Sicherheit mach frei!

februari 11, 2009 at 10:51 f m (Teknik)

Läste lite slött på MUD-gurun Richard Bartles blogg när jag läste ett inlägg som påminde mig om en av mina käpphästar.

Det är väldigt populärt bland säkerhetsavdelningar att tro att ett bra lösenord är minst 20 tecken långt, innehåller siffor, bokstäver, specialtecken, avförignsprov och ekorrljud samt byts ut varje gång du loggar in.

Detta är fullständigt nonsens. Om du har ett lösenord som ingen kan komma ihåg så får du en lapp under skrivbordsunderlägget (komplett med en klick avföring och en jävligt ilsken ekorre), vilket är ungefär lika säkert som att lämna lösenordet blankt.

Om du byter ditt lösenord allt för ofta så får du ett lösenord som ser ut så här ”mitthemligalösenordxx” där ”xx” är ett tal mellan 01 och 99. Vilket är kanon. Jag kan tänka mig glädjen hos den hacker som får en krypterad lösenordsdatabas och inser att om policy på företaget är att byta lösenord en gång varannan månad så är de sista tecknet i varje post garanterat mellan 1 och 6. Någon har just gjort hans jobb mycket lättare. Jag är ingen krypteringsexpert, men jag kan tänka mig att om du vet ett teckens position och värde i en sträng borde det i teorin vara rätt så mycket enklare att knäcka den övrigta krypteringen.

Självklart är jag för långa och krångliga root-lösenord på servrar som ligger ut mot internet. (Inte för att en bra strategi är att tillåta root-inloggning via ssh från utsidan.) Men de lokala användarna på kontoret behöver en lite mindre tungrodd verklighet. Det räcker med att säga åt dem att inte använda riktiga ord eller namn i sina lösenord.

Kanske bör man byta någon gång om året. När folk kommer tillbaka från sommarsemestern är ett ypperligt tillfälle, för då har de oftast glömt sina lösenord ändå.

Kommentera

Fyll i dina uppgifter nedan eller klicka på en ikon för att logga in:

WordPress.com Logo

Du kommenterar med ditt WordPress.com-konto. Logga ut / Ändra )

Twitter-bild

Du kommenterar med ditt Twitter-konto. Logga ut / Ändra )

Facebook-foto

Du kommenterar med ditt Facebook-konto. Logga ut / Ändra )

Google+ photo

Du kommenterar med ditt Google+-konto. Logga ut / Ändra )

Ansluter till %s

%d bloggare gillar detta: