مردم فکر می کنند که گذرواژه های آنها برای دو مورد تأیید هویت بسیار عالی هستند. آنها اشتباه هستند

تأیید هویت دو عامل بسیار امنیتی شما را بهبود می بخشد، اما تقریبا هر کسی از آن استفاده می کند: فقط 10 درصد از کاربران Google این قابلیت را فعال می کنند، به عنوان مثال.

مرتبط با: تأیید اعتبار دو عامل و چرا من به آن نیاز دارم؟

تحقیق توسط دانشگاه ایندیانا پروفسور ال جین کمپ و پژوهشگر فارغ التحصیل سانچاری داس معتقدند افرادی با تکنولوژی پیشرفته معتقدند که کلمه عبور بسیار عالی است و هیچ حفاظت اضافی لازم نیست. در اینجا، آلفرد نگا، برای CNet در مورد مطالعه نوشت:

برای تحقیق خود، آنها عمدا به دنبال دانش آموزان تکنولوژیک در محوطه دانشگاه بودند تا اطمینان حاصل شود که نتایج توسط افرادی که فقط نمی دانند که احراز هویت دو عامل است. آنها می خواستند شرکت کنندگان که دارای تخصص امنیتی و کامپیوتری بیشتری نسبت به افراد معمولی بودند.

آنچه که آنها متوجه شدند این بود که در حالی که این دانش آموزان فناوری را درک می کردند، نمی فهمید چرا باید این اقدامات احتیاطی را در مورد امنیت سایبری انجام دهند.

کمپ گفت، احساس فوق العاده ای از اعتماد به نفس است. "ما مقدار زیادی داریم،" رمز عبور من عالی است. رمز عبور من به اندازه کافی بلند است. "

ما متوجه هستیم که چرا این طرز فکر مشترک است، اما می آید: انواع مختلفی وجود دارد که مهاجم ممکن است رمز عبور شما را دریافت کند. رمزهای عبور قوی می توانند در برابر حملات خشونت آمیز کمک کنند، اما اگر گذرواژه شما متوقف شود، یا حساب شما فیش داده می شود؟ احراز هویت دو عامل به شما یک لایه حفاظتی اضافه می دهد، یکی از شما برای اینکه آیا تا به حال هدف قرار گرفته است سپاسگزار باشید.

ما می دانیم که تأیید هویت دو عامل یک کار کمی است و می تواند کمی مزاحم باشد. اما ایده خوبی است که برای استفاده از موارد خاص مانند ایمیل و حساب بانکی خود استفاده کنید. چند دقیقه طول می کشد و چیزها را قفل می کنید، یا شاید بعدا آن را پشیمان کنید.

اعتبار تصویر: golubovystock / Shutterstock.com

برخی از وبسایتهایی که به خوبی شناخته شدهاند و نیازی به چندین مجموعه شخصیتی در گذرواژه ندارند چیست؟

این وبسایت ها نیازی به چندین کاراکتر در گذرواژه ها ندارند:

متاسفانه، این لیست به ندرت در مورد B2B وب سایت هایی است که ممکن است برای همتایان B2B شما متقاعد کننده باشد. اگر هر خواننده از خط مشی های رمز عبور B2B بزرگ وب سایت آگاه است، لطفا آنها را به این لیست اضافه کنید. این پاسخ یک انجمن ویکی است.

زمانی که ممکن است من به خط مشی رمز عبور مرتبط است. هنگامی که من نمی توانم یک سیاست رمز عبور صریح پیدا کنم، شخصی خود را با پیروی از NIST با ایجاد یک حساب کاربری با رمز عبور تمام حروف تایید کرد.

جالب توجه است، اگر چه بسیاری از سایت ها سیاست رمز عبور خود را منتشر نمی کنند، انتشار دستورالعمل رمز عبور توصیه استفاده هوشمند از مجموعه های چند کاراکتر، به عنوان انجام این هوشمندانه امنیت رمز عبور صدا و مطابق با دستورالعمل NIST

آیا محدودیتی در زمان وجود دارد که یک گذرواژه بر اساس شتاب ورود پذیری قابل قبول و نسبت سرعت سختافزاری به نیروی بی رحم دارد؟

فرض کنید کاربر یک رمز عبور برای ورود به کامپیوتر خود استفاده می کند. هنگامی که کاربر وارد سیستم می شود، کامپیوتر یک تابع رمزنگاری را به رمز عبور می دهد و متن رمز را به متن رمز ذخیره شده رمز عبور شناخته می کند (این تابع رمزنگاری می تواند "سخت" باشد تا حملات خشونت آمیز مشکل باشد). مهاجم دسترسی فیزیکی به دستگاه را به دست آورد، از جمله رمز عبور رمز عبور ذخیره شده – به این ترتیب آنها دسترسی به تمام فایل های رمزگذاری نشده در دستگاه خود دارند، اما مهاجم می خواهد رمز عبور را نیز دریافت کند (شاید بدانید رمز عبور کاربر به آنها کمک خواهد کرد حدس زدن رمز عبور کاربر در سرویس های دیگر، در میان چیزهای دیگر).

به نظر می رسد که یک قضیه وجود دارد که حد بالا را برای مدت زمانی که مهاجم می تواند به زور به رمز عبور کاربر تحمیل کند تاخیر دهد. اگر N تعداد رمزهای عبور در فضای پیچیدگی است که یک کاربر واقعی احتمال دارد از آن انتخاب شود، و t حداکثر زمانی است که کاربر مایل است تا عمل رمزنگاری را به گذرواژه ورود به هش خود منتظر بگذارد، R نسبت سرعت سخت افزار مهاجم به سرعت سخت افزار کاربر، و سپس حداکثر زمان برای مهاجم برای خلع سلاح رمز عبور کاربر N * t / R

به عنوان مثال، اگر 10 میلیون رمز عبور با پیچیدگی وجود دارد از رمز عبور که کاربر احتمالا از آن انتخاب کند، و کاربر مایل است پس از تایپ کردن رمز عبور خود، 3 ثانیه صبر کند و سخت افزار حمله کننده 100 برابر سریعتر از سخت افزار کاربر باشد، و حداکثر زمان برای مهاجم به رمزعبور بی پروا 10،000،000 * (3 ثانیه) / 100 = حدود 3.5 روز است.

متاسفانه، این به نظر می رسد که حد بالا است که مستقل از چه سخت افزار و چه عملکرد رمزنگاری شما استفاده می کنید. همواره محدودیتی در مورد اینکه چگونه افراد پیچیده گذرواژه خود را ایجاد می کنند وجود دارد، محدودیتی در میزان طولانی از تأخیر زمانی که کاربران هنگام ورود به سیستم تحمل می کنند محدود می شود و یک مهاجم به خوبی تامین مالی می تواند همیشه سخت افزار را دریافت کند بار سریعتر از آنچه که کاربر معمولی از آن استفاده می کند (اگر فقط با خرید 100 لپ تاپ یکسان است با لپ تاپ کاربر).

بنابراین، دو چیز:

  1. آیا منطق در اینجا صدا؟
  2. آیا این یک قضیه شناخته شده است چه کسی دیگر به مدت طولانی اشاره کرده است و از قبل نام دارد؟
  3. برخی از چیزهایی که می توان برای مقابله با این مسئله انجام داد، چیست؟

گذرواژه – پیوند سرور ایمیل با پایگاه داده برنامه

من یک برنامه وب در node.js دارم که توسط یک پایگاه داده MongoDB که داده های کاربر را ذخیره می کند، پشتیبانی می کند. من می خواهم کاربران خود را یک حساب ایمیل بگذارم، بنابراین یک سرور ایمیل با استفاده از Postfix تنظیم کردم ، dovecot، و غیره … مشکل من این است که من می خواهم دو پایگاه داده کاربر را پیوند دهم. در حال حاضر من postfix و dovecot پیکربندی شده برای استفاده از کاربران مجازی ذخیره شده در پایگاه داده MySQL (واقعا MariaDB)، و این کار خوب است (من می توانم دسترسی و ارسال ایمیل بر روی IMAP و غیره …). با این حال، من می خواهم که کاربران خود بتوانند از همان رمز عبور برای IMAP برای ورود به برنامه وب استفاده کنند. من خوشحالم که یک API PHP را برای ایجاد کاربران در سرور پست الکترونیکی و غیره بنویسید، اما مسئله من این است که چگونه رمز عبور را مدیریت کنید. همانطور که می بینم، دو گزینه وجود دارد؛

  1. من می توانم کلمه عبور متن ساده را از سرور برنامه های وب خود به سرور پست الکترونیکی خود منتقل کنم زمانی که یک کاربر ثبت نام یا تغییر رمز عبور. پس از آن، به طور واضح در سرور پست الکترونیکی هشدار داده می شود و در پایگاه داده ذخیره می شود و در سرور درخواست شده ذخیره می شود و در پایگاه داده MongoDB ذخیره می شود. این باعث می شود که من اشتباه کنم – رمز عبور متن ساده را با دو بار تکرار رمز عبور ارسال کنم
  2. من می توانم رمزهای عبور هشدار را از سرور برنامه به سرور ایمیل انتقال دهم و آنها را دوباره ذخیره کنم بدون . باز هم، این احساس بسیار خجالتی است، از دیدگاه سرور ایمیل، گذرنامه ها را می پذیرد و آنها را در متن واضح ذخیره می کنند.

آیا گزینه های دیگری برای اجازه دادن به کاربران من برای ورود به هر دو سرور با همان اعتبار وجود دارد؟ چه مسائل امنیتی با دو گزینه ای که از بالا مطرح کردم وجود دارد؟

چگونه برای بازگرداندن گذرواژه اینستاگرام خود را فراموش کنید

اگر از مدیر رمز عبور استفاده نکنید، این کلمات عبور پیچیده می تواند بسیار سخت به یاد داشته باشید. اگر گذرواژه Instagram خود را فراموش کرده اید، نمیتوانید همان رمز عبور را بازیابی کنید، اما به اندازه کافی آسان است که حساب خود را با بازنشانی گذرواژه خود به چیزی جدید باز کنید.

آیا رمز عبور Instagram را فراموش کرده اید یا شخص دیگری آن را بدون اجازه شما تغییر می دهد، Instagram راه بسیار ساده ای برای بازیابی ارائه می دهد. و آنچه که ما در مورد آن صحبت می کنیم این است که حساب کاربری شما را بازیابی کنید اگر رمز عبور خود را کاملا فراموش کرده اید. تغییر رمز عبور Instagram کمی متفاوت است – زمانی که شما رمز عبور فعلی خود را می دانید، اما فقط می خواهید آن را به یک جدید تغییر دهید.

رمز عبور خود را از سایت بازنویسی کنید

ابتدا به وب سایت Instagram بروید و سپس روی لینک «ورود به سیستم» در پایین صفحه کلیک کنید.

در صفحه بعد، زیر زمینه ورود، روی پیوند «Forgot Password» کلیک کنید.

بعد، نام کاربری، ایمیل یا شماره تلفنی که در هنگام تنظیم حساب کاربری خود استفاده کردید را وارد کنید. پس از گذراندن چک امنیتی، روی دکمه «بازنشانی گذرواژه» کلیک کنید.

یک پیام ایمیل به آدرس در فایل ارسال می شود که حاوی یک پیوند برای بازنشانی رمز عبور شما است. هنگامی که پیام را دریافت می کنید، دکمه «بازنشانی گذرواژه» را کلیک کنید.

رمز عبور جدید خود را وارد کنید (و آن را قوی کنید)، تایید آن را دوباره تایپ کنید و سپس بر روی «Reset Password» کلیک کنید

پس از آن شما وارد سیستم شوید و به خوراک نمایش مشخصات خود را هدایت کنید.

تنظیم مجدد گذرواژه شما از برنامه

بازنشانی گذرواژه شما از برنامه Instagram همان قدر آسان است. ما از نسخه Android برای مثال خود در اینجا استفاده می کنیم، اما در iPhone یا iPad از آن بسیار کار می کند.

برنامه Instagram را آتش زده و سپس روی پیوند «کمک گرفتن از ورود» در صفحه ورود به سیستم ضربه بزنید.

نام کاربری، ایمیل یا شماره تلفنی که در هنگام ایجاد حساب کاربری خود استفاده کرد را وارد کنید و سپس دکمه «بعدی» را بزنید.

بعدا میتوانید Instagram را داشته باشید اگر این ایمیل را تنظیم کرده اید، می توانید با استفاده از یک حساب کاربری فیس بوک پیوسته، یک ایمیل یا پیام کوتاه بفرستید. ما در حال استفاده از یک پیام ایمیل در اینجا هستیم، اما استفاده از گزینه SMS بسیار مشابه است. اگر پیام SMS را انتخاب کنید، یک متن را با کدی که می توانید به برنامه وارد کنید، دریافت می کنید. پس از آن میتوانید رمز عبور جدیدی را تنظیم کنید و وارد شوید.

بعد از انتخاب گزینه ایمیل، یک پیام ایمیل در آدرسی که برای ثبت نام با Instagram استفاده کردید را دریافت خواهید کرد. [19659002]

در این پیام، دکمه ورود به سیستم را لمس کنید. همچنین می توانید پیوند "بازنشانی گذرواژه خود را بازنشانی کنید" را لمس کنید. هر دو شما را به یک صفحه بازنشانی رمز عبور می برد.

رمز عبور جدید خود را وارد کنید (به یاد داشته باشید آن را قوی و امن)، و سپس بر روی دکمه "بازنشانی رمز عبور" ضربه بزنید.

پس از آن شما وارد سیستم شوید و به خوراک نمایش مشخصات خود را هدایت کنید.