Niebezpiecznik

KeePas. Bo co, jeśli ktoś dostanie się do maila, na którym trzymasz hasła? Później można sprawdzić gdzie się rejestrowałeś i próbować “brute forcem”, bo któreś hasło jest dobre. (:

Ja mam kilka sposobów:

1. Hasła do durnych serwisów, które tak naprawdę hasła nie potrzebują, albo do mało ważnych, a często używanych – mam kilka bardzo prostych, których używam wszędzie (kilka, bo czasem musi być cyferka a czasem coś tam innego). Jak ktoś odgadnie to i tak g***o zrobi, najwyżej napisze kilka postów pod moim nickiem czy coś.

2. Hasła do różnych mało i średnio ważnych, a rzadko używanych serwisów typu sklepy internetowe – hasła wyciągniete z /dev/random wrzucone do bazy danych. Przy okazji niejako, każdy taki serwis otrzymuje “jednorazowy” adres email, aby w razie spamowania łatwo można było wyizolować spamera. Baza nie jest jakoś super zabezpieczona, ale w razie wycieku nie ma większego niebezpieczeństwa, co najwyżej ktoś coś kupi na moje konto (ale zapłacić będzie musiał sam).

3. Hasła do bardzo ważnych, często używanych serwisów, typu bank – losowe, trzymane tylko w pamięci “wewnętrznej” (zdarzyło się mi ze dwa razy zapomnieć – musiałem powędrować do banku, albo użyć “hasła” z grupy 4. poniżej). Rzadko zmieniane, bo jest problem z zapamiętywaniem, ale wystarczająco mocne; poza tym jest jeszcze drugi składnik uwierzytelnienia.

4. Hasła do ważnych, rzadko i bardzo rzadko używanych serwisów (w tym “przypominacze” haseł, typu: jak się nazywa twój kotek? Odpowiedź: KH89lMH8rf76MHn) – losowe, trzymane na papierze, w kopercie, w bezpiecznym miejscu.

5. Hasła “podstawowe” – typu główne hasło w pracy, passphrase do klucza SSH, hasło na moje konto na domowym sprzęcie itd.:

a) jeśli to możliwe i praktyczne, bo wpisywane góra kilka razy dziennie (np. hasło do klucza SSH pamiętanego w agencie) – długie zdanie w jakimś egzotycznym języku – polski od biedy się łapie :-) – lub kilku językach, dodatkowo z błędami ortograficznymi. W razie problemów z pamięcią, wiem, gdzie to hasło mogę znaleźć. Jest to z grubsza odpowiednik szyfru książkowego, bardzo trudnego do złamania.

b) jeśli a) jest niemożliwe lub niepraktyczne, np. system narzuca jakieś durne ograniczenia, typu max 8 znaków, albo zmiana co 30 dni, albo hasło trzeba wpisywać wciąż i wciąż (np. do screensavera), wymyślam krótkie słowo lub dwa słowa, które z czymś mi się kojarzą w danym czasie, przy czym staram się, aby litery się nie powtarzały, co najwyżej 1-2 powtórzenia, po czym stosuję prosty, polialfabetyczny szyfr podstawieniowy, który mogę zastosować “w głowie”, a który zamienia litery na znaki łatwo dostępne z klawiatury, tj. małe litery, cyfry i “nieshiftowane” znaki przestankowe. W rezultacie otrzymuję ciąg ośmiu-dziesięciu RÓŻNYCH znaków. Analiza częstościowa nic nie pomoże. Metoda słownikowa też, dopóki ten mój szyfr jest tylko mój :-) więc go tu nie podam. Tak wygenerowane hasło łatwo mi jest odtworzyć w pamięci w pierwszych dniach jego używania, potem “wchodzi w palce” i już nawet nie pamiętam, z jakiego słowa je otrzymałem. Czasem udaje mi się potem “reverse engineering” zapamiętanego ciągu na słowo, z którego go wywiodłem, a czasem nie (ze względu na polialfabetyczność mojego szyfru).