Onderzoeker bedenkt 'martel-proof' wachtwoord
Een lang wachtwoord mag dan lastig zijn te kraken, tegen iemand die met fysiek geweld dreigt biedt het weinig bescherming, maar een onderzoeker heeft daar nu een oplossing voor bedacht. Rubber-hose cryptanalysis is het via geweld verkrijgen van een wachtwoord. In 2009 zouden de Turkse autoriteiten mogelijk het wachtwoord uit creditcardhandelaar Maksym Yastremskiy hebben geslagen, hoewel dit nooit is bewezen en de Turkse autoriteiten dit ontkennen.
Wachtwoord
Het wordt echter niet uitgesloten dat in sommige landen rubber-hose cryptanalysis wordt toegepast. Om gebruikers in dit soort landen te beschermen bedacht Hristo Bojinov van Stanford University een systeem waarbij gevoelige informatie in de hersenen wordt opgeslagen, maar waarbij het niet mogelijk is om de informatie bewust te verstrekken. De techniek combineert cryptografie en hersenwetenschap.
Tijdens verschillende tests moesten vrijwilligers een wachtwoord leren en later dat wachtwoord gebruiken om de test te kunnen slagen. Ze konden het wachtwoord echter niet geven als hier om werd gevraagd. Het systeem is gebaseerd op impliciet leren, waarbij mensen onbewust een patroon aanleren.
Volgorde
Bojinov en zijn collega's ontwikkelden een spel waarbij spelers vallende objecten moeten opvangen door op een toets te drukken. De objecten verschenen in één van zes mogelijke posities, waarbij elke positie met een andere toets overeenkomt. Zonder dat de spelers het wisten was de positie van de objecten niet altijd willekeurig.
Binnen het spel was een volgorde van 30 opeenvolgende posities die honderd keer tijdens het spel herhaald werd. Spelers maakten minder fouten als ze deze volgorde tijdens andere rondes tegenkwamen. Twee weken later bleken de spelers de volgorde nog steeds te kennen.
Het systeem is nog niet klaar voor gebruik. De onderzoekers willen eerst onderzoeken hoe snel mensen de geleerde 'wachtwoorden' vergeten en hoe snel ze deze aanleren. Bojinov zal op 8 augustus tijdens het USENIX Security Symposium zijn bevindingen presenteren.
Met dank aan Michael voor de tip
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dan liever sloopbare tokens
Ik denk dat ze dit soort factoren nog gaan testen. Onder stress functioneer je heel anders dus mogelijk kan je je het ook niet meer herinneren.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dat is het doel juist ook, al slaan ze je dood. ze hebben niets.. alleen dat het vast komt te staan dat in dit geval de turkse autoriteiten feitelijk wel iemand slaan wat nu de dood tot gevolg zou hebben. ontkenning is niet meer mogelijk dan.
en ja ze kunnen je een gelijkmatig spel laten spelen om erachter te komen. maar als zij niet de zelfde volgorde aanhouden, komt de gebruiker nog steeds niet achter zijn of haar wachtwoord. het is patroon gerelateerd.
het is zoiets als brute-forcing waar miljoenen wachtwoorden los gelaten worden. alleen dit geval zouden ze miljoenen patronen moeten 'brute-forcen'..
ik zeg, een geweldig idee ik zou best mee willen werken om dit tot een succes te maken. keep it up!
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus eigenlijk bedoelje: ze slaan me toch wel dood, dus dan kan ik net zogoed alle mensen mee nemen de dood in?
hmm ik ruik hier security fail. ( en in dit geval zou je het wachtwoord niet kunnen geven ) als dit blijkt te werken, worden ook die "noobs" vanzelf bewust van het bestaan van zulke technieken. dus ik geloof best dat de overvaller waar jullie overpraten zou geloven dat dit ook zo is . hij heeft geen keus. als hij je dood slaat, weetie zeker dat hij niks krijgt.
het zou heel goed kunnen bewijzen dat autoriteiten wel mensen dood slaan voor wachtwoorden. iets wat ik toe juich want de overheden schuiven alles toch maar in het doofpotje, wil je dat dan?
Security zou niet moeten bestaan op princiepes en wat je in zo'n geval zou doen alsje bijv een pistool op je hoofd gezet krijgt. security moet zekerheid bieden dat de persoon met het pistool vast tegen jou hoofd, geen lanceer codes kan bemachtigen. denk je eens in: als hij die kern wapens zou lanceren, en hij laat je leven om dat je het gegeven hebt je toch wel dood gaat door de kern wapens. dus....
maar goed, ik geef je gelijk als het om extreme gevalle gaat.
Wat je hier niet mee voorkomt is dat als het wachtwoord op wat voor manier dan ook alsnog achterhaald is, de kwaadwillenden hun doel bereiken. Door met een wachtwoord te werken wat wel lijkt te werken, maar subtiel de kwaadwillenden alleen maar laat denken dat ze geslaagd zijn, bereik je denk ik meer. Je slaat alarm dat de persoon die het wachtwoord gegeven heeft in verkeerde handen is gevallen, zodat daar maatregelen op genomen kan worden en de kwaadwillende is voor korte of langere tijd in de veronderstelling dat zijn doel bereikt is. Zeker als je daardoor iemand subtiel foute informatie kan geven waardoor zijn spionageactiviteiten contraproductief zijn, heb je hier meer aan dan een biometrisch kunstje wat ongetwijfeld weer te omzeilen is.
dus slaan ze je maar dood omdat ze denken dat je liegt, ook al wil je het hen geven. well done... well done
dus eigenlijk bedoelje: ze slaan me toch wel dood, dus dan kan ik net zogoed alle mensen mee nemen de dood in?
hmm ik ruik hier security fail.....
Uuuuh, nee. Wat ik bedoelde was dat wachtwoorden gelukkig meestal niet gaan om dingen waarmee je de halve wereld bevolking kunt uitroeien. En in al die andere gevallen vind ik: laat ze er maar vandoor gaan met de bedrijfsgeheimen, de goudreserve of weet ik het wat, een mensenleven is belangrijker.
ben nog al vergeetachtig.
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
Tja, als het gaat om bijvoorbeeld lanceercodes van kernwapens, dan wil je ook liever dat ze zo iemand dood slaan dan dat ze een wachtwoord krijgen. Maar inderdaad, in de meeste gevallen zou ik er ook de voorkeur aan geven dat ze het wachtwoord gewoon krijgen.
Ik begrijp helemaal wat je bedoeld; skiën is een ander voorbeeld. De meeste mensen moet je niet vragen welke volgorde van bewegingen ze moeten maken om een bocht of noodstop te maken maar als je ze een helling afduwt met de latten onder sturen en remmen ze vanzelf. Het systeem is dus gebaseerd op het aanleren van reflexen. Hoe zou dit op de lange termijn echter invloed kunnen hebben op reflexen die van nature al in mensen aanwezig zijn?
De interface (spelletje met voldoende blokjes in duidelijke resolutie en acceptabele FPS) lijkt me echter niet handig voor devices met gewoonlijk kleine regeldisplays, zoals kluizen, toegangscontrole van panden, etc.
Er zou iets anders verzonnen en gestandaardiseerd moeten worden in de IT wereld. Een token dat aan de ene kant b.v. een vingerafdrukscanner (of andere biometrische verificatie) heeft waarvan de afdruk niet kan worden uitgelezen wordt en alleen een "true" of "false" kan geven aan een ander gedeelte van de token die bij een "true" een gevraagde code aan een systeem kan leveren door een universele interface. Neemt iemand zijn token mee, dan wordt automatisch uitgelogd in het betreffende systeem en anders na x aantal minuten. Verliest men de token dan zou men er niets mee kunnen omdat bij elke login b.v. de vingerafdruk gevraagd worden en bij b.v. verkeerde invoer of gedurende x aantal weken niets doen zou een zelfvernietigingssysteem de token onbruikbaar kunnen maken.
Dit zou in ieder geval een oplossing zijn om voor elke online dienst gescheiden en complexe wachtwoorden in te stellen en deze ook nog kunnen onthouden; wat uiteraard niemand doet omdat het veel te lastig is. Social engineering zou zo ook tegengewerkt worden omdat er geen wachtwoord is wat een gebruiker kan afgeven.
De vraag is zouden zuinige Nederlanders een dergelijk device daadwerkelijk kopen als een eenvoudig wachtwoord voor alle diensten gratis is?
Op mijn achttiende, haalde ik zowel een motor- als een autorijbewijs. Ik heb de eerste motor twee jaar gehad en toen heb ik hem weg gedaan omdat ik er achter kwam dat jeugdige overmoed, motorrijden en een lang leven statistisch niet goed samen gaan.
Vijf jaar gelden - veertig jaar na die eerste motor - begon het bloed weer te kriebelen en heb ik toch weer een motor aangeschaft. Als je mij toen gevraagd had of de eerste versnelling naar boven of naar beneden is, had ik het niet kunnen zeggen. Mijn hersenen waren het vergeten. Maar de voet, of zo je wilt het ruggemerg, wist het na veertig jaar nog wel. Ik stapte er open en zonder er over na te denken drukte de voet het versnellingspedaal naar beneden voor de eerste versnelling...
MV
het is misschien een moeilijk voorbeeld, maar inderdaad dat is het idee er achter.
Krijg je een pistool tegen je hoofd gedrukt, dan geef je het 2e wachtwoord, waarbij je natuurlijk zo angstig/onschuldig mogelijk kijkt.
Voor het gemak van het onthouden van het 2e wachtwoord zou je het omgekeerde 1e wachtwoord kunnen hanteren, of een andere makkelijk te onthouden truc kunnen gebruiken.
V.w.b. die kern-raketten: Die kunnen pas na authorisatie van minimaal 3 personen worden afgevuurd, ter voorkoming, dat een depressief figuur in zijn 1-tje een wereldoorlog kan ontketenen. Daarbij zijn ook nog speciale (fysieke) sleutels nodig. Dat systeem zit redelijk goed dichtgetimmerd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?