Dropbox drabbas av läcka – miljontals användaruppgifter på vift

Spelar ingen roll. Allt hänger på hur lösenordet sparas.

Jag kör med EWallet på mina IOS prylar. Finns för desktop med. http://www.iliumsoft.com/ewallet

Stämmer inte riktigt.

Moderna attacker (se hashcat tex som är gpgpu-baserat) kan använda dictionary words i "meningar". Precis som exemplet i bilden visar så kan den utan problem hitta såna enkla meningar eftersom allting är enkla dictionary words. Den bara kör dictionary words tillsammans med mer dictionary words i X antal "kolumner" beroende på hur många man väljer. Sen att det är gpgpu-baserat och går extremt jäkla fort om du har en rigg dedikerat till det är en annan sak.

Skaffa en lösenordshanterare, skapa standard 25-30 chars lösenord med mixed alpha, numeric, special, spaces så är det ingen fara.

Själv brukar jag köra på secret.password123 eller lackofimagination123... mycket svårknäckt naaat

Strippen refererar till något som kallas diceware (https://en.wikipedia.org/wiki/Diceware). Konceptet bygger på att man slumpmässigt (dice som i tärning) väljer ett antal ord (6, typ) ur en lång lista. Det gör att man har en viss garanterad entropi ("slumpmässighet"), även om den som vill knäcka det vet om vilken metod du använt och vilken ordlista du använt. Med 6 ord ur en lista på 7776 ord (5 tärningar per ord) har du 77 bit entropi, motsvarande ungefär 12 tecken helt slumpmässigt lösenord (alla skrivbara ascci-tecken).

Ett enda vanligt ord är naturligtvis väldigt svagt, 6 _slumpmässigt valda_ ord är förhållandevis starkt men endå möjligt att lära sig.

Fördelen med diceware är att man får lösenord som är möjliga att lära sig fast man endå har enkelt bevisbar entropi samt att det inte bygger på att metoden eller ordlistorna är hemliga.

Jag tycker metoder som den här är lämpliga för att till exempel skydda sin lösenordsdatabas (keepass etc), när det gäller lösenord för web är endå det viktigaste att de är unika per tjänst (så länge de inte är väldig svaga).

Edit:
När man har unika lösenord per tjänst kan man börja koncentrera sig på om det är bruteforce man vill skydda sig mot. Inlogg på en hemsida? Antagligen inte (har de fiskat fram hashen har de nog knäckt sidan redan). Keepass-databas eller hårddiskkrypto? Antaglien, eftersom du vill skydda dig mot någon som kommit över din databasfil och har den på sin egen dator. Man vill ju lägga sin energi på riktigt bra lösenord där det har större chans att göra skillnad. När någon rootat en hemsidas servrar är dit 200bit lösenord inte värt ett jota (så länge det är unikt för tjänsten).

Ah, se där! Lite som jag förmodade. En lösenordsdatabas och/eller tvåstegsverifiering torde väl vara ganska säkert i slutändan?

Det är nog det vettigaste för webtjänster och sånt. Var rädd om databasen bara, inte kul om den hamnar i fel händer eller blir borttappad (backup!).

Som jag nämnde tidigare så är inte diceware något att hänga i julgranen mot tex. hashcat.
Speciellt inte mot en rigg med ett par vettiga ATI-kort, då allt i slutet av dagen bygger på enkla dictonary words fast flera stycken i följd. Det går rätt fort med rätt hårdvara (behöver inte vara dyrt).

Ett sätt att få det bättre är att börja använda mixed-alpha (gemener, versaler) i sina meningar, men då har man likförbannat gjort det mycket svårare att komma ihåg och då ryker hela konceptet med varför 'diceware' var lämpligt från första början...

Då kan man lika gärna köra riktigt komplexa lösenord (random, mix-alpha, numeric, specials, 25-30 chars). Lösenordsdatabas eller Lösenordshanterare är att föredra då, ja.

Och hur lång tid är "rätt fort" då? Några år eller så fort som några månader? Och detta då med möjligheten att testa så många gånger per tidsenhet som datorn tillåter, ligger lösenordsfilen inte lokalt så sjunker ju antalet försök per tidsenhet avsevärt. Dessutom, du förutsätter nu att lösenordet är skrivet enligt ordboksmetod rakt av, kan du göra det när du ska hacka någon? Kommer du inte börja med en bruteforce också? Då krävs det plötsligt väldigt mycket datorkraft för att följa upp alla spår. Släng in en siffra i lösenordet så ökar entropin ytterligare, eller varför inte ett utländskt ord?

Nä, jag trot att lösenordet SockeriStSweet är sjukt säkert trots bara tre ord, dock svenska, tyska och engelska med stora S. Eller säkert för ordboksattack, bruteforce kanske tar det lite snabbare..

Lastpass

Mina lösenord ser ut ungefär såhär:
bA5!n3r!kVj5Ol'I_?
jG:63w=vm8z~ugQK@@
eCW{4o0:{H!XEU:E~v