senhas vao acabar?
comentada em 13/08/2024 21:25

Tomara. Já me acostumando a usar minha cara no notebook e o dedo no celular.

Segurança boa é senha + 2FA, somente um dos dois traz grande vulnerabilidade.

rapaz, eu odeio senha. Queria um mundo sem senha

não completamente

atualmente é uma boa prática de segurança usar um gerenciador de senhas*, e criar uma senha longa e ferrada só para ele e deixar ele encarregado de preencher as senhas em outros lugares

se você ver lugar pedindo para você trocar a senha a cada 72 dias ou algo assim, é recomendação ultrapassada

2capybarasisbetterthan1capybara é uma senha muito mais segura do que cap1b@r@, só verificar:
Password Tester | Test Your Password Strength | Bitwarden




o problema é que existe muita desinformação sobre isso
as pessoas confiam só no que as big techs fazem
uma vez sugeri esse site acima e as perguntas foram "eu nao digitaria minha senha em um site desses nunca!!!!!!!! e foi ai que eu desisti de ter essa conversa, e que só solução adotada por big tech vai para frente (BTC mais uma vez sendo atacado indiretamente?)

nisso as big techs tem colocado frameworks de autenticação por biometria em apps, e também adotado as passkeys:

Passkeys overview - Microsoft Support

Create a Passkey to Log Into Your Google Account - Google
*usar um que, de preferência, seja open source (pq outros nerds validam para você que nao tem trambicagem por trás e que a senha é criptografada localmente e nao no transporte para o servidor)

as passkeys usam o mesmo princípio da carteira do bitcoin, do ssh para os nerds de plantão, do certificado da RF para os amigos pagadores de impostos, etc

When you create a passkey, your device generates a pair of cryptographic keys: a private key (stored securely on your device) and a public key (shared with the service). During authentication, the service sends a challenge that your device signs with the private key, proving your identity without ever transmitting the private key.

Bitwarden é vida

Única coisa que acho ruim em desbloqueio com digital é porque tenho hiperidrose nas mãos (mãos soam bastante) .... ai não reconhece minha digital...tenho que ficar secando o dedo e limpado o sensor o tempo todo para funcionar....coletar digitais para passaporte / carteira de motorista é um SACOOOO!

Tomara, eu tenho profunda dificuldade com senhas. Netflix, email, amazon, max, globoplay, apple tv etc. etc. etc.

cada vez que pede a senha eu preciso recuperar a senha e formular uma nova, pq esqueço

e aí pede maiúsculo, minúsculo, dígitos diferentes etc um inferno

O que mais irrita são aquelas exigências de letra maiúscula, número, caractere especial, bem como sites que te obrigam a trocar a senha a cada 30 dias.

postado por @luisfernando09054736 em 13/08/2024 10:11

Giovanni mas essa questão de quebrar a senha, ela é feita em cima da hash? O sistema não bloquearia as tentativas infrutíferas? 
Se estiver confuso é pq sou leigo nesse assunto mas sempre quis saber como funciona essa armazenagem de senha, como o sistema armazena a tua senha e etc,  e ontem por acaso cai num vídeo que explica um pouco sobre isso.

os sites, apps, serviços bloqueiam tentativas excessivas

mas quando há vazamento de dados (todo dia) de empresas é possível obter o hash das senhas
aí é questão de força bruta (exemplo: hashcat - advanced password recovery - lembrando que é ferramenta de pentester) e aí entram os tempos estimados pelo site acima
um cenário possível, mas não provável para 99,9% da população porque ninguém tem bufunfa suficiente para justificar isso, mas só para ilustração

vamos supor que vc use C@pivAra1987 como senha em tudo e o hash dela seja f4496adc6752d63094c7f89050923ca7e8e2f7e823c1b2ae92d18200c78eec4

vazamento total de dados de bigtech é mais raro; mas aí vaza o banco de hashes dos usuários da CleitonStore, da CleitonStartup que vc cadastrou para usar o app Cleitonli para ver a fatura do condomínio etc

lá vai ter uma tabela

Cleiton Cleitonildo - cleiton@cleiton.com -f4496adc6752d63094c7f89050923ca7e8e2f7e823c1b2ae92d18200c78eec4
quebram o hash para  C@pivAra1987

com essas informações dá para tentar acessar outras contas mais confiáveis - email cleiton@cleiton e senha C@pivAra1987 até conseguir uma

as vezes consegue uma conta, que libera o acesso para outra, que libera para outra, e por aí vai

lembrando que nada disso é pessoal - os agentes maliciosos e também os pentesters que trabalham para ajudar as empresas a se livrarem disso tem scripts automatizados para ir tentando

é bem difícil um sujeito comum ser alvo disso, mas não impossível

resumo da resposta pelo ChatGPT

O texto aborda a questão da quebra de senhas por meio de hashes e explora a possibilidade de tentativas infrutíferas serem bloqueadas pelo sistema. Aborda também o vazamento de dados de empresas e como é possível obter o hash das senhas, mencionando ferramentas de recuperação de senha avançadas. Essas informações podem ser utilizadas para acessar contas mais confiáveis, apesar de ser difícil para um sujeito comum ser alvo disso.

Passkeys: What they are and how to use them

@Giovanni, só uma dúvida, esse bitwarden é pago. Voce conhece algum gerenciador de senha gratuito?

postado por @Torrealba em 13/08/2024 15:12

Giovanni, só uma dúvida, esse bitwarden é pago. Voce conhece algum gerenciador de senha gratuito?

bitwarden é gratuito e open source

só funcionalidades mais avançadas são pagas, incluindo o que nao recomendo muito que é 2FA no mesmo app de senha
Bitwarden Password Manager Pricing & Plans | Bitwarden
além do bitwarden tem outros, uma lista geral:
List of applications/Security - ArchWiki

SMS tem que acabar.
Autenticação em 2 fatores usando SMS tem que acabar.
Clonam o chip e/ou roubam e acessam o celular e aí pode botar 10 capivaras na senha que é só dizer que esqueceu a senha e receber um sms.

Na verdade as empresas tem que acabar com essa dependência cega do celular para autenticação. O que é mais fácil de ser roubado? Um celular ou um notebook que fica em casa?

Eu entre no site do meu banco do meu notebook em casa e pedem um qr code do meu celular. Isso é muito surreal, pra que essa interdependencia?

Outra coisa que tenho dúvida: é possível, ao roubarem meu celular, clonarem ou descobrirem minha digital? Ou adicionar uma nova digital de forma ilícita?
O meu movimento nos apps de celular tem sido exatamente o contrário: tenho tirado a digital como acesso e deixado a senha do site/app.

postado por @Tabar em 13/08/2024 21:16:51

Outra coisa que tenho dúvida: é possível, ao roubarem meu celular, clonarem ou descobrirem minha digital? Ou adicionar uma nova digital de forma ilícita?
O meu movimento nos apps de celular tem sido exatamente o contrário: tenho tirado a digital como acesso e deixado a senha do site/app.

Acabei de ver um tópico falando sobre isso. Podem ignorar essa dúvida.