Kraj lozinki?

I onda ce jedini nacin da se "hakira" biti Simon Pheonix koji ce nam capnut prste i kopat oci :)

A šta da radim nakon kupanja, ili ako odrežem prst??? :P

E ljudi, da li vi znate kako izgledaju prsteki jednog radnika u tvornici ili radionici? Da mi je vidit taj čitač koji će očitati otisak prsta jednog zidara, elektrotehničara, automehaničara itd itd... Provjereno: čitači otiska prsta su totalni promašaj za dobar dio populacije tako da W T F mate?

Znaš neki sustav namijenjen svima?

Pa, to postoji već dugo. Btw, ne sjećam se kad sam u ThinkPad ukucao šifru...

Ali se isto tako sjećam da sam u MUP-u proveo sat vremena pokušavajući dati otiske za biometrijsku putovnicu, jer su mi prsti poprilično oštećeni uslijed vađenja krvi.

"U ovako informatiziranom svijetu svi smo vlasnici barem jedne, a vjerojatno i više lozinki koje bi idealno trebale biti teške za nasumično pogoditi, a istodobno uobičajenom ljudskom mozgu lagane za zapamtiti. Ove dvije stvari su uglavnom direktno suprostavljene, pa je tako lozinka teška za provaliti obično neka tipa yAzfgrt3GGH, a ona laka za zapamtiti je prije tipa Pero, 123(456) ili lozinka, koje su sve – pogađate – lake za provaliti."

Npr. lozinka debeloKristalnoDrvomore je sigurnija od lozinke yAzfgrt3GGH, a nevjerojatno lagana za zapamtiti. xkcd ima dobar stripic glede toga http://xkcd.com/936/ :D

Ovaj trenutni?

Slušam.

Teško. Previše lozinki, nesigurno, da se "loviti", treba ih mijenjati...

Po meni ovo je i dalje najbolja i najsigurnija kombinacija.

http://en.wikipedia.org/wiki/Multi-factor_authentication

https://lastpass.com/

plus

http://www.yubico.com/products/yubikey-hardware/

ili

http://support.google.com/accounts/bin/answer.py?hl=en&answer=1066447

SW je uvijek problematičan, two-way nije uvijek ostvariv, posebno za razne namjene.

Neka koriste rukavice... ili nožne prste :)

Stol nosiš sa sobom ili kupuješ samo kod kuće?

Cito sam pre godinu il dvije da postoji jedna tehnologija bas za ovakve slucajeve gdje je otisak prsta ostecen.

Tako da tvoj argument pada u vodu.

za ljude kojima su osteceni prsti, u tekstu pise i da postoji mogucnost prepoznavanja glasa. a danas imamo i prepoznavanje lica a potrebna je samo web kamera. samo jos da sve drustvene mreze, gmail, i tako to uvedu ovaj sustav i super, hardware vec postoji.

To nema apsolutno veze. Najgori su recimo bauštelci koji rade s limom pa im zbog oksidacije pojede gornji sloj papilarnih linija. Frizeri su isto jako blizu jer kemikalije im pojedu kožu. Poanta je da dobar čitač će bez obzira na takva oštećenja uspjeti izuzeti i procesirati otisak prsta. Jedino gdje može doći do uništenja samih otisaka su teške ozljede uzrokovane kemikalijama ili opekline.

Međutim, s obzirom da sam ja mišljenja da prosječan (balkanski) programer je kreten, ovo bi moglo poprilično backfireat na same korisnike. Primjerice, prije nepunih pola sata idem preko internet forme predati stanje vodostaja na stranicama Holdinga. Traži registraciju. Oke, popunim, no već u samom popunjavanju smrdilo je na djelo vikend-programera malog od rođe kojem smo platili malo bogatstvo (nema polja za ponovljenu lozinku i nema zaštite od botova). Sekund nakon završene registracije stiže mi na adresu mail sa mojim pristupnim imenom i lozinkom u plaintekstu. Naravno, registracije nije token-based, tako da ovaj mail nije niti bio potreban, ali eto... Ukratko znaš da je posao radio amater. Problem nastaje ako bi ja išo isprobavat SQL injekcije (a garant da bi prolazilo jer kako rekoh, već je pao na osnovama osnova) i doći do dumpa baze, lozinke bi mi bile servirane na pladnju. S obzirom da username je e-mail adresa, jednostavno kompletan dump pokrenem na PayPalu i praznim račun koji prođe.

E sada, u slučaju Holdingovog kretena programera se branimo tako da izaberemo lozinku koja će biti jedinstvena samo za Holding i nigdje drugdje je ne upotrebljavamo (i dalje smo u banani, ali ajde...). Međutim, da je mene Holding tražio otisak prsta i da se Crni Džek dočepao tog otiska, well, nije baš da u frižderu držim desetak prstiju pa ih svičam po potrebi.

Dakle, ako na jednom mjestu jedan sustav nije implementiran kako spada, ja se ostatak života mogu, da oprostite na izrazu, hebat.

Drugi problem je što ta tehnologija je i dalje poprilično skupa. Doduše ima čitača od 5$ made in China, ali... James Bond u jednom filmu razvali čitač otisaka prstiju tako da ga prvo slika mobitelom, a onda tu sliku jednostavno prisloni na sam čitač. Mythbustersi su kopirali svoj otisak i kopiju (papir) stavili na uređaj i provalili ga. Jel to znači da su uređaj smijeh? Ne. Jer ako se maknemo od 5$ rangea u uđemo u neki ozbiljniji, onda čitač gleda i, recimo, raspored žila, temperaturu, tlak, puls, vlažnost i slično. I ne samo da utvrđuje jel entitet genui (laički rečeno - živ), jel, već može provjeriti da li je možda pod stresom (ostavljanje otiska pod prisilom) ili recimo, pod utjecajem nekih supstanci. I tu dolazimo do važnosti da čitači budu pod i te kakvom kontrolom i kvalitetni.

Također, problem vezan uz samo čitače je što oni jednostavno uzmu otisak i već od njihovog SDKa, pretvore ga u neki vektor, hash, što već. Napadač može jednostavno kompletan uređaj lažirati i samo feedati server sa random generiranim hashavima i gledati koji će proći. Znači treba nam hardver koji će omogućavati da remote učitavanje otiska bude sigurno, odnosno da možemo sa sigurnošću tvrditi da je otisak poslan sa stvarnoga čitača, da je otisak nastao u točno ovom trenutku i da cijeli overhead s obzirom na otisak je vezan za taj otisak (pr. da server može potvrditi certifikat čitača koji obavlja komunikaciju preko TLSa). A tu već govorimo o ciframa jednog jeftinijeg obiteljskog auta.

Isto tako, pored financija, jedan element koji programeri (i njihovi šefovi) vole redovito gurati pod tepih, a onda na kraju ispadne bože me sačuvaj, je zakon. U SADu, ako se ne varam, prilikom davanja otiska prista taj otisak moraš backupati svojim IDom. Čisto ovako, bez pretjerivanja, aktivno koristim Gmail, Hotmail, PayPal, Battlenet, Twitter, Facebook. Ovo je 6 servisa smještenih na tlu SADa gdje bi morao putovati do njih da dokažem da sam ta osoba za koju tvrdim da ostavlja svoj otisak. Can no do, sry! A postavlja se i pitanje koliko ja želim da Zuckerberg ima kopiju moje osobne.

Mislim, sama tehnologija otisaka prstiju je dovoljno razvijena da može ponuditi zaštitu kakva sama lozinka nikada neće i miče hrpu problema vezanih uz lozinke. Međutim, problem nastaje zbog neadekvatnog zakonodavstva (ako ne u svim, onda u velikoj većini država), ogromnim financijskim izdacima i, jel, Algebra style vikend programera.

Malo je skupo. Posebno ako se ide na naprednije varijante i teško za implementaciju "za u džep".

Ma znam, ali nisam mogao odoljeti :D