Рабочие заметки

Как-то достаточно давно видел я поучительную картинку, сравнивающую пароли с нижним бельём. В смысле, что их желательно тоже не показывать другим, не бросать где попало и менять почаще.

Это сравнение хорошо соответствует тому, до чего я дошёл на своём собственном опыте. Но есть некоторые нюансы. Если с тем, чтобы не показывать пароли другим никаких проблем нету; с тем, чтобы не бросать их где попало, сиречь хранить в прохладном сухом месте, тоже всё просто (пользуюсь KeePass и остальным рекомендую); то с регулярной сменой паролей дело обстоит печально. Даже у меня, ответственно к этому относящегося.

( Читать далее )

xxx Еманарот, что за день! короче, срочно смени мне пароль, вот предыдущий...
xxx бля, даже не знаю, как написать...
xxx "пап@#деладошкой"
xxx потом объясню

http://antibash.org.ua/3572#idquote2816121

Я прям сейчас объясню! Потому что у меня был совершенно аналогичный случай.

Для получения паролей я использую специальную программу-генератор. Она генерирует десяток случайных паролей, а далее из этого списка надо просто выбрать такой, который проще всего запоминается.

И вот однажды генератор волею случая выдал мне совершенно нецензурно звучащий пароль. Я сначала посмеялся, а потом понял – это как раз то, что надо!

Ведь как оно получается? Если назначать пользователю пароль из случайного набора символов, то он сначала будет жаловаться, что это невозможно запомнить, а потом напишет его на бумажке и повесит на видном месте. Чтоб не забыть и чтобы все видели.

Если же позволить пользователю выбирать пароль самому, то он выберет что-то легко запоминающееся. Настолько легко, что дальше некуда. Как-то, когда я работал на «Прогрессе», там вирус на сервере нашли. Начали разбираться, как он туда попал. Я со своей стороны провёл лёгкий аудит безопасности – попробовал подобрать пароли по типовому словарю. И что же? На сервере восемнадцать пользователей, чей пароль состоит только из цифр и, соответственно, подбирается меньше, чем за минуту. Причём один из них с правами администратора. Хотел я ему сказать пару ласковых слов, но выяснилось, что он уже год как уволился. А пользователь остался, и никто его не отследил, не удалил и даже не заблокировал.

Вот, значится. А нецензурно звучащий пароль на этом фоне обладает массой несомненных достоинств. Во-первых, даже если пользователь его и запишет на бумажку, то вывешивать её на видное место он не будет. Хотя бы в ящик стола положит, что уже хорошо.

Во-вторых, если злоумышленник позвонит пользователю по телефону и спросит у него пароль, то пользователь не будет оглашать этот пароль на всю комнату, как это обычно делается. Он даже, скорее всего, не будет говорить его шёпотом. Он скажет: «А давайте я к вам подойду и сам его наберу.»