Hasło (kryptografia): Różnice pomiędzy wersjami
| [wersja przejrzana] | [wersja przejrzana] |
Usunięta treść Dodana treść
drobne redakcyjne |
m →Hasła w uwierzytelnieniu: dodanie przykładu zabezpieczenia haseł w systemach teleinformatycznych, drobne merytoryczne |
||
Linia 41:
* Polityka bezpieczeństwa wymuszająca wybieranie przez użytkowników '''haseł o odpowiedniej długości i złożoności''', lub generowanie i przydzielanie im takich haseł.
* '''Ograniczenie liczby prób uwierzytelenienia'''. Po przekroczeniu ustalonego limitu logowanie na dany identyfikator użytkownika jest blokowane na stałe lub czasowo. Jest to szczególnie istotne w przypadku haseł z założenia bardzo krótkich ([[PIN]]). Ograniczenie do trzech prób zapewnia wystarczającą ochronę przeciwko atakom automatycznym już dla haseł o entropii rzędu 20<ref>{{cytuj stronę |url=http://www.usenix.org/event/hotsec07/tech/full_papers/florencio/florencio.pdf |tytuł=Do Strong Web Passwords Accomplish Anything? |data=2007 |autor=Dinei Florencio, Cormac Herley, Baris Coskun}}</ref>.
* '''Bezpieczne przechowywanie haseł'''. Hasła w systemach teleinformatycznych są z reguły przechowywane w sposób uniemożliwiający ich odtworzenie (np. z użyciem [[Funkcja skrótu|funkcji skrótu]], tzw. ''haszowanie''), co chroni przed odtworzeniem dużej liczby haseł w przypadku nieuprawnionego uzyskania dostępu do bazy oraz umożliwia zapewnienie [[niezaprzeczalność|niezaprzeczalności]] działań użytkownika.
Do przekształcania haseł stosuje się algorytmy oparte na [[funkcja skrótu|jednokierunkowych kryptograficznych funkcjach skrótu]]. Ze względu na możliwość prowadzenia skutecznych ataków ([[Atak słownikowy]], [[Tęczowe tablice]]) na hasła przetworzone za pomocą pojedynczej [[funkcja skrótu|funkcji skrótu]] konieczne jest stosowanie do tego celu funkcji przypominających funkcje PBKDF opisane w PKCS#5<ref name="pkcs5"/><ref>{{cytuj stronę |url=http://www.securitystandard.pl/artykuly/56901_0/Ochrona.i.lamanie.hasel.w.aplikacjach.html |autor=Paweł Krawczyk |tytuł=Ochrona i łamanie haseł w aplikacjach |data=14 grudnia 2007 |opublikowany=Security Standard}}</ref>.
| |||