È una buona idea dare agli utenti una password aggiuntiva che non controllano?

1

È scontato che gli utenti scelgano password sbagliate. Perché non aiutarli? Usando una scelta casualmente casuale da un grande dizionario, scegli una o due parole e dì all'utente di scriverle. Quando accedono, richiedono nome utente, password e le parole che sono state generate. L'hash della password si basa sulla concatenazione della password e delle parole segrete.

Ciò fornisce un chiaro incremento di entropia dal punto di vista di un hacker in fase di crack e impedisce che anche il riutilizzo della password sia un problema. Poiché l'entropia deriva dalla scelta casuale da un elenco, il server potrebbe normalizzare il caso e correggere automaticamente l'ortografia prima dell'hashing, per renderlo più semplice per gli utenti.

Credo che scrivere le password sia giusto nella maggior parte dei casi, perché le persone sono generalmente brave a proteggere le informazioni sensibili che scrivono. Istruendo l'utente a scrivere le parole segrete, l'onere di memorizzarle viene rimosso. Continueranno a scegliere una password per soddisfare requisiti minimi di complessità (ad esempio, minimo 8 caratteri, 2 set di caratteri, 4 caratteri univoci), quindi è probabile che non scriveranno l'intero codice di accesso (password + parole segrete).

Questa domanda è un'idea simile, ma invece di offrire scelte (che rimuove l'entropia, dato che gli utenti sceglieranno cose che "hanno senso"), le parole vengono fornite direttamente. Le parole sarebbero simili alle vecchie password AOL distribuite sui loro CD-ROM .

EDIT : il contesto che immagino sia un sito Web o un altro sistema con molti utenti distribuiti. Non sto necessariamente suggerendo questo per i sistemi di login aziendali.

    
posta bonsaiviking 26.02.2014 - 16:45
fonte

1 risposta

1

La maggior parte delle password in questi giorni deve essere sufficiente per sconfiggere la forza bruta nell'interfaccia web, e per fare ciò non devono essere così complesse. Dato che oggigiorno un buon cracking delle password è con GPU, tabelle hash e tabelle arcobaleno se il tuo database delle password è compromesso, dovresti considerarle incrinate anche se sono complesse. Inoltre, se il tuo database delle password è stato compromesso, vorresti comunque inviare nuove password solo per coprirti.

Certo, potresti dare ai tuoi utenti password complesse che sono così difficili da ricordare che devono essere scritte e poi perse, richiedendone un'altra da spedire, che verrà quindi annotata e persa. È un ottimo modo per far incazzare i tuoi clienti senza un netto aumento della sicurezza semplicemente imponendo standard di buona password.

    
risposta data 26.02.2014 - 17:31
fonte

Leggi altre domande sui tag