EFF komt met Star Trek-woordenlijst voor passphrases
De Amerikaanse burgerrechtenbeweging EFF heeft woordenlijsten uitgebracht die op Game of Thrones, Star Trek, Star Wars en Harry Potter zijn gebaseerd en gebruikers moeten helpen bij het genereren van willekeurige passphrases. Een passphrase is een wachtwoord dat uit meerdere woorden bestaat.
Beveiligingsexpert adviseren passphrases boven een normaal wachtwoord omdat ze eenvoudiger te onthouden en lastiger te kraken of te raden zijn. Om mensen te helpen bij het kiezen van willekeurige woorden voor hun passphrase zijn er verschillende systemen bedacht. De bekendste woordenlijst is de Diceware-lijst van Arnold Reinhold die in 1995 werd gepubliceerd en 7776 woorden bevat.
Door verschillende keren met een dobbelsteen te rollen komt er een getal uit, dat met een woord op de woordenlijst overeenkomt, vandaar ook de naam Diceware. Op deze manier kan er geheel willekeurig een passphrase van verschillende woorden worden samengesteld. In 2016 publiceerde de EFF al verschillende woordenlijsten die met een dobbelsteen kunnen worden gebruikt.
Vanwege Dragon Con 2018 dat afgelopen weekend en vandaag in Atlanta plaatsvindt heeft de EFF verschillende nieuwe woordenlijsten gepubliceerd die op Game of Thrones (pdf, txt), Star Trek (pdf, txt), Star Wars (pdf, txt) en Harry Potter (pdf, txt) zijn gebaseerd. De woorden op de woordenlijsten zijn afkomstig van verschillende officiële encyclopedieën en Wiki-pagina's. Elke woordenlijst bestaat uit 4.000 unieke woorden, die één keer zijn herhaald.
De lijsten zijn geoptimaliseerd voor een dobbelsteen met 20 zijden. Gebruikers krijgen wel het advies om de woorden nadat ze zijn gekozen niet te veranderen of opnieuw de dobbelsteen te rollen omdat ze de eerdere gekozen woorden niet fijn vinden. Volgens de EFF is een aanvaller die weet welke woordenlijst de gebruiker heeft gebruikt en over een computer beschikt die 15 miljoen wachtwoorden per seconden kan proberen, nog steeds 2000 jaar bezig om alle mogelijke combinaties te proberen, waarbij het gemiddeld 1000 jaar duurt om een wachtwoord te kraken.
Het heet diceware, omdat je, offline, dobbelstenen moet gebruiken.
Ik zie graag, dat dit soort voorspellingen rekening houden met de technologische ontwikkelingen.
Makkelijker te onthouden dan "8lqS3BoG" en bestand tegen brute force en dictionary aanvallen.
19 tekens en niemand verwacht dat je dat gebruikt. Handig toch?
19 tekens en niemand verwacht dat je dat gebuikt. Handig toch?
19 tekens en niemand verwacht dat je dat gebruikt. Handig toch?
Alleen letters en cijfers, geen echt sterk wachtwoord, en bij een volgende wijzing ga je waarschijnlijk naar 002 toe?
Volgens mij een behoorlijk domme zet om dit soort lijsten te publiceren om wachtwoorden te genereren.
53.459.728.531.456 = combinaties van wachtwoord bestaande uit 8 cijfers, kleine letters en hoofdletters.
218.340.105.584.896 = combinaties van wachtwoord bestaande uit 8 cijfers, kleine letters, hoofdletters en 10 meest gebruikte speciale tekens.
4.096.000.000.000.000 = combinaties van: 4(!) woorden uit de "star trek" lijst.
Ik weet wel welke ik zou kiezen. Helemaal omdat 8 woorden makkelijker zijn te onthouden dan 8 van de bovengenoemde tekens.
Dat is overigens 1,6777216e+31 (4.096.000.000.000.000 x 8000 x 8000), succes met de rainbow tables.
Wat is het toch met mensen die graag laten zien dat ze dingen niet snappen ?
Ietwat slimmere mensen denken misschien "Hm, voorstel van de EFF - ik denk dat ze iets heel doms doen in hun voorstel.
Zouden ze echt niet gezien hebben wat ik zag ? Laat ik even goed controleren of _mijn_ inzicht misschien niet klopt, voordat ik roep dat ze iets simpels gemist hebben "
Diceware (concept) vereist niet dat de woordenlijsten geheim zijn - alleen dat de keuze van de woorden goed random gedaan wordt en dat voldoende woorden gekozen worden . Dan zit er meer dan genoeg entropie in om bestand te zijn tegen bruteforce .
Het concept heeft als voordeel dat mensen een set van random gekozen woorden net wat makkelijker onthouden dan een setje van random gekozen karakters
53.459.728.531.456 = combinaties van wachtwoord bestaande uit 8 cijfers, kleine letters en hoofdletters.
218.340.105.584.896 = combinaties van wachtwoord bestaande uit 8 cijfers, kleine letters, hoofdletters en 10 meest gebruikte speciale tekens.
4.096.000.000.000.000 = combinaties van: 4(!) woorden uit de "star trek" lijst.
Ik weet wel welke ik zou kiezen. Helemaal omdat 8 woorden makkelijker zijn te onthouden dan 8 van de bovengenoemde tekens.
Dat is overigens 1,6777216e+31 (4.096.000.000.000.000 x 8000 x 8000), succes met de rainbow tables.
Hoe heb je dat berekend? Misschien wat copy/paste foutjes gemaakt of is je bron abuis?
52^8 = 53,459,728,531,456 (26 kleine letters, 26 grote letters)
62^8 = 218,340,105,584,896 (10 cijfers, 26 kleine letters, 26 grote letters)
72^8 = 722,204,136,308,736 (10 cijfers, 26 kleine letters, 26 grote letters, 10 andere tekens)
"10 meest gebruikte speciale tekens" zorgt voor beweging in de mondhoeken. :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
