livello è diverso rispetto a Facebook di un adolescente. Forse ti fidi della tua sicurezza più della tua memoria. Ma ci sono dati rilevanti che rispondono a questa domanda ad alto livello?

EDIT per riformulare la domanda:

Se I deve fare un compromesso per quanto riguarda la mia password da qualche parte (come in, per rendere più semplice la mia password da ricordare, lo renderò più breve o userò la mia data di nascita invece di numeri casuali) quale attacco dovrebbe essere considerato più probabile per l'utente medio di un'applicazione web tradizionale?

    
posta Brendan 09.10.2018 - 00:43
fonte

1 risposta

1

Penso che la domanda nel titolo sia la risposta migliore: né. Gli attacchi contro le applicazioni web tradizionali sono nella mia esperienza automatizzata contro difetti nelle applicazioni web e non sulle password stesse. La mia azienda sperimenta attacchi quotidiani per Wordpress, Joomla e altri sistemi CMS. Stanno sfruttando i difetti (principalmente SQL injection) per ottenere l'accesso all'intero sistema.

Attacchi contro gli utenti, non ho dati su.

Gli attacchi mirati contro gli utenti si dividono in due categorie: attacchi contro tutti gli utenti; e attacchi contro un utente specifico.

Ha senso che gli attacchi contro tutti gli utenti, come @reed menzionato, sarebbero contro le password deboli o il crack hash offline.

Nel caso di attacchi utente mirati, l'utente malintenzionato avrebbe come target reimpostazioni di password non sicure come nel hack di Yahoo Palin Yahoo Email o utilizzando i metadati sull'utente per capire cosa è probabile per la loro password.

    
risposta data 09.10.2018 - 02:33
fonte