Kata sandi praktik terbaik

Mengingat peristiwa baru-baru ini dengan 'peretas' yang mempelajari dan mencoba ulang kata sandi dari administrator situs web , apa yang dapat kami sarankan untuk semua orang tentang praktik terbaik dalam hal kata sandi?

• menggunakan kata sandi unik antar situs (yaitu tidak pernah menggunakan kembali kata sandi)
• kata-kata yang ditemukan dalam kamus harus dihindari
• pertimbangkan menggunakan kata atau frasa dari bahasa non-Inggris
• gunakan frasa sandi dan gunakan huruf pertama dari setiap kata
• Pengakuan itu tidak banyak membantu

Tolong sarankan lebih banyak!

• Gunakan kata sandi yang tidak terdiri dari kata atau nama umum. Serangan kamus menggunakan kamus dengan jutaan kata dan sangat cepat.

• Gunakan kata sandi yang panjang. Saya cenderung menggunakan frasa sandi . Saya memilih frase, kalimat atau sajak dan menemukan beberapa cara untuk menggunakan sejumlah karakter non-numerik yang adil sehingga kata-kata saya bukan kata-kata kamus.

• Jangan gunakan kata sandi yang sama untuk beberapa layanan masuk. Luangkan waktu untuk membuat formula untuk memilih frasa sandi. Ini memungkinkan Anda untuk menggunakan banyak kata sandi berbeda yang, jika dilupakan, Anda mungkin dapat membuat ulang dengan beberapa coba-coba.

• Jika perlu, tuliskan kata sandi yang baik, panjang, dan aman dan sembunyikan di suatu tempat. Setidaknya itu lebih baik daripada menggunakan kata sandi yang lemah yang lebih mudah diingat.

• Jika saran di atas terbukti tidak dapat dikelola, gunakan pengelola kata sandi dengan kata sandi lama yang aman dan kemudian gunakan kata sandi karakter acak untuk yang lainnya. Bawalah pengelola kata sandi bersamamu di flash drive USB terenkripsi (tentu saja didukung).

Saya telah menemukan beberapa masalah dengan frasa sandi:

• Banyak situs memiliki batas atas panjang kata sandi - seperti 20 karakter - konyol, tapi apa yang bisa Anda lakukan.
• Situs lain tidak mengizinkan spasi dalam kata sandi.
• Mengetik teks yang panjang secara membabi buta adalah rawan kesalahan - terutama saat Anda tidak memiliki pengetik sentuh yang baik.
• Mengetik frasa sandi 50-char membutuhkan waktu lebih lama daripada kata sandi 15-char yang baik.

Solusi saya untuk masalah ini adalah menggunakan frasa sandi sebagai mnemonik kata sandi yang sebenarnya. Misalnya saya dapat memilih beberapa baris puisi hebat dari William Henry Davies (76 karakter):

Tidak ada waktu untuk melihat, ketika kita melewati hutan,
Di mana tupai menyembunyikan kacang mereka di rumput.

Dan saya akan memilih huruf pertama dari setiap kata, membuat kata sandi 16-char yang cukup bagus:

Nttswwwp,Wshtnig

Menggunakan puisi sangat baik, karena lebih mudah diingat dan ketika Anda diminta untuk mengubah kata sandi, Anda dapat memilih beberapa baris puisi berikutnya.

Ketika mendikte rezim kata sandi kepada orang lain, tidak hanya mengharuskan mereka menggunakan kata sandi yang unik, lebih lama dari ambang batas, berisi huruf besar, karakter khusus dll. Tetapi juga mendidik pengguna tentang pengelola atau skema kata sandi untuk membuat / mengingat kata sandi tersebut .. Jika tidak, pengguna akan menuliskan kata sandi atau menemukan cara lain yang tidak aman untuk "mengingat" kata sandi tersebut.

Jika Anda kesulitan mengingat kata sandi, gunakan beberapa teks yang sudah diketahui dengan baik. Pilih satu kalimat, gunakan huruf ^ke-11 dari setiap kata sebagai kata sandi, pertahankan tanda baca. (misalnya sandi yang dihasilkan dari 1 ^st surat kalimat pertama dari jawaban ini bisa menjadi "Iyhtrp, uswkt."). Anda dapat membuatnya lebih kuat dengan mengubah beberapa huruf besar, dan menambahkan beberapa karakter khusus.

Jangan gunakan kata sandi, di situlah Anda salah sejak awal. Gunakan kumpulan karakter acak (minimal 8) atau frasa sandi. Anda dapat membuat rumus untuk menghasilkan frasa sandi yang berbeda untuk setiap situs misalnya ILikeStackOverflowOnions atau ILikeServerFaultOnions; hal ini membuat Anda tetap aman terhadap orang luar namun masih dapat menyebabkan masalah jika situs yang sebenarnya diretas dan kata sandi tidak diasinkan, atau jika admin rusak sejak awal.

Ubah kata sandi Anda secara teratur. Tempat saya bekerja, ini adalah siklus 30 hari. Ini adalah PITA, tetapi mengurangi nilai kata sandi yang diretas ke jendela waktu terbatas. Itu, ditambah kebijakan kata sandi AD yang rumit mengharuskannya minimal 8 karakter, berisi atas, bawah, numerik, dan simbol.

Untuk melengkapi, kami menggunakan layanan pengelola kata sandi swalayan. Ini memberikan Windows GINA kustom yang menyediakan fungsionalitas untuk memungkinkan pengguna mereset kata sandi mereka jika mereka lupa, atau membuka kunci jika mereka melakukan kesalahan terlalu sering. Aplikasi pengelola kata sandi mengharuskan pengguna mendaftar di layanan, memberikan banyak info pribadi hanya mereka yang akan tahu yang kemudian digunakan sebagai pertanyaan ketika pengguna perlu mengatur ulang kata sandi / membuka kunci akun mereka.

Saya percaya kata sandi harus dibuat, daripada dipikirkan oleh pengguna. Ini menghindari semua masalah konyol itu dengan kata sandi yang mudah ditebak.

Saya suka menggunakan pwgen , yang menghasilkan daftar kata sandi seperti

Bai4phei Gohh7Too cee3Iegh eegh7Aiy kaing6Mu ohBi0woo oH7bieRo Opai1Vov
sahpee6Y joo3iKe4 iegai4Ae chi1Akee se2vaDoo Xivae4ew eN4aquoh ahMaeye1
Ci3mie2e Oosh3aiy pueX1OoF uXee7chi theo4doT ied6Haeg Pey3beer viZeish2 
Itoogoa3 RaeD6woh IeJ9guLo Afuozii9 equahGh7 ui9uaJae qui4Geis Eikib2ko 
Ua7viequ iedieY9Y Deihae1u uu6aR7xa ThooG6mu HeiZ7jai choo7ohM jael0Lai 
Beelae6s wu0uTieK eiX8equu uPeeS2ub WaiceeP1 tha2Ohz1 xeiroh9E Eak6leiy 

tetapi benar-benar program generasi pw akan melakukannya. Satu kelebihan pwgen adalah mencoba membuat kata sandi (agak) dapat diingat, dengan memasukkan beberapa vokal.

Apa pun yang berbeda dari (source dailywtf.com):

1. Gunakan kata sandi yang kuat.
2. Jangan menggunakan kembali kata sandi.
3. Dengan pertimbangan # 2, gunakan alat seperti PwdHash dalam menghadapi akun yang berbeda.

Tinggal jauh dari 500 kata sandi terburuk ini .

Kata sandi yang panjang dan kompleks menawarkan keamanan yang baik, pada dasarnya kata sandi yang kuat , tetapi jelas menggunakan kata sandi yang berbeda untuk semua akun pengguna.

Gunakan alat seperti SuperGenPass untuk menghasilkan kata sandi unik untuk situs web apa pun yang Anda gunakan untuk masuk.

Hak5 baru saja melakukan episode yang mendemonstrasikan alat dari Remote Exploit yang mengambil sejumlah string dan menghasilkan kamus dari semua kombinasi, ejaan atas, bawah, leet, dll. Jadi, Anda memberikan input seperti nama target, nama anak, tanggal lahir, atau informasi lain yang Anda ketahui tentang target. Kamus yang dihasilkannya dapat digunakan sebagai input untuk memaksa kata sandi yang lemah.

Moral: Hindari menggunakan informasi pribadi dalam kata sandi Anda

Jika Anda tahu kata atau frasa dalam bahasa non-Inggris , Anda dapat menggunakannya sebagai bagian dari kata sandi Anda. Sebagai contoh, saya biasanya menggunakan kata-kata Jepang sebagai bagian dari kata sandi saya yang menangkis serangan kamus namun memungkinkan saya untuk mengingatnya (bukan kata sandi yang dibuat secara acak).

Saya mulai menggunakan Kata Sandi Aman , yang awalnya dirancang oleh Bruce Schneier, untuk menyimpan kata sandi web apa pun. Saya memiliki kata sandi yang sangat kuat pada kata sandi yang aman, dan semua kata sandi lainnya dibuat secara otomatis dan tidak pernah digunakan kembali di berbagai situs web.

Perangkat lunak ini juga memiliki fitur seperti kata sandi yang kedaluwarsa dan sejenisnya.

Saya menganggap ini (mengingat kata sandi aman yang kuat ) sebagai pendekatan trade-off terbaik dan paling aman untuk kata sandi situs web.

Untuk keluarga dan teman-teman saya biasanya mengatakan bahwa itu keren untuk menggunakan hal-hal seperti nama hewan peliharaan dan nama ibu ibu dan hal-hal selama dua hal berikut terjadi:

• menggabungkan setidaknya dua nama (mis: nama ibu + nama hewan peliharaan)
• menggabungkan huruf besar dan karakter khusus.

Saat melembagakan masa kedaluwarsa kata sandi wajib, pilih faktor 7, bukan blok hari (mis. 30 atau 60 hari).

Hasil kedaluwarsa 30 hari mungkin bahwa pengguna diharuskan untuk mengubah kata sandi mereka pada hari libur atau akhir pekan, dan mungkin memiliki kejutan ketika mereka mulai bekerja pada hari berikutnya.

Jika Anda mengatur skala kedaluwarsa ke faktor 7, ini akan memastikan bahwa tanggal perubahan kata sandi akan jatuh pada hari-minggu yang sama dengan perubahan sebelumnya.

Jika Anda memiliki beberapa situs untuk basis pengguna yang sama maka saya harus sangat menyarankan beberapa bentuk single sign on (seperti Shibboleth). Ketika pengguna memiliki kata sandi yang berbeda untuk beberapa situs, mereka cenderung mengalami kesulitan mengingat semuanya. Satu atau dua kata sandi mudah diingat oleh kebanyakan orang, tiga pengguna dapat menuliskannya di lokasi rahasia. Jika lebih dari empat pengguna dapat menulis semuanya pada catatan yang ada dan menerapkannya di meja atau monitor.

Kata sandi tidak perlu terlalu rumit, meskipun harus cukup rumit untuk mencegah upaya pertama atau kedua. Selama sistem / situs Anda memiliki semacam ukuran keamanan yang membatasi jumlah upaya login maka kata sandi tidak perlu terlalu rumit.

Sebagai contoh, jika sistem Anda memiliki batas 3 upaya masuk per jam, maka kata sandi dasar seperti "Cindy65" lebih dari cukup kompleks. Sementara hacker mungkin tahu bahwa nama asli pengguna adalah Cindy, dia benar-benar tidak akan pernah tahu bahwa dia dilahirkan pada tahun 1965. Usahanya secara alami akan menjadi "cindy", " l astname", "Cindy", L astname ", meskipun dengan ini waktu dia diblokir.

Meskipun ini mungkin kasus sederhana dan kata sandi sederhana, itu semua yang benar-benar diperlukan jika Anda admin telah mengatur semuanya dengan benar di sisi server. Kami juga dapat meminta kata sandi yang sedikit lebih rumit yang mudah diingat, seperti kombinasi tombol acak. Simbol dan huruf kapital juga sangat membantu.

Kita hanya perlu mengingat, semakin sulit kita membuatnya pada pengguna, semakin besar kemungkinan mereka akan menuliskannya di depan umum.

Satu hal yang selalu ingin saya tanyakan kepada pengguna saya adalah menulis nama mereka digabung dengan nama obat yang mereka konsumsi, makanan favorit, nama sahabat, dll. Kombinasi kata-kata kamus ini sementara sederhana hampir mustahil untuk dipecahkan.

Contoh: CindyProzac, WilliamCodene, JoePetertherabbit

Semoga berhasil.

Jangan menuliskannya. Dan jika Anda melakukannya, letakkan di brankas. Dan jangan menulis bahwa combo bawah, baik.

Jika persyaratan keamanan benar-benar ketat, saya akan mencoba dan menghindari penggunaan kata sandi sedapat mungkin. Pikirkan menggunakan otentikasi berbasis kunci ssh, sertifikat klien pada kartu pintar, dll. Dibutuhkan banyak keterampilan dan anggaran untuk membuatnya bekerja dengan baik, sehingga penilaian risiko yang tepat harus dilakukan.

Jika Anda memutuskan untuk tetap menggunakan kata sandi, saya akan mengikuti saran dari capar dan lexu.

Pembatasan panjang kata sandi itu konyol. (Membatasi kata sandi antara 6-8 karakter adalah umum, namun tidak masuk akal pada sistem modern).

Membutuhkan perubahan kata sandi yang sering mendorong pengguna untuk menuliskan kata sandi mereka dan memilih kata sandi yang lebih sederhana. Ini adalah kompromi ancaman, dan Anda harus mempertimbangkan ancaman mana yang lebih relevan.

Mewajibkan pengguna untuk memuat "karakter khusus" dalam kata sandi 8-karakter yang tepat, alih-alih mengizinkan kata sandi 30-karakter yang hanya terdiri dari huruf, tidak masuk akal.

Jangan berikan kata sandi yang jelas kepada pengguna dan minta mereka mengubahnya. Mereka tidak akan melakukannya. Entah mengharuskan mereka mengubahnya pada login pertama, pilih kata sandi yang kuat untuk mereka mengetahui bahwa mereka akan menuliskannya, atau membuat mereka memilih yang kuat di depan Anda.

Kami melatih pengguna kami untuk memilih frasa sandi dan menggunakan huruf pertama dari setiap kata.
WTOUTPPAUTFLOEW - tambahkan nol atau 3 (pengungkit), ubah capslock beberapa kali dan Anda punya sesuatu yang tidak akan dipilih kamus mana pun tetapi masih mudah diingat.

namun-- pastikan Anda tidak mengubah kata sandi mereka menjadi frasa sandi berdasarkan slogan / pernyataan visi perusahaan dll.

Untuk membantu mencegah apa yang terjadi pada administrator situs web itu, dan dengan asumsi Anda memiliki akses ke shell Unix atau Cygwin, Anda dapat menggunakan

$ echo -n *password* | md5sum -

d1b13e9abbe4edb1b07317241969376e -

dan periksa nilai itu terhadap basis data MD5, seperti http://gdataonline.com/ . Pastikan tidak muncul di sana.

Juga, inilah contoh kamus MD5 yang lebih baku, yang saya peroleh hanya dengan googling untuk nilai hash itu (peringatan: file besar): https://secure.sensepost.com/sp-hash/jebwy