TrueCrypt - bezpečnost hesla
Ahoj všem, zkouším program True Crypt, abych si mohl vytvořit zašifrovaný soubor, a když jsem došel k heslu tak ten program píše, že aby bylo heslo bezpečné, tak by mělo mít minimálně 20 znaků.
Co myslíte, je to potřeba? Jak dlouhé by heslo mělo být, aby se nedalo za nějákou rozumnou dobu prolomit tou metodou hrubé síly?
Lidé se často zamýšlejí tak jako ty. Přitom je lepší vést úvahy trochu jinak -
1. vytvořit si svůj sestém tvorby hesel
2. zodpovědně pořešit bezpečnost ukládání a archivace hesel na dvou a více místech
Když promyslíš oba body, dojdeš k tomu, že příliš nezáleží na délce hesla rád začneš používat dlouhá a komplikovaná hesla.
Zkus na to jít chytřeji a "sofostikovaněji".
Dobře, ale proč? pokud to 8 znakové by trvalo prolomit spoustu let, tak je to zbytečné.
Na tvoji otázku je jediná možná odpověď a to "protože to má smysl!".
Je to na tobě, dříve nebo později k tomu stejně dojdeš i když se ti teď může zdát, že tu jen tak chytře obecně plácám.
Teoretický základ to má, pokud se hesla hádají od jednohoznakového a pak se počet znaků zvyšuje (jakože asi jo) a tím i počet kombinací exponenciálně.
Nicméně PBKDF2 dokáže hádání hesel dost zpomalit díky generování klíče iteracemi z hesla. Obvyklá doba je třeba 1 sekunda. A jistě si dokážeš spočítat 256^n sekund. Samozřejmě jsou tu faktory jako to, že na rychlejší hardwaru to bude třeba 0.5sekundy nebo že se použije paralelizace.
tohle je jen pro ilustraci.
znaky .. počet let
2 ... <den
3... půlrok
4... 136 let
5... 34000 let
7... stáří země (řádově)
Jo, solení se oplatí.
Akorát si myslím, že 256 ASCII znaků nenapíšeš, prvních 32 se nepočítá. Na druhou stranu, heslo o 30 znacích: 224^30 - počet kombinací si netroufám spočítat. Připusťme, že i přes solení útočník prověří 1.000.000.000 kombinací na vteřinu (třeba má generální přístup k NSA strojům a 100TB rainbow tables v RAMce) - co z toho? Řešení se nedozví do konce vesmíru
To neni "soleni", to je security hardening velkym mnozstvom iteracii hashu. To samo o sebe je to co vytvara tu potrebu ratat nieco 1sekundu pre 1heslo. Salt (to je len jedno nahodne cislo) sa k tomu prida len na zaciatku, kvoli tomu aby sa znemoznilo vytvorit predpripravene hash tabulky (rainbow a spol). T.j. ani rainbow ti moc nepomozu.
BTW. tento sposob "stazenia" bruteforcingu pouzivaju uz roky snad vsetky slusne SW ktore nieco kryptuju s heslom napr. RAR, urcite aj 7zip, ...
Jak jsi na to přišel, že už 3 znakové heslo by trvalo prolomit půl rok? To je 256 na třetí kombinací a když počítač zvládne miliardu za vteřinu tak to musí být o dost rychlejc ne?
pocitac ich nezvladne miliardu za vterinu. To bol zmysel toho jeho prispevku na to upozornit. Ale zasa zvladne podstatne viac jak 1 za sekundu (ono to ale zavisi aj od poctu tych iteracii ktore su pouzite v danom programe)
P.S. ale zas neni nutne ratat 256 moznosti na znak, pouzitelnych znakov je podstatne menej (povedzme max. 100)