Опасность подбора паролей

[Н. Светлов]

Уважаемые коллеги,

напоминаю всем о недопустимости использования слишком простых паролей к своим учётным записям. Минимальная длина более-менее устойчивого пароля - восемь-девять символов при условии использования символов разных регистров и/или языков. Прошу всех, кто пользуется слишком простыми паролями, поменять их на более надёжные во избежание утраты контроля над своими учётными записями.

[Алексей Аксёнов]

Мой ник толик,пароль 87****

Действующий пароль висит в свободном доступе на форуме с 15 ноября!!!
У меня нет определения подобному состоянию рассудка.

[Н. Светлов]

Алексей Аксёнов
1) Я поменял ему пароль.
2) Спасибо за уведомление!
3) Уведомление лучше было отправить личкой.

толик
1) Так делать ни в коем случае нельзя! Каждый пользователь форума обязан хранить свой пароль в строгой тайне. Его нельзя раскрывать никому и ни при каких обстоятельствах.
2) Возвращать старый пароль ни в коем случае нельзя. Поменять назначенный мной пароль на какой-нибудь ещё, никому не известный и соответствующий требованиям безопасности - можно.
3) Всё-таки жалко, что это пароль не от банковского счёта

[толик]

Всё-таки жалко, что это пароль не от банковского счёта

Не возьмёшь с тарелки денег.

[UncleAndy]

А у вас защита от подбора пароля никакая не стоит?

[Falcon]

Вообще-то, подбор пароля это некое действие, которое предотвратить никак нельзя.
А вот завести плохо подбираемый пароль можно.

[UncleAndy]

Вообще-то, подбор пароля это некое действие, которое предотвратить никак нельзя.

Ну, можно ограничить возможность по подбору паролей.
О готовых средствах именно для phpbb я не слышал (хотя, по идее, должны быть), но, например, для ssh таких существует множество. Как возможная реакция на попытку подбора может быть временны запрет на логин с определенного IP.

[толик]

Как возможная реакция на попытку подбора может быть временны запрет на логин с определенного IP.

А сможет ли пользователь заходить на конференцию? То есть тот кто под ником?

[UncleAndy]

Как возможная реакция на попытку подбора может быть временны запрет на логин с определенного IP.

А сможет ли пользователь заходить на конференцию? То есть тот кто под ником?

Если подбором занимался "хакер" с другим IP, на нормальном юзере это не отразится.
Если это сам юзер ошибся - блокировка может быть временной. Юзер просто подождет и войдет через какое-то время.
При подборе паролей важно что-бы такой подбор производился быстро. Если вносить задержки в процесс - это тоже будет являться защитой в некоторой степени.

[Н. Светлов]

Если вносить задержки в процесс - это тоже будет являться защитой в некоторой степени.

Ну, задержки-то есть: после трёх попыток всплывает капча. Тем не менее, один выявленный случай успешного подбора (или, быть может, перехвата) у нас на форуме имел место.

[Василий]

А у вас защита от подбора пароля никакая не стоит?

Дядя, ну елки-моталки.....

[Нгаан]

1) Так делать ни в коем случае нельзя! Каждый пользователь форума обязан хранить свой пароль в строгой тайне. Его нельзя раскрывать никому и ни при каких обстоятельствах.

"Ну, зачем так пугать! Мальчик хороший, добрый, он нам сам всё расскажет..."

[spoiler]Jpts6aHNkqI[/spoiler]

[толик]

Ну, зачем так пугать! Мальчик хороший, добрый, он нам сам всё расскажет..."

Алиса, они меня пытали, но я им ничего не сказал. (с)

[Игорь Машенцев (Beer-Man)]

Алиса, они меня пытали, но я им ничего не сказал. (с)

Ты уже достаточно наговорил, для смертного приговора!


P.S. Флудим, конечно, но хоть тут разговор "по теме"!

[толик]

толик писал(а):Алиса, они меня пытали, но я им ничего не сказал. (с)
Ты уже достаточно наговорил, для смертного приговора!

И поэтому у меня сегодня возникли трудности со входом? Пришлось запрашивать новый пароль. Что ЭТО было?

[alexander.privalov]

Двухфакторная аутентификация вам в помощь, реализуется достаточно легко.. Слегка будет напрягать пользователей, но можно сделать опцию в профиле - кто хочет включает, кто не хочет не включает

http://ru.wikipedia.org/wiki/Time-based ... _Algorithm

[Н. Светлов]

Двухфакторная аутентификация вам в помощь

Мы в курсе. Но в этой теме речь о человеческом факторе. Наше дело - предупредить тех, кто всё это на фиг поотключает, а потом введёт пароль, состоящий из ника и циферки 1.

Пока мы не ощущаем необходимости вводить одноразовые пароли и дополнительно усложнять жизнь нашим пользователям. Вполне достаточно осознания пользователями того факта, что "дырявый" пароль - это серьёзная опасность для всего форума, а не только для его собственной учётки. Например, взломанная хакером учётка позволяет ему опубликовать сообщение со ссылкой на вредоносный ресурс или, того хуже, с картинкой, отображение которой инициирует процесс заражения.

[толик]

Пока мы не ощущаем необходимости вводить одноразовые пароли и дополнительно усложнять жизнь нашим пользователям.

Если так будет, то меня здесь не будет, не люблю заморачиваться.

[Нгаан]

Если так будет, то меня здесь не будет, не люблю заморачиваться.

"На одноразовые пароли ответим одноразовыми посещениями!"

[alexa1]

Тогда думаю вычисляемые пароли вообще бы убили всё желание А я когда-то и такую жесть делал... в интернете все средства защиты хороши, а мы что-то не брезгуем!