И снова пароли

 
Аватар пользователя mike

Задралли Вы всех своими паролями. В серьёзных системах поступают так: пару-тройку раз неверный пароль -- доступ закрыт на час-другой даже для верных паролей. :))

Аватар пользователя VladB

Ага :) Не смешите! О возможности перехвата и создания дампа логин-пароль в домене вы не слышали? А потом они анализируются отдельно. И никакие пара-тройка неверных тут не срабатывают! Пароль подбирается и все! Какие пара-тройка... Даже не смешно!

Аватар пользователя mike

Какие пара-тройка... Даже не смешно!

Что такое перехват + дамп логинпароль я знаю. Но в нормальных системах вместо логинпароль передаётся хэшкод, который НАМНОГО длиннее. Попытками подбора злоумышленник может заблокировать доступ к ресурсу, но на то есть байпасс, дабы просигналить неполадку.

Всё, не хочу спорить, уважаемый специалист, пугайте людей и дальше, им полезно.

Аватар пользователя VladB

Хэш-код длиннее?  С каких пор? Сколько битов в хэше пароля в Windows? А? 

Да. Все верно. Перехватывается именно хэш пароля. А потом пароль подбирается по равенству хэшей. Причем достаточно быстро :)  

Дело не в пугании. Просто вы, как мне кажется, никогда (или очень давно) это делали. А мне приходится по роду работы делать это регулярно.

Аватар пользователя mike

Сколько битов в хэше пароля в Windows? А?

Уточните, что за пароль.

Потом пароль подбирается по равенству хэшей

:)

Аватар пользователя savely

> В серьёзных системах поступают так: пару-тройку раз неверный пароль -- доступ закрыт на час-другой даже для верных паролей.

А тут Майк прав. У меня - не на час-другой, а юзер блокируется вообще, разблокировать может только админ. Не блокируется только "СуперАдмин", но там "железный" идентификатор и по правильным бумажкам - идентификатор "СуперАдмина" лежит в сейфе и выдается под роспись и вся такого рода байда. 

 

 

 

 

 

Аватар пользователя VladB

http://elcomsoft.ru/ppa.html Вот описание ПО с помощью которого мне неоднократно приходилось проверять устойчивость паролей в сети. И при чем иуи 3-5 ошибок ввода?

Аватар пользователя savely

Влад, это применимо к одной схеме. Это Windows-сеть c относительно открытыми каналами передачи данных, относительно простым доступом к "телу" (компу), наличием "этих ваших интернетов" и т.п.  Ну, и еще доступ к Web-сайтам. С использованием штатных возможностей ОС. Это схема "обычного офиса". 

Да, картинка хороша, в такой схеме - пароли сложные нужны, пароли сложные важны. 

Но, думается мне под "нормальными" системами Майк (и я) подразумеваем нечто более другое. 

 

 

Аватар пользователя VladB

Такая схема - это 99% организаций

Аватар пользователя Al

При этом не надо забывать о том, что любая система безопасности по своей стомости должна соотноситься со стоимостью защищаемой информации. Пароль и защита - это не самоцель.

Там, где это совершенно не критично, там, где полная потеря информации не имеет значения - там у меня и защита соответствующая. Хорошая, но совершенно без напрягов. Это места, где инфа в онлайне скидывается на центральный сервер, та, что остаётся, не имеет коммерческой ценности, а остальные данные на компе - чисто информационные. Но и там в любом случае есть как минимум различные бэкапы.