senhas vao acabar?
comentada em 13/08/2024 21:25

não completamente

atualmente é uma boa prática de segurança usar um gerenciador de senhas*, e criar uma senha longa e ferrada só para ele e deixar ele encarregado de preencher as senhas em outros lugares

se você ver lugar pedindo para você trocar a senha a cada 72 dias ou algo assim, é recomendação ultrapassada

2capybarasisbetterthan1capybara é uma senha muito mais segura do que cap1b@r@, só verificar:
Password Tester | Test Your Password Strength | Bitwarden




o problema é que existe muita desinformação sobre isso
as pessoas confiam só no que as big techs fazem
uma vez sugeri esse site acima e as perguntas foram "eu nao digitaria minha senha em um site desses nunca!!!!!!!! e foi ai que eu desisti de ter essa conversa, e que só solução adotada por big tech vai para frente (BTC mais uma vez sendo atacado indiretamente?)

nisso as big techs tem colocado frameworks de autenticação por biometria em apps, e também adotado as passkeys:

Passkeys overview - Microsoft Support

Create a Passkey to Log Into Your Google Account - Google
*usar um que, de preferência, seja open source (pq outros nerds validam para você que nao tem trambicagem por trás e que a senha é criptografada localmente e nao no transporte para o servidor)

as passkeys usam o mesmo princípio da carteira do bitcoin, do ssh para os nerds de plantão, do certificado da RF para os amigos pagadores de impostos, etc

When you create a passkey, your device generates a pair of cryptographic keys: a private key (stored securely on your device) and a public key (shared with the service). During authentication, the service sends a challenge that your device signs with the private key, proving your identity without ever transmitting the private key.

postado por @luisfernando09054736 em 13/08/2024 10:11

Giovanni mas essa questão de quebrar a senha, ela é feita em cima da hash? O sistema não bloquearia as tentativas infrutíferas? 
Se estiver confuso é pq sou leigo nesse assunto mas sempre quis saber como funciona essa armazenagem de senha, como o sistema armazena a tua senha e etc,  e ontem por acaso cai num vídeo que explica um pouco sobre isso.

os sites, apps, serviços bloqueiam tentativas excessivas

mas quando há vazamento de dados (todo dia) de empresas é possível obter o hash das senhas
aí é questão de força bruta (exemplo: hashcat - advanced password recovery - lembrando que é ferramenta de pentester) e aí entram os tempos estimados pelo site acima
um cenário possível, mas não provável para 99,9% da população porque ninguém tem bufunfa suficiente para justificar isso, mas só para ilustração

vamos supor que vc use C@pivAra1987 como senha em tudo e o hash dela seja f4496adc6752d63094c7f89050923ca7e8e2f7e823c1b2ae92d18200c78eec4

vazamento total de dados de bigtech é mais raro; mas aí vaza o banco de hashes dos usuários da CleitonStore, da CleitonStartup que vc cadastrou para usar o app Cleitonli para ver a fatura do condomínio etc

lá vai ter uma tabela

Cleiton Cleitonildo - cleiton@cleiton.com -f4496adc6752d63094c7f89050923ca7e8e2f7e823c1b2ae92d18200c78eec4
quebram o hash para  C@pivAra1987

com essas informações dá para tentar acessar outras contas mais confiáveis - email cleiton@cleiton e senha C@pivAra1987 até conseguir uma

as vezes consegue uma conta, que libera o acesso para outra, que libera para outra, e por aí vai

lembrando que nada disso é pessoal - os agentes maliciosos e também os pentesters que trabalham para ajudar as empresas a se livrarem disso tem scripts automatizados para ir tentando

é bem difícil um sujeito comum ser alvo disso, mas não impossível

resumo da resposta pelo ChatGPT

O texto aborda a questão da quebra de senhas por meio de hashes e explora a possibilidade de tentativas infrutíferas serem bloqueadas pelo sistema. Aborda também o vazamento de dados de empresas e como é possível obter o hash das senhas, mencionando ferramentas de recuperação de senha avançadas. Essas informações podem ser utilizadas para acessar contas mais confiáveis, apesar de ser difícil para um sujeito comum ser alvo disso.

postado por @Torrealba em 13/08/2024 15:12

Giovanni, só uma dúvida, esse bitwarden é pago. Voce conhece algum gerenciador de senha gratuito?

bitwarden é gratuito e open source

só funcionalidades mais avançadas são pagas, incluindo o que nao recomendo muito que é 2FA no mesmo app de senha
Bitwarden Password Manager Pricing & Plans | Bitwarden
além do bitwarden tem outros, uma lista geral:
List of applications/Security - ArchWiki