Bezpečnost a hacking | Michal Smrčka - blog

Na délce záleží! Jak zvolit správné heslo?

Průměrný uživatel používá k přihlášení na webové služby velmi slabá hesla. Tak slabá, že případný útočník dokáže za několik hodin, příp. dní heslo v plné své kráse odhalit. Lidé toto zbytečně podceňují, navíc zvolit si těžko prolomitelné heslo nemusí být vůbec složité!

Nejdříve pár čísel.

V souvislosti se statistikami hesel pocházejícími ze vzorku více než 800.000 uživatelských účtů vyplynuly tyto závěry: *

• 9% uživatelů má heslo dlouhé jen 4 znaky nebo méně
• ovšem heslo o maximální délce 6 znaků (pořád slabé) používá více než 50% lidí!
• počet hesel, který dokáže počítač automaticky tipnout za jednu sekundu, se pohybuje mezi 20 a 100 za sekundu **
• zjištění čtyřmístného hesla tedy brutal-force útokem zpravidla trval maximálně 40 hodin, v praxi je to ale mnohem méně
• odhalení pětimístného hesla by bylo jisté maximálně za 24 dní, ovšem za předpokladu zapojení více paralelních počítačů je možné proces urychlit
• pokud máte maximálně šestimístné heslo, prodloužila by se maximální doba zjištění na téměř 2,5 roku, nicméně také platí, že v případě zapojení více počítačů se doba zkrátí :)

"Legální" spam - nenechte se napálit

Jistá česká společnost (reklamu jim tu dělat nehodlám) mi poslala nevyžádané obchodní sdělení (tedy spam). Propaguje v něm svoje služby a produkty s odkazem na webové stránky.

Normální spam, řekli byste. Jenže ne tak docela. Zajímavé je, že společnost se v něm ohání zákonem a několikrát v e-mailu upozorňuje, že jejich spam je vlastně legální:

"Tento email nelze dle výkladu ustanovení § 7 od. 1 zákona č. 480/2004 Sb. o některých službách informační společnosti považovat za nevyžádanou zprávu, neboť je nezbytným právním krokem učiněným ve smyslu získání souhlasu se zasíláním obchodního sdělení."

Řekněte mi, prosím, Vaše heslo...

Příchozí hovor z klasického telefonního čísla s předvolbou 776:

„Dobrý den, mluvím s panem Michalem Smrčkou?“
„Ano, u telefonu.“
„Vidím, že využíváte služby našeho operátora a měl bych pro Vás výhodnou nabídku. Nicméně potřeboval bych si Vás ověřit. Můžete mi, prosím, pro kontrolu sdělit Vaše osobní heslo?“

Jak byste zareagovali v mém případě?

Zlo jménem Captcha (opisování znaků z obrázku)

Jsem zásadní odpůrce Captchy. Je to velmi účinná metoda, jak uživatele co nejvíce nasrat. Captcha je řetězec znaků, který na některých webech musíte opsat z obrázku, abyste mohli přispět diskuzním příspěvkem, poslat e-mail prodejci atp. Důvodem má být zamezení automatického odesílání SPAMu skrz tyto formuláře nebo jiné strojové využití formulářů (roboti vygenerované znaky obvykle neumí rozpoznat a „opsat“).

Hacking webů - obrana, techniky (1)

V tomto prvním dílu série o webových bezpečnostních rizicích se budu věnovat teorii průniků do cizích serverů skrz manipulace se zpracovávanými daty.

Otázka, jak se nabourat do cizího webserveru, napadla snad každého počítačového maniaka. Ať už byl motiv jakýkoli. (Já rozhodně neuznávám parazity, jejichž motivem je jen a pouze páchat škodu druhým.) A proč se zabývám bezpečností právě webových služeb? Chyby jsou přece ve všech aplikacích a pokud všechny chyby opravíte, stejně vygenerujete další chyby v těch opravách…