P עוברת כמעט כל מד חוזק באתרים. היא גם הופיעה בדליפות 6,421,042 פעמים. בפוסט הקודם בדקנו אם הסיסמה שלכם דלפה. אז במה מחליפים אותה? מדי החוזק באתרים סופרים סוגי תווים: אות גדולה, ספרה, סימן. אבל תוקפים לא מנחשים אות אחרי אות. הם מנסים קודם את התבניות שכולם בוחרים: מילה מוכרת, @ במקום a, שנה וסימן קריאה. בדקתי: Qwerty123! הופיעה בדליפות 184,730 פעמים P הופיעה 21,349 פעמים מה שבאמת עובד זה אקראיות. שש מילים שנבחרות באקראי מתוך 7,776, כמו ember-oyster-clamp-wobbly-unread-stack. קל לזכור, וקשה מאוד לפרוץ: מול חוות כרטיסי מסך שמנסה טריליון ניחושים בשנייה: כ-3,500 שנה מול אתר ששו

הקוד בן 6 הספרות באפליקציית האימות שלכם לא מגיע מגוגל. הטלפון מחשב אותו לבד, והוא יכול לחשב אותו גם בלי אינטרנט. כשמפעילים אימות דו-שלבי וסורקים QR, האתר בעצם נותן לטלפון סוד אחד. מאותו רגע גם הטלפון וגם האתר מחשבים את הקוד מתוך שני דברים בלבד: הסוד והשעה. כל 30 שניות יוצא מספר חדש, ושני הצדדים מגיעים לאותה תוצאה בלי לדבר אחד עם השני. זה אומר שמי שיש לו את הסוד, מייצר את הקודים שלכם. מכל מכשיר, ולתמיד. בניתי מעבדה שמראה את זה בעיניים. הקובץ בהודעה הבאה. היא מייצרת מפתח דמו, מציגה את הקוד החי, ומפרקת את החישוב צעד אחר צעד: מהשעה, דרך HMAC, ועד שש הספרות. האתגר: 1. פתחו את הקובץ והעתיקו את מ

השבוע דלפו פרטי התחברות של 11.7 מיליון חשבונות Capcom. השאלה האמיתית היא לא אם יש לכם שם חשבון, אלא באיזה עוד אתרים יש לכם את אותה סיסמה. ככה עובדות רוב הפריצות לחשבונות היום: תוקפים לוקחים סיסמאות שדלפו מאתר אחד ומנסים אותן בכל השאר. ג'ימייל, אינסטגרם, הבנק. מי שממחזר סיסמה, נפרץ בלי שאף אחד פרץ אליו. אז איך בודקים אם סיסמה שלכם כבר דלפה? הקלדה שלה באתר שמבטיח לבדוק היא בדיוק הטעות. יש דרך חכמה יותר: 1. המחשב שלכם הופך את הסיסמה ל-hash (טביעת אצבע) 2. רק 5 התווים הראשונים של ה-hash נשלחים לשרת 3. השרת מחזיר כ-2,000 hashes של סיסמאות שדלפו ומתחילים באותם 5 תווים 4. ההשוואה קורית אצלכם השרת