długość hasła w WPA-PSK2

[nolina]

Witam
Jaki wpływ ma długość hasła w WPA2-PSK na to czy damy system/komputer łączy
się z siecią czy nie.
Używałem z powodzeniem przez 2 lata Ubuntu i nagle komp przestał łączyć się z
siecią-reinstalacje itd., nic nie pomagało a dopiero zmiana hasła z 21 znaków
na minimalne 8 rozwiązała problem. W czym może być przyczyna takiego stanu rzeczy?
Czy stosowanie haseł ponad 8 znakowych ma sens w przypadku bezpieczeństwa-
oczywiście w normalnych zastosowaniach.
Dzięki i pozdrawiam

--
Wysłano z serwisu Usenet w portalu Gazeta.pl -> http://www.gazeta.pl/usenet/

[sumar]

nolina :

> Czy stosowanie haseł ponad 8 znakowych ma sens w przypadku bezpieczeństwa-
> oczywiście w normalnych zastosowaniach.

Daj losowe litery (duże, małe) cyfry i znaki specjalne, wystarczy.

[Rafał Wilk]

W dniu 2011-11-06 03:36, sumar pisze:

Dłuższe hasło = większe bezpieczeństwo, w tej kwestii nic się nie
zmieniło. Znaczenie ma też unikalny BSSID (ograniczenie możliwości
zastosowania ataku przy użyciu tablic tęczowych). O losowych znakach się
nie rozpisuje bo to przecież podstawa. 8 znaków, w mojej opinii, to na
dzisiejsze czasy zdecydowanie zła praktyka.

Pozdrawiam
Rafał Wilk

[Remek]

Użytkownik "Rafał Wilk" napisał:

> 8 znaków, w mojej opinii, to na
> dzisiejsze czasy zdecydowanie zła praktyka.

Długość hasła/bezpieczeństwo to mit. Ma małe znaczenie.

Remek

[sumar]

Remek:

> Długość hasła/bezpieczeństwo to mit. Ma małe znaczenie.

Masz rację.

[or...@pwr.wroc.pl]

Możesz rozwinąć? Intuicyjnie - jeśli mamy szyfrogram i tekst jawny to
wtedy dużo łatwiej zgadnąć klucz generowany z krótszego hasła, o ile
szukamy go przeglądając przestrzeń kluczy zgodnie z porządkiem
generowania kluczy z haseł.

--
Pozdrawiam
orcus

[Rafał Wilk]

W dniu 2011-11-28 05:55, sumar pisze:

> Remek:
>
>> Długość hasła/bezpieczeństwo to mit. Ma małe znaczenie.
>
> Masz rację.

Dobra. Nie dyskutuje, bo ręce opadają. Dobrze, że standard wymaga
chociaż tych 8 znaków. No właśnie. Czemu? Przecież to mit. "abc123"
przecież też jest super.

Eh..

Pozdrawiam
Rafał Wilk

[Eneuel Leszek Ciszewski]

"Rafał Wilk" jb0ca6$o3d$1...@news.task.gda.pl

>>> Długość hasła/bezpieczeństwo to mit. Ma małe znaczenie.

>> Masz rację.

> Dobra. Nie dyskutuje, bo ręce opadają. Dobrze, że standard wymaga
> chociaż tych 8 znaków. No właśnie. Czemu? Przecież to mit. "abc123"
> przecież też jest super.

> Eh..

Eh ;) -- jeden pisze o podsłuchiwaniu transmisji, drugi o łamaniu hasła
metodą brutalną. :) Chyba tak. Jest rzeczą oczywistą, że złamanie hasła
jednoznakowego jest łatwiejsze od złamania hasła wieloznakowego. Problem
w tym, że poza złamaniem hasła istnieje możliwość podsłuchu transmisji.

--
.`'.-. ._. .-.
.'O`-' ., ; o.' eneuel@@gmail.com '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;. . .;\|/....

[Lukasz Olesiejuk]

Dnia 28.11.2011 Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> napisał/a:
>
> "Rafał Wilk" jb0ca6$o3d$1...@news.task.gda.pl
>
>>>> Długość hasła/bezpieczeństwo to mit. Ma małe znaczenie.
>
>>> Masz rację.
>
>> Dobra. Nie dyskutuje, bo ręce opadają. Dobrze, że standard wymaga
>> chociaż tych 8 znaków. No właśnie. Czemu? Przecież to mit. "abc123"
>> przecież też jest super.
>
>> Eh..
>
> Eh ;) -- jeden pisze o podsłuchiwaniu transmisji, drugi o łamaniu hasła
> metodą brutalną. :) Chyba tak. Jest rzeczą oczywistą, że złamanie hasła
> jednoznakowego jest łatwiejsze od złamania hasła wieloznakowego. Problem
> w tym, że poza złamaniem hasła istnieje możliwość podsłuchu transmisji.
>

Ok, co Ci da podsluchanie zaszyfrowanej transmisji bez znajomosci klucza?

[Eneuel Leszek Ciszewski]

"Lukasz Olesiejuk" slrnjd99n...@1r2.eu...

>> Eh ;) -- jeden pisze o podsłuchiwaniu transmisji, drugi o łamaniu hasła
>> metodą brutalną. :) Chyba tak. Jest rzeczą oczywistą, że złamanie hasła
>> jednoznakowego jest łatwiejsze od złamania hasła wieloznakowego. Problem
>> w tym, że poza złamaniem hasła istnieje możliwość podsłuchu transmisji.

> Ok, co Ci da podsluchanie zaszyfrowanej transmisji bez znajomosci klucza?

No właśnie nic -- i o tym piszę. Ale zrozumienie transmisji nie zależy od
długości klucza. Podłączenie się do APka chronionego jest tym łatwiejsze,
im krótszy klucz -- można forsując, odgadnąć hasło. Natomiast rozszyfrowanie
(jasność przekazu) nie za leży prosto od długości klucza. Nie jest tak, że
jednoliterowe zabezpieczenie daje lekko skancerowany przekaz na przykład taki:

forsujac, odgadnac haslo. Natomiast rozszyfrowanie (jasnosc przekazu) nie zalezy

a zaszyfrowanie z kluczem długim na 3 znaki daje kancerowanie głębsze, na przykład takie:

fjuyując, ouytdnąć hkujo. Natobgtst rohgfyfrowanie (jtrfość prpolazu) nhy bvceży

ale jest tak, że ta transmisja jest nieczytelna bez względu na długość klucza.

[Trefniś]

Witam!

Dnia 29-11-2011 o 11:27:49 Eneuel Leszek Ciszewski
<pro...@czytac.fontem.lucida.console> napisał(a):

>
> "Lukasz Olesiejuk" slrnjd99n...@1r2.eu...

>

>> Ok, co Ci da podsluchanie zaszyfrowanej transmisji bez znajomosci
>> klucza?
>
> No właśnie nic -- i o tym piszę.

(...)

Już wszystko wiecie?
No!

--
Trefniś.

[Heraklit]

Był sobie taki dzień: 29 listopad (wtorek), gdy o godzinie 11:27 *Eneuel
Leszek Ciszewski* naskrobał(a):

> forsujac, odgadnac haslo. Natomiast rozszyfrowanie (jasnosc przekazu) nie zalezy
>
> a zaszyfrowanie z kluczem długim na 3 znaki daje kancerowanie głębsze, na przykład takie:
>
> fjuyując, ouytdnąć hkujo. Natobgtst rohgfyfrowanie (jtrfość prpolazu) nhy bvceży
>
> ale jest tak, że ta transmisja jest nieczytelna bez względu na długość klucza.

czyli sugerujesz, że długość klucza nie ma wpływu na jakość szyfrowania?


--
Pozdrawiam,

Post stworzono 2011-11-29 12:08:00

[Eneuel Leszek Ciszewski]

"Heraklit" j6ko6yqmtbi6$.1fm577jyvczie$.d...@40tude.net

>> ale jest tak, że ta transmisja jest nieczytelna bez względu na długość klucza.

> czyli sugerujesz, że długość klucza nie ma wpływu na jakość szyfrowania?

Dla przeciętnego użytkownika -- nie ma istotnego wpływu.
Jednoznakowe klucze są równie dobre jak stuznakowe. :)

Myślisz, że ośmioznakowy PIN do telefonu komórkowego
jest lepszy niż czteroznakowy?

Złamiesz moje szyfrowanie (WPA2-PSK) z kluczem jednoznakowym? :)

[Eneuel Leszek Ciszewski]

"Eneuel Leszek Ciszewski" jb2g7g$aom$1...@inews.gazeta.pl

>>> ale jest tak, że ta transmisja jest nieczytelna bez względu na długość klucza.

>> czyli sugerujesz, że długość klucza nie ma wpływu na jakość szyfrowania?

> Dla przeciętnego użytkownika -- nie ma istotnego wpływu.
> Jednoznakowe klucze są równie dobre jak stuznakowe. :)

> Myślisz, że ośmioznakowy PIN do telefonu komórkowego
> jest lepszy niż czteroznakowy?

Może przykład zły. :) Chodziło mi o to, że albo PIN
jest zgodny, albo nie jest i przykład wyszedł zły.
(jak zwykle, gdy mówi się o czymś zbyt oczywistym)

> Złamiesz moje szyfrowanie (WPA2-PSK) z kluczem jednoznakowym? :)

Rozumiem, że takiego nie ma, bo musi mieć co najmniej 8 znaków,
ale nie o to chodzi. :) Chodzi o to, że długość tego klucza ma
się nijak do praktycznego bezpieczeństwa.

[Heraklit]

Byďż˝ sobie taki dzieďż˝: 29 listopad (wtorek), gdy o godzinie 13:27 *Eneuel
Leszek Ciszewski* naskrobaďż˝(a):

> Rozumiem, �e takiego nie ma, bo musi mie� co najmniej 8 znak�w,
> ale nie o to chodzi. :) Chodzi o to, �e d�ugo�� tego klucza ma
> si� nijak do praktycznego bezpiecze�stwa.

rozumiem, rozumiem, ale czasami jest trudno porzuci� my�lenie
"ilo�ciowe" na rzecz "jako�ciowego";)


--
Pozdrawiam,

Post stworzono 2011-11-29 14:51:34

[or...@pwr.wroc.pl]

On 29.11.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:
>> Złamiesz moje szyfrowanie (WPA2-PSK) z kluczem jednoznakowym? :)
>
> Rozumiem, że takiego nie ma, bo musi mieć co najmniej 8 znaków,
> ale nie o to chodzi. :) Chodzi o to, że długość tego klucza ma
> się nijak do praktycznego bezpieczeństwa.

Załóżmy, że algorytm szyfrowania nie jest podatny na jakąkolwiek analizę
i że nie mamy całości plaintextu. Część jesteśmy w stanie odzyskać - wiemy
jak wyglądają ramki i pakiety, możemy założyć że z dużym
prawdopodobieństwem sporo payloadu ma postać GET / HTTP/1.1. Znamy
algorytm generowania kluczy z PSK. Sensowne wydaje się posortowanie
kluczy odpowiednio do prawdopodobieństwa wygenerowania ich z PSK jeśli
chcemy wykonać atak brute-force na klucz. Przy takich założeniach
długość PSK ma takie samo znaczenie jak jego złożoność.

Dodatkowo jeśli atakującemu uda się podłączyć do sieci to
jest pozamiatane, bo szyfrowanie w oparciu o ten sam PSK nic nie daje.

Gdzie w powyższym jest błąd? Bo jeśli chcemy uznać znaczenie długości
PSK dla bezpieczeństwa za mit to gdzieś musi być.

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjdaer3...@orcus.wcss.wroc.pl

>> Rozumiem, że takiego nie ma, bo musi mieć co najmniej 8 znaków,
>> ale nie o to chodzi. :) Chodzi o to, że długość tego klucza ma
>> się nijak do praktycznego bezpieczeństwa.

> Załóżmy, że algorytm szyfrowania nie jest podatny na jakąkolwiek analizę
> i że nie mamy całości plaintextu. Część jesteśmy w stanie odzyskać - wiemy
> jak wyglądają ramki i pakiety, możemy założyć że z dużym
> prawdopodobieństwem sporo payloadu ma postać GET / HTTP/1.1. Znamy
> algorytm generowania kluczy z PSK. Sensowne wydaje się posortowanie
> kluczy odpowiednio do prawdopodobieństwa wygenerowania ich z PSK jeśli
> chcemy wykonać atak brute-force na klucz. Przy takich założeniach
> długość PSK ma takie samo znaczenie jak jego złożoność.

> Dodatkowo jeśli atakującemu uda się podłączyć do sieci to
> jest pozamiatane, bo szyfrowanie w oparciu o ten sam PSK nic nie daje.

Mnie nie chodzi o to, że brutalfors ;) jest równie łatwą
metodą dla kluczy krótkich jak i dla kluczy długich, ale
o to, że łamanie zaszyfrowanej transmisji jest dla
przeciętnego człowieka zbyt trudne niezależnie
od długości klucza -- jest równie trudna dla
długich kluczu jak i dla kluczy krótkich.

Przykład z PINem był zły, bo sugerowł właśnie niezależnośc BF od długości PINu.

> Gdzie w powyższym jest błąd? Bo jeśli chcemy uznać znaczenie
> długości PSK dla bezpieczeństwa za mit to gdzieś musi być.

Przeciętny człowiek nie złamie szyfrowania bez względu na długość
klucza. Co najwyżej podłączy się do APka za pomocą metody BF, jeśli
klucz będzie stosownie krótki, ale to podłączenie nie pozwoli mu na
podsłuchanie (nie pozwoli mu na zrozumienie) cudzych połączeń.

Do przechwycenia transmisji i zrozumienia jej -- znajomość hasła
czy klucza jest potrzebna, ale długość klucza nie ma przełożenia
na łatwość (czy trudność) odszyfrowania, jako że i tak zawsze to
szyfrowanie jest zbyt trudne. :) Tak samo zbyt trudny do łamania
jest PIN czteroznakowy jak i ośmioznakowy. W obu wypadkach nie
ma możliwości złamania takiego zabezpieczenia.

Podłączenie do APka zabezpieczonego krótkim hasłem jest
możliwe -- APek nie obrazi się nawet po godzinie atakowania
go kolejnymi hasłami. Ale to podłączenie nie daje wglądu
w treść cudzych połączeń, gdyż te szyfry są po prostu
zbyt trudne do łamania dla przeciętnego kryptologa-amatora.

-=-

Czy teraz już jasno wyraziłem się, czy nadal niejasno? :)
Potrafisz w praktyce skutecznie zrozumieć transmisję tego typu?
Potrafisz stojąc ze sprzętem w zasięgu mojego połączenia WiFi
przechwycić cokolwiek? Potrafisz podszyć się pode mnie? Nie.
Na pewno nie potrafisz -- bez względu na długość klucza.

Możesz co najwyżej (mógłbyś) metodą BF dowiedzieć się, jakie
jest hasło i podłączyć się do mojej sieci wbrew mojej woli.

Próba rozgryzienia klucza czy hasła jest skazana na porażkę
bez wzgledu na długoś klucza, o ile do złamania zabiera się
przeciętny użytkownik.

[or...@pwr.wroc.pl]

On 29.11.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:
>

><or...@pwr.wroc.pl> slrnjdaer3...@orcus.wcss.wroc.pl
>
>>> Rozumiem, że takiego nie ma, bo musi mieć co najmniej 8 znaków,
>>> ale nie o to chodzi. :) Chodzi o to, że długość tego klucza ma
>>> się nijak do praktycznego bezpieczeństwa.
>
>> Załóżmy, że algorytm szyfrowania nie jest podatny na jakąkolwiek analizę
>> i że nie mamy całości plaintextu. Część jesteśmy w stanie odzyskać - wiemy
>> jak wyglądają ramki i pakiety, możemy założyć że z dużym
>> prawdopodobieństwem sporo payloadu ma postać GET / HTTP/1.1. Znamy
>> algorytm generowania kluczy z PSK. Sensowne wydaje się posortowanie
>> kluczy odpowiednio do prawdopodobieństwa wygenerowania ich z PSK jeśli
>> chcemy wykonać atak brute-force na klucz. Przy takich założeniach
>> długość PSK ma takie samo znaczenie jak jego złożoność.
>
>> Dodatkowo jeśli atakującemu uda się podłączyć do sieci to
>> jest pozamiatane, bo szyfrowanie w oparciu o ten sam PSK nic nie daje.
>
> Mnie nie chodzi o to, że brutalfors ;) jest równie łatwą
> metodą dla kluczy krótkich jak i dla kluczy długich, ale
> o to, że łamanie zaszyfrowanej transmisji jest dla
> przeciętnego człowieka zbyt trudne niezależnie
> od długości klucza -- jest równie trudna dla
> długich kluczu jak i dla kluczy krótkich.

Jeżeli użytkownik coś jednak potrafi, zna PSK i podsłucha początek
Twojej transmisji to o ile mi wiadomo jest "po ptokach".

Pozostaje zgadnąć PSK co sprowadza się do... problemu podłączenia się do sieci.

> Przykład z PINem był zły, bo sugerowł właśnie niezależnośc BF od długości PINu.
>
>> Gdzie w powyższym jest błąd? Bo jeśli chcemy uznać znaczenie
>> długości PSK dla bezpieczeństwa za mit to gdzieś musi być.
>
> Przeciętny człowiek nie złamie szyfrowania bez względu na długość
> klucza. Co najwyżej podłączy się do APka za pomocą metody BF, jeśli
> klucz będzie stosownie krótki, ale to podłączenie nie pozwoli mu na
> podsłuchanie (nie pozwoli mu na zrozumienie) cudzych połączeń.

No tak - musi jeszcze podsłuchiwać w momencie gdy przed rozpoczęciem
atakowanej transmisji łączysz się ze swoim AP.

> Czy teraz już jasno wyraziłem się, czy nadal niejasno? :)
> Potrafisz w praktyce skutecznie zrozumieć transmisję tego typu?
> Potrafisz stojąc ze sprzętem w zasięgu mojego połączenia WiFi
> przechwycić cokolwiek? Potrafisz podszyć się pode mnie? Nie.
> Na pewno nie potrafisz -- bez względu na długość klucza.

Czy jesteś tego w 100% pewny?

>> Możesz co najwyżej (mógłbyś) metodą BF dowiedzieć się, jakie
> jest hasło i podłączyć się do mojej sieci wbrew mojej woli.
>
> Próba rozgryzienia klucza czy hasła jest skazana na porażkę
> bez wzgledu na długoś klucza, o ile do złamania zabiera się
> przeciętny użytkownik.

Coś za często w Twoim tłumaczeniu pojawia się "przeciętny użytkownik".
Masz na myśli informatycznego debila dla którego dużym osiągnięciem jest
zainstalowania i uruchomienie jakiegoś air-cracka? Jeśli tak to masz
rację. Niestety na tym świecie istnieje sporo nieprzeciętnych
użytkowników z dostępem do sporej mocy obliczeniowej.

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjdbv3f...@orcus.wcss.wroc.pl

> Jeżeli użytkownik coś jednak potrafi, zna PSK i podsłucha początek
> Twojej transmisji to o ile mi wiadomo jest "po ptokach".

Jakoś mnie to nie niepokoi. :)

> Pozostaje zgadnąć PSK co sprowadza się do... problemu podłączenia się do sieci.

>> Przykład z PINem był zły, bo sugerowł właśnie niezależnośc BF od długości PINu.

>>> Gdzie w powyższym jest błąd? Bo jeśli chcemy uznać znaczenie
>>> długości PSK dla bezpieczeństwa za mit to gdzieś musi być.

>> Przeciętny człowiek nie złamie szyfrowania bez względu na długość
>> klucza. Co najwyżej podłączy się do APka za pomocą metody BF, jeśli
>> klucz będzie stosownie krótki, ale to podłączenie nie pozwoli mu na
>> podsłuchanie (nie pozwoli mu na zrozumienie) cudzych połączeń.

> No tak - musi jeszcze podsłuchiwać w momencie gdy przed rozpoczęciem
> atakowanej transmisji łączysz się ze swoim AP.

A że widzi dokładnie wszytsko jak na mapie... ;)
Widzi co najwyżej mase nośnych -- i nawet czasami bywa tak,
że nie wie, czy nośna aby nie niesie przypadkiem jakieoś
kurczaka z mikrofalówki. ;)

>> Czy teraz już jasno wyraziłem się, czy nadal niejasno? :)
>> Potrafisz w praktyce skutecznie zrozumieć transmisję tego typu?
>> Potrafisz stojąc ze sprzętem w zasięgu mojego połączenia WiFi
>> przechwycić cokolwiek? Potrafisz podszyć się pode mnie? Nie.
>> Na pewno nie potrafisz -- bez względu na długość klucza.

> Czy jesteś tego w 100% pewny?

Próbuj szczęścia. ;) [cholera, a co będzie, jak podsłucha naprawdę?
zobaczy, jakie dupy ciągnę z pornograficznych stron?... z banków nic
nie ukradnie -- ja sam mam czasami problemy z bankami, choć nie musze
włamywać się...]

Raczej jestem pewny.

+> Możesz co najwyżej (mógłbyś) metodą BF dowiedzieć się, jakie

>> jest hasło i podłączyć się do mojej sieci wbrew mojej woli.

>> Próba rozgryzienia klucza czy hasła jest skazana na porażkę
>> bez wzgledu na długoś klucza, o ile do złamania zabiera się
>> przeciętny użytkownik.

> Coś za często w Twoim tłumaczeniu pojawia się "przeciętny użytkownik".

Tak? A w tak zwanym życiu są sami nieprzeciętni? :)

> Masz na myśli informatycznego debila dla którego dużym osiągnięciem jest
> zainstalowania i uruchomienie jakiegoś air-cracka? Jeśli tak to masz
> rację. Niestety na tym świecie istnieje sporo nieprzeciętnych
> użytkowników z dostępem do sporej mocy obliczeniowej.

Skórka nie jest warta wyprawki -- trzeba sporo zainwestować, aby
dowiedzieć się tego, co można zobaczyć bez tych inwestycji. Podsłuchać
można oglądane przeze mnie filmy, posłucha można muzyki i zobaczyć,
co ślę na grupy dyskusyjne. :)

Paranoik -- tak mogę Ciebie nazwać. :)

Ja nie jestem ważną osobą -- nie jestem Bin Ladenem. :)
I takich jak jest masa. A Bin Ladenów -- niewielu.

Co uzyskasz? Nic. Nawet nie przelejesz pieniędzy -- bo nie masz mojego telefonu komórkowego. :)


-=-

To prawda, że nie ma zabezpieczenia w 100% pewnego, ale czasami
coś jest tak trudne, że można uznać, iż jest skuteczną przeszkodą. :)
Póki młotkiem (mechanicznie, cieleśnie, ;) hardłerowo) nie będziesz
włamywał się do mojej sieci -- nie będę miał do Ciebie pretensji. Tak
kiedyś tłumaczyłem (cierpliwie) moim podopiecznym, gdy starali się
włamać do Novellowskiej sieci, która się opiekowałem. :)

-=-

Ludzi potrafiących włamać się do sieci jest niewielu. A jeśli już ktoś
coś umie, nie będzie włamywał się do mnie, lecz do kogoś ważniejszego.

Dla większości ludzi samo dyskryminowanie po MACach jest dobrą przeszkodą. :)
Kolejną jest ograniczenie adresów w serwerze DHCP.

Natomiast podsłuchanie transmisji (podszywanie się pode mnie, czy choćby
zrozumienie jej) jest tak trudne, że praktycznie nie spotkam się w swym
życiu ani razu z kimś, kto dokona próby ataku na moją sieć. :)

[or...@pwr.wroc.pl]

On 30.11.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:
>> Czy jesteś tego w 100% pewny?
>
> Próbuj szczęścia. ;) [cholera, a co będzie, jak podsłucha naprawdę?
> zobaczy, jakie dupy ciągnę z pornograficznych stron?... z banków nic
> nie ukradnie -- ja sam mam czasami problemy z bankami, choć nie musze
> włamywać się...]
>
> Raczej jestem pewny.

> [...]

> Paranoik -- tak mogę Ciebie nazwać. :)

Super - ja tylko zapytałem na jakiej podstawi uznajemy długość hasła za
mit. Równie dobrze można uznać, że złożenia hasła to mit. Albo, że w
ogóle jakieś WPA2 to mit. Też jesteś paranoikiem? Przecież WEP jest też
utrudnieniem dla "przeciętnego użytkownika"(o ile takie nie umie
uruchomić aircracka).

Więc jak to jest? Co jest według Ciebie mitem a co nie?

> Ludzi potrafiących włamać się do sieci jest niewielu. A jeśli już ktoś
> coś umie, nie będzie włamywał się do mnie, lecz do kogoś ważniejszego.

Chyba, że akurat jest obok i się przez chwile nudzi. Albo, że wypuści
program który automagicznie zrobi wszystko za użytkownika i wypuści go do
sieci skąd pobiorą go "przeciętni użytkownicy".

> Natomiast podsłuchanie transmisji (podszywanie się pode mnie, czy choćby
> zrozumienie jej) jest tak trudne, że praktycznie nie spotkam się w swym
> życiu ani razu z kimś, kto dokona próby ataku na moją sieć. :)

Obyś się nie zdziwił tym jak ludzie potrafią być złośliwi.

Mnie już kilka razy zdziwiło to, jak skutecznie zadziałały
zabezpieczenia postawione ot tak, prawie zerowym nakładem pracy - np.
takie wydłużenie klucza który wpisuje się bardzo rzadko z 8 do 16
znaków.

Zastanawia mnie jedynie fakt, że skoro tak szacujesz ryzyko i koszty
poniesione w celu wyeliminowania go nie widzisz jak mały koszt i duży
spadek ryzyka występuje przy wydłużeniu klucza.

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjdc5m9...@orcus.wcss.wroc.pl

> Super - ja tylko zapytałem na jakiej podstawi uznajemy długość hasła za
> mit. Równie dobrze można uznać, że złożenia hasła to mit. Albo, że w

To nie ja nazwałem mitem.

> ogóle jakieś WPA2 to mit. Też jesteś paranoikiem? Przecież WEP jest też
> utrudnieniem dla "przeciętnego użytkownika"(o ile takie nie umie
> uruchomić aircracka).

Poziom przeciętności -- można uznać, że przeciętny
nie podłączy się nawet di niezabezpieczonego APka. :)

-=-

Nasze dysputy nie dadzą zysku.
Jeśli umiesz włamać się softowo do mojej sieci -- zezwalam Ci na taki włam. :)
I tyle. :) A zezwalam, bo wiem, że nie zdołasz. Jest to dla Ciebie zbyt trudne.

> Więc jak to jest? Co jest według Ciebie mitem a co nie?

Trzeba uzgodnić nazewnictwo -- czym jest mit? Nie ja użyłem tego słowa.
Ja jedynie zauważyłem, skąd bierze się nieporozumienie. Uznałem, że
,,odkrywam Amerykę'' i nawet nie przyłożyłem się solidnie do opisania
wyjaśnienia ,,problemu'', uznając, iż wszystko jest aż nazbyt jasne.

>> Ludzi potrafiących włamać się do sieci jest niewielu. A jeśli już ktoś
>> coś umie, nie będzie włamywał się do mnie, lecz do kogoś ważniejszego.

> Chyba, że akurat jest obok i się przez chwile nudzi. Albo, że wypuści
> program który automagicznie zrobi wszystko za użytkownika i wypuści go do
> sieci skąd pobiorą go "przeciętni użytkownicy".

No cóż -- od serca życzę powodzenia. :)
[ale zauważ, że walka hakerów i krakerów trwa od lat;
ponadto pewne rozwiązania są po prostu niemożliwe]

>> Natomiast podsłuchanie transmisji (podszywanie się pode mnie, czy choćby
>> zrozumienie jej) jest tak trudne, że praktycznie nie spotkam się w swym
>> życiu ani razu z kimś, kto dokona próby ataku na moją sieć. :)

> Obyś się nie zdziwił tym jak ludzie potrafią być złośliwi.

Przeceniasz ludzkie zdolności co do złośliwości. :)

> Mnie już kilka razy zdziwiło to, jak skutecznie zadziałały
> zabezpieczenia postawione ot tak, prawie zerowym nakładem pracy - np.
> takie wydłużenie klucza który wpisuje się bardzo rzadko z 8 do 16
> znaków.

Moim zdaniem nie ma różnicy w bezpieczeństwie pomiędzy
kluczem złożonym z 8 znaków i złożonym z 16 znaków.
(dla WPA2-PSK)

> Zastanawia mnie jedynie fakt, że skoro tak szacujesz ryzyko i koszty
> poniesione w celu wyeliminowania go nie widzisz jak mały koszt i duży
> spadek ryzyka występuje przy wydłużeniu klucza.

Widzę, że Cię to zastanawia. Ja mam (jak widzę) większe doświadczenie
od Twego i wiem o tym, że wydłużanie haseł (lub kluczy) czasami daje
straszliwe skutki swoistego przepełnienia bufora -- zbyt długie hasło
staje się na tyle uciążliwe, że dochodzi do swoistego przegięcia pały, ;)
czyli do rezygnacji z zabezpieczeń. W TV widziałem reklamę zabezpieczenia
samochodu -- sam producent zauważył, że złodziej może doszczętnie zniszczyć
samochód ale go nie ukradnie. Co to dla mnie za pociecha?

Hasło (klucz, czy zabezpieczenie w ogóle) musi spełniać dwa warunki:

() nie może utrudniać mi życia zbyt mocno

() musi utrudniać dostęp niepowołanych dostatecznie mocno


Obie skrajności (brak zabezpieczeń i nadmiar zabezpieczeń) skutkują źle. :)

-=-

Gdybym mógł dać hasło jednoznakowe, nie dałbym, bo byłoby zbyt trudne do
zapamiętania. Ale nie zamierzam nadmiarowo komplikować sobie życia długimi
hasłami, kluczami itp... Śmieszą mnie banki, które marnują mój czas domagając
się używania nadmiarowo skomplikowanych metod weryfikacji.

-=-

Znam człowieka, który miał zabezpieczony samochód na wiele sposobów,
ale zabezpieczenia te były uciążliwe do tego stopnia, że pewnego
dnia ich zabrakło w ogóle -- i samochód wówczas został ukradziony. :)
Na dodatek wtedy nawet samochód nie miał ubezpieczenia AC. :)

-=-

Kończąc te wywody:

() w brutalforsie im dłuższe hasło, tym lepiej

() w odszyfrowaniu transmisji długość klucza
nie ma znaczenia, bo zawsze ten szyfr jest
zbyt trudny do złamania; nawet jeśli zostanie
złamany, skórka nie będzie warta wyprawki :)

-=-

Jeśli masz ochotę na włamywanie się do mojej sieci (3 APki i 1 APCek)
bez używania przysłowiowego młotka -- masz moje błogosławieństwo.
Jeśli czegoś mogę obawiać się -- to tylko metod typu młotkowego. :)

[or...@pwr.wroc.pl]

On 30.11.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:

>> Zastanawia mnie jedynie fakt, że skoro tak szacujesz ryzyko i koszty
>> poniesione w celu wyeliminowania go nie widzisz jak mały koszt i duży
>> spadek ryzyka występuje przy wydłużeniu klucza.
>
> Widzę, że Cię to zastanawia. Ja mam (jak widzę) większe doświadczenie
> od Twego i wiem o tym, że wydłużanie haseł (lub kluczy) czasami daje
> straszliwe skutki swoistego przepełnienia bufora -- zbyt długie hasło
> staje się na tyle uciążliwe, że dochodzi do swoistego przegięcia pały, ;)
> czyli do rezygnacji z zabezpieczeń. W TV widziałem reklamę zabezpieczenia
> samochodu -- sam producent zauważył, że złodziej może doszczętnie zniszczyć
> samochód ale go nie ukradnie. Co to dla mnie za pociecha?

Nie ma to jak poczucie własnej wartości i nieomylności. Jeśli dobrze
nauczysz użytkowników(w tym przypadku jak widzę samego siebie) tworzenia
łatwych do zapamiętania a jednocześnie trudnych do zgadnięcia i
wystarczająco długich haseł to 16 znaków nie będzie w ogóle uciążliwe. Z
doświadczenia widzę, że po przekroczeniu 20 znaków około 1/5 prób
wpisania hasła kończy się niepowodzeniem. Przy 16 zdarza się to bardzo
rzadko.

> Kończąc te wywody:
>
> () w brutalforsie im dłuższe hasło, tym lepiej
>
> () w odszyfrowaniu transmisji długość klucza
> nie ma znaczenia, bo zawsze ten szyfr jest
> zbyt trudny do złamania; nawet jeśli zostanie
> złamany, skórka nie będzie warta wyprawki :)

Czyli utrudnianie dostęp do Twojej sieci i podjęcia próby odszyfrowania
wiadomości uważasz za zbyteczne. Zasłaniasz ręką pin wpisując go w
bankomacie? Zamontowanie kamery i skopiowanie Twojej karty też jest
całkiem skomplikowane. Po co wiec dodatkowe zabezpieczenie?

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjdcegj...@orcus.wcss.wroc.pl

> Czyli utrudnianie dostęp do Twojej sieci i podjęcia próby odszyfrowania
> wiadomości uważasz za zbyteczne. Zasłaniasz ręką pin wpisując go w
> bankomacie? Zamontowanie kamery i skopiowanie Twojej karty też jest
> całkiem skomplikowane. Po co wiec dodatkowe zabezpieczenie?

Akurat skopiowanie karty peRFIDnych jest na tyle łatwe, że może
Ci ktoś taką skopiować, choć Ty jej nie wyjmiesz z portfela czy
innej walizki... Mam nadzieję, że słyszałeś o technologii RFID.
Jeśli nie słyszałeś -- Google opiekunem Twojej duszy. ;)

[or...@pwr.wroc.pl]

On 30.11.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:
>

><or...@pwr.wroc.pl> slrnjdcegj...@orcus.wcss.wroc.pl
>
>> Czyli utrudnianie dostęp do Twojej sieci i podjęcia próby odszyfrowania
>> wiadomości uważasz za zbyteczne. Zasłaniasz ręką pin wpisując go w
>> bankomacie? Zamontowanie kamery i skopiowanie Twojej karty też jest
>> całkiem skomplikowane. Po co wiec dodatkowe zabezpieczenie?
>
> Akurat skopiowanie karty peRFIDnych jest na tyle łatwe, że może
> Ci ktoś taką skopiować, choć Ty jej nie wyjmiesz z portfela czy
> innej walizki... Mam nadzieję, że słyszałeś o technologii RFID.
> Jeśli nie słyszałeś -- Google opiekunem Twojej duszy. ;)

Słyszałem i byłem zdziwiony, że mimo tego że paru ludzi zajmujących się
kryptografią pokazało jak zrobić dowód z wiedzą zerową czy nawet witness
hiding(nie wiem jak to przetłumaczyć) to nie zastosowano tego w tak
oczywistym miejscu.

Na szczęście mój bank jest świadom zagrożenia i przy wymianie karty
pozwolił mi zrezygnować z karty zbliżeniowej.

Wracając do tematu - zasłaniasz pin ręką? Zamykasz drzwi na więcej niż
jeden zamek gdy jest ich dostępne więcej?

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjde4rj...@orcus.wcss.wroc.pl

> Na szczęście mój bank jest świadom zagrożenia i przy wymianie karty
> pozwolił mi zrezygnować z karty zbliżeniowej.

A jaki to bank?

> Wracając do tematu - zasłaniasz pin ręką?

Nie.

> Zamykasz drzwi na więcej niż jeden zamek gdy jest ich dostępne więcej?

Nie.

[or...@pwr.wroc.pl]

On 01.12.2011, Eneuel Leszek Ciszewski <pro...@czytac.fontem.lucida.console> wrote:
>
><or...@pwr.wroc.pl> slrnjde4rj...@orcus.wcss.wroc.pl
>
>> Na szczęście mój bank jest świadom zagrożenia i przy wymianie karty
>> pozwolił mi zrezygnować z karty zbliżeniowej.
>
> A jaki to bank?

Ten który większość uznaje za najgorszy - pko bp.

>> Wracając do tematu - zasłaniasz pin ręką?
> Nie.

>> Zamykasz drzwi na więcej niż jeden zamek gdy jest ich dostępne więcej?
> Nie.

To znaczy, że nie ja jestem paranoikiem tylko Ty jesteś przesadnie
leniwy.

BTW: Jeśli masz ubezpieczony dom i masz n zamków w drzwiach a zamkniesz
n-1 to nici z ubezpieczenia w przypadku kradzieży przy czym mój
ubezpieczyciel wymaga 2 zamków(i jeszcze parę rzeczy odnośnie jakości).

--
Pozdrawiam
orcus

[Eneuel Leszek Ciszewski]

<or...@pwr.wroc.pl> slrnjdf66m...@orcus.wcss.wroc.pl

> Ten który większość uznaje za najgorszy - pko bp.

Wg mnie to dobry bank, ale drogi. Zawdzięczam mu życie. :)

>>> Wracając do tematu - zasłaniasz pin ręką?
>> Nie.

>>> Zamykasz drzwi na więcej niż jeden zamek gdy jest ich dostępne więcej?
>> Nie.

> To znaczy, że nie ja jestem paranoikiem tylko Ty jesteś przesadnie leniwy.

Być może. Wolę przeciwdziałać rzeczywistym zagrożeniom, nie urojonym. :)

> BTW: Jeśli masz ubezpieczony dom i masz n zamków w drzwiach a zamkniesz
> n-1 to nici z ubezpieczenia w przypadku kradzieży przy czym mój

Ciekawe. A jeśli jeden zamek można zamknąć tylko od wewnątrz? :)

> ubezpieczyciel wymaga 2 zamków(i jeszcze parę rzeczy odnośnie jakości).

--