11-jarige verkoopt sterke wachtwoorden voor 2 dollar
Een 11-jarig meisje uit New York City verkoopt via internet sterke wachtwoorden voor 2 dollar per stuk. Volgens Mira Modi lijkt het betalen voor een wachtwoord misschien gek, maar is het zelf verzinnen van wachtwoorden nog veel gekker. De basisschoolleerling stelt dat mensen zwakke wachtwoorden kiezen, zoals 12345 of password. Met haar website DicewarePasswords.com probeert ze dit te veranderen.
Diceware is een methode voor het maken van passphrases en wachtwoorden. In het geval van Modi gebruikt ze deze methode voor het genereren van wachtwoorden van zes willekeurige woorden. Tegenover Ars Technica laat de 11-jarige weten dat veel van haar vrienden niet begrijpen hoe ze sterke en veilige wachtwoorden moeten maken.
Dobbelsteen
Zodra ze een bestelling ontvang rolt Modi haar dobbelsteen en zoekt ze het bijbehorende woord op op een geprinte versie van de Diceware-woordenlijst. Vervolgens schrijft ze met de hand het wachtwoord op een velletje papier en verstuurt dit per post naar de klant. Inmiddels zou ze zo'n 30 wachtwoorden hebben verkocht. Wat betreft de veiligheid van dit systeem zegt ze dat ze de wachtwoorden van klanten niet onthoudt en dus ook niet kan misbruiken. Ook zegt ze de wachtwoorden niet op haar computer op te slaan. Doordat ze de wachtwoorden via de post verstuurt kan de overheid ze alleen met een gerechtelijk bevel openen.
Deze zin is alleen sterk als de methode niet populair wordt en daardoor niet in een standaard bibliotheek voor een woordenboek vergelijk meegenomen wordt.
Deze zin is alleen sterk als de methode niet populair wordt en daardoor niet in een standaard bibliotheek voor een woordenboek vergelijk meegenomen wordt.
met 7776 woorden heb je voor een permutatie van 5 woorden 7776^5 mogelijkheden, "iets" meer dan jouw 933120 mogelijkheden....
Deze zin is alleen sterk als de methode niet populair wordt en daardoor niet in een standaard bibliotheek voor een woordenboek vergelijk meegenomen wordt.
Jouw berekening is fout, het moet ~7776^5 zijn voor 5 woorden, ofwel ~2.8x10^19 wachtzinnen. Ongeveer omdat sommige zinnen niet goed zijn, bijvoorbeeld omdat bij hoge uitzondering een semantisch correcte zin zou kunnen worden gegenereerd. Zo zijn er nog een paar kleine reducties, die erg onwaarschijnlijk zijn.
En... de woordenboeken moeten juist wel bekend zijn anders levert het een vals gevoel van veiligheid op (security by obscurity). Ik heb daar al eens wat over geschreven, zie https://www.security.nl/posting/442947#posting443211
Diceware zinnen zijn daarnaast in de praktijk moeilijk te kraken omdat GPU's (nu nog?) moeite hebben met zinnen van meer dan 3 woorden (heb nog steeds geen bevestiging daarvan)
Aardig initiatief van een 11 jarige, die al jong van de sterkte van Diceware op de hoogte is. Maar een wachtwoord moet bij anderen niet bekend zijn, niet bij een systeem beheerder, en ook niet bij deze 11-jarige.
Diceware zinnen zijn daarnaast in de praktijk moeilijk te kraken omdat GPU's moeite hebben met zinnen van meer dan 3 woorden (heb nog steeds geen bevestiging daarvan)
Maar prijs haar ondernemende geest aan, hopelijk blijft ze dit doorzetten!
Buiten dat weinig mensen zo dom zullen zijn om hun wachtwoord überhaupt met iemand te delen wordt het zo ook een dure grap om meerdere complexe wachtwoorden voor verschillende systemen aan te houden of de wachtwoorden regelmatig te wijzigen.
Gevolg: klanten van deze jonge entrepeneur zullen overal hetzelfde wachtwoord gebruiken en dit zelden wijzigen. Dat maakt het geheime wachtwoordenschriftje van deze 11 jarige wel een behoorlijk aantrekkelijk doelwit.
Dit wachtwoord is nauwelijks te onthouden en sla ik op in een simpel tekst bestand. Dit tekst-bestand is ingepakt met een RAR-versleuteling en opgeslagen op een (alweer) beveiligde usb-stick.
Als iemand door die 2 buffers heen weet te breken, denkt die het wachtwoord te hebben. Jammer dan.
Ik pas dan de volgende systematiek toe:
Het 2e cijfer (hier een 4) bepaalt, in welke stukken het wachtwoord wordt gehakt. U ziet 3x hetzelfde teken: )
Dat betekent, dat alles achter het laatste ) wordt geknipt en geplakt in het wachtwoord, zodat het werkelijke wachtwoord: >n#g$K3A1?5^*)4f%E2#zu9)e0@e) is. Is het 2e cijfer een 5, dan staan er 4 dezelfde tekens enz.
Dus als de X-geheime dienst mij gaat meppen, kan ik met een gerust hart de 1e 2 wachtwoorden geven, dacht ik zo. Als het wachtwoord het niet doet, dan typen ze iets fout, zeg ik dan. Verlies ik de stick: dan is het helemaal succes ermee.
Ik vraag me alleen af, als je die gebruikte tekens in een kraakprogramma doet, hoelang het programma er dan over doet, om het werkelijke wachtwoord te achterhalen, omdat ze niet alle tekens hoeven te proberen.
Weet iemand dat toevallig?
maar waarom de passphrases op een papiertje schrijven en deze mailen?
waarom niet de random selected passphrases op de website tonen na betaling?
geen log en de verkoper heeft geen notie van de gekozen passphrases.
heb je zelf ook minder werk aan.
Dit wachtwoord is nauwelijks te onthouden en sla ik op in een simpel tekst bestand. Dit tekst-bestand is ingepakt met een RAR-versleuteling en opgeslagen op een (alweer) beveiligde usb-stick.
Als iemand door die 2 buffers heen weet te breken, denkt die het wachtwoord te hebben. Jammer dan.
Ik pas dan de volgende systematiek toe:
Het 2e cijfer (hier een 4) bepaalt, in welke stukken het wachtwoord wordt gehakt. U ziet 3x hetzelfde teken: )
Dat betekent, dat alles achter het laatste ) wordt geknipt en geplakt in het wachtwoord, zodat het werkelijke wachtwoord: >n#g$K3A1?5^*)4f%E2#zu9)e0@e) is. Is het 2e cijfer een 5, dan staan er 4 dezelfde tekens enz.
Dus als de X-geheime dienst mij gaat meppen, kan ik met een gerust hart de 1e 2 wachtwoorden geven, dacht ik zo. Als het wachtwoord het niet doet, dan typen ze iets fout, zeg ik dan. Verlies ik de stick: dan is het helemaal succes ermee.
Ik vraag me alleen af, als je die gebruikte tekens in een kraakprogramma doet, hoelang het programma er dan over doet, om het werkelijke wachtwoord te achterhalen, omdat ze niet alle tekens hoeven te proberen.
Weet iemand dat toevallig?
Het kost een gemiddelde gebruiker 5.407285059062444e+24 jaar om "e0@e)4f%E2#zu9)3A1?5^*)>n#g$K" te brute-forcen.
Het is alleen een ellende om dit te onthouden. Dat is de hele filosofie achter het gebruik van passphrases. Makkelijk te onthouden, moeilijk te kraken.
Als een X-geheime dienst jou trouwens gaat meppen om je ww te achterhalen, gaan ze denk ik niet stoppen als jij ze vertelt dat ze een typfout maken. Maar succes daarmee hahaha.
Overigens, waarom doe je zoveel moeite met je textfile (?#!?) waar jij je WW's in plaintext in zet?
Waarom niet gewoon een Keepass database maken (AES, 128-bit blocksize/ 256-bit keysize) met een goede, maar makkelijk te onthouden passphrase? Dit is dusdanig veilig dat je de database zelfs op een cloudserver (ik zou Mega nemen) kan zetten en overal toegang hebt tot je WW's?
ben benieuwd wat de verzendkosten gaan worden hahaha.
Diceware zinnen zijn daarnaast in de praktijk moeilijk te kraken omdat GPU's moeite hebben met zinnen van meer dan 3 woorden (heb nog steeds geen bevestiging daarvan)
En als ik dood ben, kunnen m'n huisgenoten er ook wat mee.
ben benieuwd wat de verzendkosten gaan worden hahaha.
Helaas, shipping is alleen binnen de United States... Ik denk omdat de overheid het te sterke encryptie vind en het dus onder exportregulering valt...hmm ja dat zal het zijn denk ik.
a: wie gebruikt welk wachtwoord?
b: voor welk account wordt het gebruikt
zolang je dat niet weet heb je alleen een schriftje met wachtwoorden en dat is net zo willekeurig als ieder andere lijst met willekeurige tekens.....toch??
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?