mboost-dp1
salmanvg8.blogspot.com
Det har jo heller aldrig været ideen, vel Mr. Weiss?
Selv den normale adgangskode til Windows er mindst lige så token, og kan omgås ved at starte op fra et andet system, hvorefter der er fri adgang til alle filer og informationer.
"Adgangskodebeskyttelse" på en lokal maskine har altid været til grin. Hvis man leder efter seriøs beskyttelse, så skal man kryptere. Windows Adgangskoden har altid været let at omgå.
Selv den normale adgangskode til Windows er mindst lige så token, og kan omgås ved at starte op fra et andet system, hvorefter der er fri adgang til alle filer og informationer.
"Adgangskodebeskyttelse" på en lokal maskine har altid været til grin. Hvis man leder efter seriøs beskyttelse, så skal man kryptere. Windows Adgangskoden har altid været let at omgå.
Athinira (1) skrev:"Adgangskodebeskyttelse" på en lokal maskine har altid været til grin. Hvis man leder efter seriøs beskyttelse, så skal man kryptere. Windows Adgangskoden har altid været let at omgå.
Nu er verden ikke sort og hvid, og så længe maskinen ikke bliver stjålet eller folk med onde hensigter har adgang til den alene i noget tid, er adgangskoder vist et udmærket system.
Ikke for at snakke om at andre på arbejde nemt kan se hvilke punkter det drejer sig. Forhåbentlig vil ingen admin bruge dette som en seriøs sikkerhed.
Til en lokal maskine kommer M$ vist ikke med nogen seriøs sikkerhed, der kan man bare bruge en bootdisk som fjerner koden, as far as I know.
Til en lokal maskine kommer M$ vist ikke med nogen seriøs sikkerhed, der kan man bare bruge en bootdisk som fjerner koden, as far as I know.
cryo (5) skrev:Nu er verden ikke sort og hvid, og så længe maskinen ikke bliver stjålet eller folk med onde hensigter har adgang til den alene i noget tid, er adgangskoder vist et udmærket system.
Adgangskoder er udmærket, såfremt de yder en beskyttelse. Det kan man ikke ligefrem sige at windows' adgangskode gør og det er det eneste eksempel jeg lige kender til. Hvorfor skal lige den sikkerhedssytem være til grin?
HerrMansen (3) skrev:#2: Det kan jo ikke filmes på skærmen *nakkeslag*
Du får sgu en del sværere ved at filme en persons tastetryk end hans skærm. :P
arne_v (7) skrev:Principielt jo.
Men prøv og kig over på dine kollegers PC'ere - er der nemmest at se deres skærm eller at se deres tastatur?
Jeg kan ærlig talt ikke se hvorfor det skulle være sværere at filme tastaturtryk end bevægelser på en skærm.
Udover det så er billedpassword nok mest lavet til tablets hvor man ellers ville skulle skrive password på skærmtastaturet.. Så lad mig spørge: Hvad er forskellen på at filme bevægelser og tastetryk på en skærm?
HerrMansen (3) skrev:#1: Sidste jeg checkede kunne koden kombineres med kryptering.
Systemet er desværre hullet på alle leder og kanter. Det lykkedes mig og nogle venner at bryde det i gymnasiet hvor vi sad og legede på de leverede computere, og ingen af os er "pros", vi var script kiddies. Vi brugte et ganske simpelt værktøj til at snuppe krypteringskoderne fra Hibernation-filen dengang. Det var barnemad. Administratoradgangskoden på skolens copmutere brute-forcede vi os frem til (den var ikke særligt lang). Da de senere ændrede den snuppede vi den med en keylogger. Vi var nogle værre ballademagere, men nemt var det altså :P
Skal du være sikker skal du til højere kryptering (TrueCrypt, Bitlocker etc.).
cryo (5) skrev:Nu er verden ikke sort og hvid, og så længe maskinen ikke bliver stjålet eller folk med onde hensigter har adgang til den alene i noget tid, er adgangskoder vist et udmærket system.
Hence min udtalelse "Leder du efter seriøs beskyttelse".
arne_v (4) skrev:#1
Hmm.
Kryptering af disk er vel altid baseret på adgangskoden.
Så hvis adgangskoden lækker så hjælper kryptering ikke.
I rigtig krypteringssystemer "lækker" adgangskoden ikke bare. Det kræver sofistikeret hardware/software at dumpe nøglerne, og det skal ske mens maskinen er tændt og oplåst (og med administratoradgang). Lækket skal med andre ord komme fra brugeren eller sloppy programmering (TrueCrypt løste de sidste problemer i version 7 efter at Microsoft åbnede for Krypterings-API'en for Hibernation-filerne).
arne_v (9) skrev:#8
Adskiller Windows sig fra andre systemer i den henseende?
Nej, det gør det vel ikke. Så alle (eller de fleste OS'er) har en kodeord der nemt kan fjernes (også for admin-brugeren). Men hvorfor skal lige den sikkerhedssystem være til grin?
Er det fordi, at det skal være nemt at resette adgangskoden, hvis man mister den? Eller er det fordi, at det er umuligt at beskytte ens login, hvis man ikke krypterer harddisken?
arne_v (13) skrev:Hvilket er aldeles irrelevant i forhold til hvad jeg skrev.
Lad mig opstille det på en anden måde så: Kan nøgler/adgangskoder dumpes ved kold (non-boot) access to systemet?
Windows Adgangskode: Nogen tilfælde, specielt pga. svagheder ved dvale-systemet.
Kryptering (system eller partial): Nej.
arne_v (16) skrev:Kan du komme i tanke om et design som beskytter på anden vis end ved at kryptere diskene?
En design hvor brugerens login bliver ubrugelig, når adgangskoden fjernes (og en eller anden checksum ændres). Er det umuligt at designe? I dunno, jeg læser ikke IT. Men kan udlede fra dit svar, at det nok ikke er muligt :)
#18
Brugernavn og password beskytter mod at man kan logge ind i den OS instans som brugernavn og passwordet er i.
Det kan naturligvis ikke beskytte mod at man kan logge ind i en anden OS instans.
Og hvis diskene ikke er krypteret så kan en anden OS instans læse (ukrypterede) data på diskene.
Det er der vist ikke meget at gøre ved.
Brugernavn og password beskytter mod at man kan logge ind i den OS instans som brugernavn og passwordet er i.
Det kan naturligvis ikke beskytte mod at man kan logge ind i en anden OS instans.
Og hvis diskene ikke er krypteret så kan en anden OS instans læse (ukrypterede) data på diskene.
Det er der vist ikke meget at gøre ved.
arne_v (17) skrev:#15
Stadigvæk totalt ligegyldigt.
Hvis passwordet lækker fordi der er nogen der ser hvordan det tastes på skærmen, så hjælper kryptering intet.
True that. Men det er aldeles irrelevant til hvad jeg oprindeligt skrev: At Windows adgangskodebeskyttelse er en farce til at begynde med.
Min pointe var at selv om Windows adgangskoden er bedre beskyttelse end billedmønsteret, så er begge dele stadigvæk til grin til at starte med, og ingen af delene er noget man bør sætte sin lid til nogensinde.
Om det er billede eller adgangskode er jo i og for sig ligegyldigt hvis du ikke skal bruge adgangskoden alligevel til at tilgå det du ønsker, hvilket er det som er hele forskellen på et kryptere og adgangskodebeskytte noget til at starte med :o)
Det er nemmere at filme en skærm, ja. Men det er absolut ikke umuligt at filme et tastatur heller.arne_v (12) skrev:#10
Hvorfor stille et spørgsmål, når du ikke svarer på mit?
Svaret på mit ville nemlig give dig svaret på dit!
Mit spørgsmål i #10 var mere for at uddybe hvor ligegyldig og dum Kenneth Weiss' kritik er.
Magten (22) skrev:Det er nemmere at filme en skærm, ja. Men det er absolut ikke umuligt at filme et tastatur heller.
Magten (22) skrev:Mit spørgsmål i #10 var mere for at uddybe hvor ligegyldig og dum Kenneth Weiss' kritik er.
100% sikre systemer er enten umulige at lave eller ihvertfald så upraktiske at bruge at de ikke er brugbare.
Praktisk sikkerhed drejer sig netop om at gøre det vanskeligere at komme ind.
Så det er vel ret relevant at brokke sig ovr en løsning som gøre det nemmere.
Men eftersom billedpassword er tiltænkt touch (Må man gå ud fra? Det giver ihvertfald ikke meget mening med en mus) så ville personen alligevel skulle skrive et password på skærmtastaturet.arne_v (24) skrev:Så det er vel ret relevant at brokke sig ovr en løsning som gøre det nemmere.
Og så er sikkerheden jo ikke blevet bedre.
arne_v (19) skrev:#18
Brugernavn og password beskytter mod at man kan logge ind i den OS instans som brugernavn og passwordet er i.
Det kan naturligvis ikke beskytte mod at man kan logge ind i en anden OS instans.
En anden OS instans, er det fx en anden bruger eller en anden OS?
arne_v (19) skrev:
Og hvis diskene ikke er krypteret så kan en anden OS instans læse (ukrypterede) data på diskene.
Det er der vist ikke meget at gøre ved.
Jeg er da fuldstændig klar over at al min data ligger på min harddisk og jeg kan bare tage noget så gammeldags som en floppydisk med DOS (såfremt den understøtter NTFS) også læse al data.
Mit kodeord til windows logon skal beskytte mit logon, ikke mit data. Det gør den ikke: adgangskoden kan enhver slette og derefter bruge min logon. Kunne det ikke designes anderledes? Således at det eneste mulige alternativ for at gøre brug af systemet (hvis det kun findes 1 login til systemet), er at bruge en anden OS eller geninstallere den.
Som ham i nyheden siger, så er jeg 100% enig i at det ikke er noget der kan bruges til noget seriøst. Dette er ikke nogen man skulle bruge på nogen seriøs arbejdsplads, da det vil være 1000 gange nemmere at skaffe sig adgang til systemet, end hvis der bliver brugt et ganske normalt password. Hvis touch ikke bliver brugt til andet end login på den skærm, vil man også hurtigt kunne "se" sidste "indtastede" kode pga de fedtede fingre på skærmen
Men på vores arbejdsplads har vi da joket lidt med at skifte over, så istedet for at vi skal fortælle brugerne at deres nye kode er Fj0ls1! så skal vi forklare dem at for at logge ind skal de tegne en streg fra direktørens ansigt ned til lastbilen og videre til stakken med penge og til sidst tilbage til direktørens lommer :)
Alt i alt vil jeg dog ikke klage over denne nye "sikkerhed". Hvis vi havde touch skærm derhjemme, ville jeg da ikke have noget imod at bruge denne form for sikkerhed på den almindelige bruger
Men på vores arbejdsplads har vi da joket lidt med at skifte over, så istedet for at vi skal fortælle brugerne at deres nye kode er Fj0ls1! så skal vi forklare dem at for at logge ind skal de tegne en streg fra direktørens ansigt ned til lastbilen og videre til stakken med penge og til sidst tilbage til direktørens lommer :)
Alt i alt vil jeg dog ikke klage over denne nye "sikkerhed". Hvis vi havde touch skærm derhjemme, ville jeg da ikke have noget imod at bruge denne form for sikkerhed på den almindelige bruger
Magten (25) skrev:Men eftersom billedpassword er tiltænkt touch (Må man gå ud fra? Det giver ihvertfald ikke meget mening med en mus) så ville personen alligevel skulle skrive et password på skærmtastaturet.
Med en touchpad som ligger vandret ned er der nok ikke nogen nævneværdig forskel i forhold til et tastatur.
Mr_Mo (26) skrev:Mit kodeord til windows logon skal beskytte mit logon, ikke mit data.
Er der nogen værdi i logon udover data?
Mr_Mo (26) skrev:Det gør den ikke: adgangskoden kan enhver slette og derefter bruge min logon. Kunne det ikke designes anderledes?
Hvis de er bootet fra en anden OS instans, så kunne de jo nemt have oprettet det samme brugernavn der med et kendt password.
Men spørgsmålet er naturligvis stadig teknisk interessant.
Spørgsmålet kan omformuleres til: kan passwords gemmes på en sådan måde at en anden OS instans med fuld adgang til OS data og programmer ikke kan lave et falsk password.
Det kræver nok større krypterings eksperter end mig at besvare.
Min mavefornemmelse siger mig siger mig at det kun vil være muligt hvis der under boot skal indtastes en key der bruges til password databasen.
For at komme tilbage på sporet: Windows login koder er kun lavet til at beskytte mod pilfingre. Det er nemt at omgå, da ens data ikke er krypteret (så smid en livecd i computeren, og man har adgang). Weiss' kritik går på at det ikke kan bruges til "seriøs" data-hemmeligholdelse, men det har jo aldrig været meningen med Windows login kode... Så selvom man bruger "normale" koder (og ikke mønstre), så kan det STADIG ikke bruges "seriøs data-hemmeligholdelse".
Og til hans anden kritik: Billedepasswords er lavet til touch skærme/devices, så det er jo ikke svære at optage et onscreen tastetur, end at optage et mønster -.-'
Sidst men ikke mindst, så kan jeg virkelig ikke se hvordan det er svære at gemme en kopi af sit billedepassword (og hvorfor skulle man dog også gøre det? Et Windows login billedepassword er lavet til at holde pilfingre væk, og ikke kryptere data, så det behøver ikke være komplekst). "Ring (højre->venstre) om onkel Bob, prik på mormors højre øre, pil fra Susane's næse til Per's sko" <-- svære er det ikke.
Som jeg ser det, så skulle Weiss' lige belære os alle om IT sikkerhed og få lidt medie omtale, men han failede grumt til den første del.
Og til hans anden kritik: Billedepasswords er lavet til touch skærme/devices, så det er jo ikke svære at optage et onscreen tastetur, end at optage et mønster -.-'
Sidst men ikke mindst, så kan jeg virkelig ikke se hvordan det er svære at gemme en kopi af sit billedepassword (og hvorfor skulle man dog også gøre det? Et Windows login billedepassword er lavet til at holde pilfingre væk, og ikke kryptere data, så det behøver ikke være komplekst). "Ring (højre->venstre) om onkel Bob, prik på mormors højre øre, pil fra Susane's næse til Per's sko" <-- svære er det ikke.
Som jeg ser det, så skulle Weiss' lige belære os alle om IT sikkerhed og få lidt medie omtale, men han failede grumt til den første del.
Det er ikke mange skarpe tanker der kommer fra ham, tastatur er super nemt at nappe psw fra. Det gøres med kamera, mikrofon, sw og hw keyloggers :-D
Det er vist mest for at få opmærksomhed, og det fik han så :-D
I øvrigt skal man have et ret heldig, hvis man vil optage det fra en tablet, man ved ikke på forhånd, hvordan tabletten vil være placeret, det ved man f.eks. ved en stationær computer. Derudover skal man i den tid det tager at lave passworded have et godt billed fra en god vinkel.
Det er vist mest for at få opmærksomhed, og det fik han så :-D
I øvrigt skal man have et ret heldig, hvis man vil optage det fra en tablet, man ved ikke på forhånd, hvordan tabletten vil være placeret, det ved man f.eks. ved en stationær computer. Derudover skal man i den tid det tager at lave passworded have et godt billed fra en god vinkel.
Det er jo optimeret til tablets. Det gør det nemt at logge ind uden brugen af et tastatur. Og det er jo bare ment til at holde ens venner væk fra at pille, præcis som 3x3 pattern på android.
Ideen med billedpassword er at gøre det nemt at logge ind via touch. Det er det ikke med en touchpad (at tegne en streg eller en cirkel præcist på en touchpad er ihvertfald ikke nemt og hurtigt).arne_v (28) skrev:Med en touchpad som ligger vandret ned er der nok ikke nogen nævneværdig forskel i forhold til et tastatur.
Der ligger mange tanker bag beslutningen om at tilbyde billedpassword, og der er specielt lagt vægt på at det skal være nemt og (næsten) lige så hurtigt som at skrive en kode på et fysisk tastatur.
Jeg kan anbefale de her to posts hvis man vil læse mere om det:
Signing in with a picture password
Optimizing picture password security
Nicolai (33) skrev:For at komme tilbage på sporet: Windows login koder er kun lavet til at beskytte mod pilfingre. Det er nemt at omgå, da ens data ikke er krypteret (så smid en livecd i computeren, og man har adgang).
Det kan der blive lavet om på med secure boot, så får du ikke bare lov til at starte hvad som helst op.
Nicolai (33) skrev:For at komme tilbage på sporet: Windows login koder er kun lavet til at beskytte mod pilfingre. Det er nemt at omgå, da ens data ikke er krypteret (så smid en livecd i computeren, og man har adgang). Weiss' kritik går på at det ikke kan bruges til "seriøs" data-hemmeligholdelse, men det har jo aldrig været meningen med Windows login kode... Så selvom man bruger "normale" koder (og ikke mønstre), så kan det STADIG ikke bruges "seriøs data-hemmeligholdelse".
Det gælder sådan set alle OS'. Hvis du ikke krypterer dine data vil du altid kunne omgå sikkerheden ved at boote et andet OS.
Som på alle andre OS'ere skal du kryptere dine data hvis du vil holde dem hemlige, hvis man benytter sig af Windows...
Som jeg ser det, så skulle Weiss' lige belære os alle om IT sikkerhed og få lidt medie omtale, men han failede grumt til den første del.
Tja han er nok ikke den eneste der falder i den kategori. :)
Arne_V (#16) skrev:
#14
Kan du komme i tanke om et design som beskytter på anden vis end ved at kryptere diskene?
Et andet design kunne vel være et Token system?
baseret på følgende:
Hvem jeg er
Hvad jeg ved
Hvad jeg har
Hvem jeg er = brugernavn
Hvad jeg ved = mit password
Hvad jeg har = min token (kode generator)
på den måde skal en hacker både kende mit brugernavn, password og vide hvad der står på min token det sekund og efterfølgende 10 sekunder den viser koden, lidt ala det nye system til netbank.
RSA lever fx. disse systemer. Og jeg ved godt de blev hacket for ikke så længe siden, men de er ikke de eneste og alt andet lige så ideen meget god, dog mere besværlig for brugeren.
Men som du også selv komme ind på lidt senere er det måske lidt afsporet fra artiklen.
On topic:
Jeg synes billede måden er fin til privat brug. I firma øjemed er den måske ikke tilstrækkelig med mindre den kommer som et suplement til fx en token løsning.
og Bitlocker skal bare slås til på minimum laptops hvis ikke også stationære
Jeg lavede også lige den smarte på min iPad: stik i røven med VGA-udgang, op i måsen på projektoren så jeg kunne lave firmapræsentation. Indtaste password og alle grinede. Den der trykeffekt der er når man trykker sin kode kom med op på storskærm så selvom der var stjerner i feltet kunne man se tallene blive trykket på.
Generelt er problemet ikke anderledes fra Windows 8 til iPad - hvis man kan se stjernerne på iPad så kan man sgu også se hvad der trykkes på. Men jeg er enig - min iPad har altid været mit Fischer-Price-legetøj.
Generelt er problemet ikke anderledes fra Windows 8 til iPad - hvis man kan se stjernerne på iPad så kan man sgu også se hvad der trykkes på. Men jeg er enig - min iPad har altid været mit Fischer-Price-legetøj.
HerrMansen (3) skrev:#2: Det kan jo ikke filmes på skærmen *nakkeslag*
Så de telefoner der er så geniale at bogstavet du trykker på popper "frem", også når du indtaster passwords, giver ikke den mulighed? Aha...
Det er lige så useriøst som swipe-adgangskoderne... (I kender dem fra Android - låsemønstre)
Hold nu kæft... Fedt at sidde og diskutere om det er nemmere at filme et tastatur, end en skærm.. Hvis man er kommet så langt.. Hvad fanden er så forskellen på hvilken sikkerhed personen har?
Som der er skrevet tusinde gange i disse kommentarer herover, så har windows sikkerhed ved almindelig login INTET med beskyttelse af data at gøre...Og hvis man tror nogen af de logins, om det så er fingeraftryks-læseren, password, eller wtf billedshit de nu har gang i, giver nogen form for sikkerhed så har man ikke forstand på det og burde holde vejret i et par minutter.
Prøv at søg på google efter "i forgot my windows login"
Ingen af dem er sikre, men det er heller ikke pointen med dem. (med mindre du spørg microsoft måske..)
Som der er skrevet tusinde gange i disse kommentarer herover, så har windows sikkerhed ved almindelig login INTET med beskyttelse af data at gøre...Og hvis man tror nogen af de logins, om det så er fingeraftryks-læseren, password, eller wtf billedshit de nu har gang i, giver nogen form for sikkerhed så har man ikke forstand på det og burde holde vejret i et par minutter.
Prøv at søg på google efter "i forgot my windows login"
Ingen af dem er sikre, men det er heller ikke pointen med dem. (med mindre du spørg microsoft måske..)
Jeg tvivler på det vil blive brugt på corporate workstations eller stationære/laptops i det hele taget - så imo er hele sikkerhedsdiskussionen lidt irrelevant.
Jeg er slet ikke i tvivl om at Microsofts fokus på tablets i Windows 8 er årsagen til det her tiltag.
Det er alt andet lige noget mere besværligt at indtaste et kodeord med store og små bogstaver, specialtegn osv. når man ikke har et rigtigt tastatur tilrådighed (selv et usikkert kodeord er temmelig besværligt sammenlignet med at swype et mønster på skærmen) - så på tablets er sådan en løsning her nem og bekvem og i mine øjne temmelig attraktivt og kører man med Android telefoner er mange allerede vant til lign. løsninger for at låse telefonen op og det giver meget god mening på tablets også.
Gemmer du hemmelige firmadata på din tablet, bør du så nok overveje en anden løsning - men for de fleste tablet-brugere vil det være sikkert nok.
Jeg er slet ikke i tvivl om at Microsofts fokus på tablets i Windows 8 er årsagen til det her tiltag.
Det er alt andet lige noget mere besværligt at indtaste et kodeord med store og små bogstaver, specialtegn osv. når man ikke har et rigtigt tastatur tilrådighed (selv et usikkert kodeord er temmelig besværligt sammenlignet med at swype et mønster på skærmen) - så på tablets er sådan en løsning her nem og bekvem og i mine øjne temmelig attraktivt og kører man med Android telefoner er mange allerede vant til lign. løsninger for at låse telefonen op og det giver meget god mening på tablets også.
Gemmer du hemmelige firmadata på din tablet, bør du så nok overveje en anden løsning - men for de fleste tablet-brugere vil det være sikkert nok.
"Alle" er måske lige at generalisere lidt for meget. Tror bestemt at der findes minimum én nørded Linux distro med indbygget (og aktiveret som standard) kryptering af hele computeren (ellers er jeg i hvert fald skuffet!) :PHubert (41) skrev:Det gælder sådan set alle OS'.
Men ja, de "store" OS'er har det (selvfølgelig?) ikke aktiveret som standard. Man kan nemt aktivere det (via BitLocker/TrueCrypt/etc), men det ændre ikke på at Weiss' kritik er helt ude i hampen. Et stærkt "login password" er jo ligegyldigt hvis de "seriøse hemmeligheder" ligger ukrypteret på den lokale disk.
#44: Det kræver så bare at alle ens data ligger i skyen (og forhåbentligt krypteret i skyen - og så er vi væk fra #14's "krav"). Man kan ikke undgå kryptering. Det hjælper ikke noget at "login" er enormt sikkert (2 faktor/etc), hvis selve data'erne ikke er krypteret - fordi ellers vil man altid kunne boote fra et andet OS (uden login) eller bare tage computerens diske ud.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund