Kitiems siūlau nuosekliai perskaityti šį straipsnį apie slaptažodžių kūrimą.

Priešistorė

Įvairiose registracijose (pastaruoju metu labai retose) yra patariama sugalvoti “sunkiai atspėjamą slaptažodį”, tačiau nė vienoje (na gerai, vienoje, kurią paminėsiu vėliau) nesiūloma kaip tai galima būtų padaryti. Tada vartotojai beveik visada įveda šabloninius slaptažodžius. Žemiau pateikiu jums populiariausius šablonus:

1. qwerty
2. asdf
3. zxcv
4. {vardas}123
5. 123123
6. 123456
7. {vardas}{gimimo-metai/data}

Taip pat gali būti begale kitų pavadinimų, vardų ar skaitmenų sekų, kurie tiesiogiai (ar nelabai) susiję su pačiu slaptažodžio savininku. Ir manau nereikia minėti tokių slaptažodžių kaip “admin” ar “root”. Tai ne slaptažodžiai. Tai kvietimas blogiečiams užeiti ten, kur jūs to nenorite.

Kur slypi nesaugumas?

Kaip programuotojas galiu pasakyti, kad 90% visų slaptažodžių duomenų bazėse yra saugojami užhešuoti md5 algoritmu (bent Lietuvoje). Kiti 10 procentų pasiskirsto sekančiai (su trumpu paaiškinimu):

• md5 + druska – šioks toks originalaus slaptažodžio užnuodijimas druska duomenų bazėje įtakoja visiškai kitokį galutinį hešą;
• sha1 – saugus hešavimo algoritmas gražinantis 40, o ne 32 (kaip md5) baitų ilgio kontrolinę sumą;
• sha1 + druska – užnuodytas saugus hešavimo algoritmas;
• nehešuotas/nekoduotas slaptažodis – no comments
• savas rašytas hešavimo/kodavimo algoritmas – labai lengva sumaišyti su ankstesniu, kaip išsiaiškinti – kol kas nežinau;

Iš karto: kam neaišku, kas yra hešas, einate čia. Iš ten turėtumėte sužinoti kas yra md5, sha1 ir kaip apskritai veikia visi hešavimo mechanizmai bei kur jie yra panaudojami.

Tęsiant temą: dėl populiaraus md5 hešavimo algoritmo yra sudarinėjamos md5 reikšmių lentelės, kuriomis dažnai remiasi žodyninės atakos, jau turinti hešų duomenų bazę ar sąrašą. Ką tuom noriu pasakyti? Negalvokite, kad jūsų slaptažodis yra saugus (nors ir lengvas) vien dėl to, kad jo niekam nesakote. Prisimenu php.lt istoriją. Buvo nušvilpta visa duomenų bazė su md5 hešuotais slaptažodžiais. Vėliau to paties php.lt forume buvo paskelbta apie 80 vartotojų slaptažodžiai, kurie buvo paprasti iki negalėjimo (žiūrėti aukščiau pateiktus šablonus).

Patarimas 1: patogumas

Prisipažinsiu – ne kartą žiūrėdavau kažkam per petį, kai žmogus rinkdavo slaptažodį nuo pašto dėžutės prisijungimo. Spėju natūralus smalsumas. Jeigu žmogaus spausdinimo įgūdžiai nėra žudikiški (mol. killer skillz) be vargo galėdavau perskaityti jo slaptažodį ir nužiūrėti prisijungimo vartotojo vardą. Taigi einame prie išvados: gal jūsų spausdinimo įgūdžiai ir nėra gėri, tačiau prie slaptažodžio efektyvumo prisideda ir jo surinkimo greitis. Nesvarbu ar jus tebi svetimos akys ar ne. Manau, kad šis jūsų trūkumas dings su laiku. Tiesiog reikia daug rašyti bei kuo greičiau pramokti tai daryti “aklaja sistema”.

Vis viena yra “jeigu”. Jeigu vartotojo slaptažodis yra paprastas žodis (vardas, pavadinimas, etc.) tai net gi geri spausdinimo įgūdžiai jo nepadės apsaugoti slaptažodžio nuo svetimo žvilgsnio (taip pat prisiminkite, kad nors ir greitai renkamas slaptažodis yra saugomas neabsoliučiai saugioje darbo stotyje). Taigi – reikia ne tik greitai surinkti slaptažodį, tačiau pasistengti, kad jame vyrautų kuo atsitiktinesnės raidės, skaitmenys ar ženklai.

Savaime suprantama, klaviatūroje net iš eilės einančios raidės yra pakankamai atsitiktinės ir jas visas surinkinėjant iš eilės nelabai sudarysi kokį rišlų žodį, tačiau kaip tai atrodys iš šono? Tai bus paprasčiausias perbraukimas pirštais per klaviatūros eilutę. Ką daryti? Žvelkite kitu kampu (literally) rankas laikydami toje pačijoe padėtyje. Ką matote? q, aw, zse, xdr, cft, vgy, … thn, yjm, uk, il, p, etc. Taigi naudodami po vieną ar dvi raides iš kiekvienos kombinacijos (taip pat keisdami kombinacijas kairei bei dešinei rankoms), susikurkite ne ilgesnį negu 8 simbolių slaptažodį. Tarkime fcmjkdcf. Pabandykite jį kelis kartus surinkti klaviatūra rašydami atsitiktinį tekstą (belekokę keverzonę notepad programoje) ir pamatysite, kad nors šis raidžių kratinys atrodo pakankamai randominis jis labai greitai ir patogiai susirenka. Jeigu esate labiau įgudęs “spausdintojas”, galite pajungti skaitmenis arba, retkarčiais nuspausdami [Shift] klvaišą, simbolius ir/ar didžiąsias raides. Tačiau čia dar ne viskas!

Patarimas 2: progresyvumas

Nebūtina iš karto kurti 25 simbolių slaptažodį, kurį vėliau būtų didelė galimybė pamiršti ar sumaišyti tam tikrus simbolius vietomis. Mano pirmasis pagal pirmąjį patarimą sudarytas slaptažodis buvo vos 9 simbolių. Tačiau jis buvo pakankamai atsitiktinis bei greitai surenkamas. Po mėnesio (kai galėjau jį surinkti apversta klaviatūra ir/arba kojų pirštais), kas dvi savaites prie šio slaptažodžio “lipdydavau” po papildomas 4 raides (po dvi kiekvienai rankai). Po kurio laiko turėjau 29 simbolių ilgumo atsitiktinių raidžių greitai surenkamą slaptažodį, kurį suvedinėjant nickserv autentifikacijos metu nereikėdavo jaudintis, kad jį gali pamatyti ar juo labiau įsiminti šalia esantis pašalinis žmogus. Būdavo net gi linksma, kai žmogus iš nustebimo paklausdavo “koks pas tave slaptažodis?!?!”, o aš jam be jokių užuolankų atsakydavau: “*****************************” (taip taip, jis vis dar naudojamas kaikur ,)

Tai kaip?

Šiam kartui tiek. Kaip visada – būtų įdomu sužinoti jūsų slaptažodžių kūrimo technikas.

1. Ateinate pas viršininką rimtu veidu ir pasakote, kad norite rimtai pasišnekėti.
2. Kai gavote visą viršininko dėmesį, išlemenkite su trumpomis pauzėmis: “Noriu pasakyti, kad nuo {mėnesio} {dienos} norėčiau išeiti…”.
3. Stebite šefo reakciją.
4. Jeigu esate labai vertinamas komandos narys galite gauti įspėjimą dėl susidorojimo, jeigu paliksite įmonę. Įspėjimą taip pat galite gauti jeigu esate labai nemėgiamas komandos narys.
5. Išlaukę, tiesiog pasakykite, kad norėtumėte tik atostogų ir jūs jokiu būdu nenorėtumėte keisti darbo (tai turėtų turėti privalumų vėlesnėje pokalbio eigoje).
6. Pamatę, kaip šefas “atsileidžia” ir jeigu pasakėte 5 punkte išdėstytas “pasilikimo darbe priežastis” galite pradėti prašyti norimo atostogų kiekio. Šefas tikrai neprieštaraus (aišku, jeigu neviršysite sukaupto atostogų rezervo).
7. Jeigu viskas pavyko pagal 6 punktą galite iškėlę galvą nueiti nuo direktoriaus stalo (arba iš direktoriaus kabineto).

Taigi chebryte, antroje vasario pusėje bimbinėsiu. Išeis ramiai išsilaikyti sesiją ir užbaigti nebaigtus ir kybančius darbus.

Nota Bene: šiuo įrašu jokiu būdu nenorėjau pasakyti, kad mano darbovietėje žmonės nėra išleidžiami į atostogas. Tiesiog pamaniau, kad toks pokalbis bus savotiškai žavingas. Kas žino, gal kam nors net gi padės ,)

Kol kas:

$ rake feeds:import
$ rake feeds:refresh

Next step – some logging and testing. Ir šiaip – galite siųsti savo pageidavimus man. Kol kas. Po to – gal būt į kokį nors as-noriu-situ-savybiu-paciame@kaleido.lt .))

Kodėl “kaleido”?
Šiaip neturiu konkretaus paaiškinimo kodėl. Greita interpretacija: pilnas pavadinimas būtų “kaleidoskopas”. Vamzdelis (pats projektas, paslauga) per kurį pažiūrėjus į įvairias daleles (įvykiai, rss srautai) susidarytų gražus (arba nelabai) vaizdas su daug simetrinių atspindžių (įvairiai aprašyti įvykiai: kiek žmonių – tiek nuomonių). Šį reiškinį vadinu “tinklo stygomis”, dar vienas mano proto vaisius, apie kurį LABAI GALBŪT – kadanors. Kiekvienas pažiūrėjęs per vamzdelį (užsiregistravęs vartotojas) pamatytų vis kitokį “vaizdą”, nes “kaleidoskopo dalelės” (vartotojo turimos rss prenumeratos) susidėliotų vis kitaip. Vaizdas taip pat keistųsi po minimalaus “vamzdžio” pasukimo (minimalaus laiko intervalo, per kurį atsinaujina bent keli rss srautai). Aš netgi papasakojau savo viziją bendradarbiui dizaineriui, kuris (laisvu nuo darbo metu – past. direktoriui .) iš viso to reikalo nupaišė logotipą.

Fileris: kadangi tokio projekto nėra, reiškia, kad yra galimybė būti pirmam. Nusprendžiau būti pirmas ir padariau minimalų “variklį” šiai idėjai.

Kodėl tai apskritai yra klausimas?
Aš rytais miegu, dienomis dirbu, vakarais mokausi, vėlais vakarais programuoju naują itopiją bei turiu porą pašalinių projektų vėlyvais vakarais. Laiko nėra labai daug ir garantijos ar rss skaitytuvo vizija mano galvoje iš tiesų išvys dienos šviesą veikiančio kodo pavidalu (mano galva nėra skylėta, tad atsitiktinio “leek:o” nelabai gali būti, netgi labai norint) tikrai nėra. Visada yra galimybė insomnijos apimtam programuoti viską nuo 00:00 iki 04:00 ryto.

Kas jau padaryta?
Intro: projektas yra vykdomas naudojant nuostabų Ruby On Rails karkasą. Hostingo šitam reikalui taip pat neturiu, tad kolkas viskas sukasi Ashoje (mano obuolyje). Jeigu šituo dalyku būtų pakankamai susidomėjusių (ne “vienkartiniu” užsivežimu) tikrai paskirčiau finansus minimaliam dedikuotam serveriui iš serveriai.lt bei pakurčiau minimalų versijavimą (būtinai svn, galbūt hg). Tada būtų galima darytis mini-milestones bei pradėti galvoti apie pirmąją alpha versiją.
padarytas rss srautų importavimas. Pradinis šaltinis – mano google rss skaitytuvo opml sąrašas. To paties importo metu – importuojami įrašai su minimaliais meta duomenimis (pavadinimas, nuoroda, šaltinis, autorius, etc.). Kadangi opml standartas palaiko “kategorijas” ar “gaires” (nelabai mėgčiau dabar jas čia kišti), tai nedaug trūksta iki kategorizuoto srautų atvaizdavimo. Kitaip sakant, kad pasiekčiau google reader funkcionalumą (be klientinės pusės mirgalkių) – reiktų dar kelių valandų darbo.

Šitas, kaip ir prieš tai buvęs, įrašas nesusilauks didelio dėmesio nors tai ir yra labai potencialus projektas .) Dėl to pačių plonybių nepasakosiu. Manau jų ir neverta pasakoti kol nėra stabilios kodo bazės.

• Mokslas plius: Hitachi pradėjo prekybą pirmąja rinkoje mėgėjiška filmavimo kamera, galinčia įrašyti į blue-ray diskus (2007-08-05 20:26)
• Gizmodo: Hitachi First Past The Post With Blu-Ray Camcorder (2007-07-20 06:38)

• Gizmodo => Mokslas plius: >3d.

Savaitė #2

Alfa.lt vs. Slashdot

• Pirminis šaltinis (Telepgraph): Physicists have ‘solved’ mystery of levitation (2007-08-06)
• Slashdot: British Scientists Reverse Casimir Effect (2007-08-06 15:31)
• Alfa.lt: Išrasta dalelių levitacija, tačiau žmonės kyboti ore dar negalės (2007-08-07 12:50)

• Telepgraph => Slashdot: 03:31h
• Telepgraph => Alfa.lt: 24:50h
• Slashdot => Alfa.lt: 21:19h

Delfi vs. Slashdot

• Pirminis šaltinis (Ars Technica): Lenovo, Novell partner to offer Linux on the ThinkPad (2007-08-06)
• Delfi: „Lenovo“ į kompiuterius diegs „Linux” (2007-08-07 13:16)
• Slashdot: Lenovo to Sell, Support Linux on ThinkPads (2007-08-06 22:08)

• Ars Technica => Slashdot: 10:08h
• Ars Technica => Delfi: 25:16h
• Slashdot => Delfi: 15:08h

Alfa.lt vs. Slashdot

• Pirminis šaltinis (PCWorld): Microsoft, NASA Team on Shuttle Photos (2007-08-06 07:00)
• Slashdot: Microsoft, NASA Allow For 3D Shuttle View (2007-08-06 12:47)
• Alfa.lt: Internete galima pamatyti erdvėlaivio „Endeavour“ 3D vaizdus (2007-08-06 17:50)

• PCWorld => Slashdot: 05:47h
• PCWorld => Alfa.lt: 10:50h
• Slashdot => Alfa.lt: 05:03h

Iš tiesų galiu pasakyti, kad nuo praeitos savaitės rezultatai smarkiai nepasikeitė. Na gal būt alfa.lt kažkiek pasistiebė. Bet ir tai manau, kad tai tiesiog atsitiktinumas. Ir šiaip – pakrapsčius labiau galvą – jeigu naujienų portalai ir laikraščiai perka naujienas iš naujienų agentūrų (kaip minėjo Petras Kudaras), tai negeriau būtų jiems nusiųsti kokį laiškelį, kad jūs geriau samdykitės blogerius, kurie žymiai greičiau gauna visas naujienas apie IT ir pan. reikalus. Pasakyčiau, kad bręsta reikalas IT naujienų portalui (pvz kaip Slashdot), tačiau Lietuvoje mes jau turime nežinau.lt. Beda tik viena – viskas ateina pernelyg dideliais paketais. Ir publika per maža.

Naudingoji to laiko dalis yra skiriama savišvietai turinio rašymo (copywriting) srityje, kurioje taip pat pilna “mini-eksperimentų” (o gal vis dėl to reiktų atidaryti dienoraštį po laboratorija.lt domenu?) skaitytojų apsilankymams, navigacijai ir panašiose srityse. Šiam kartui tiek. Tikiuosi, kad sekanti ataskaita jau bus Ubermano miego režime.

• Pirminis šaltinis (CNN): Office printers ‘are health risk’ (2007-07-31 13:27);
• Slashdot.org: Office Printers May Pose Health Risks (2007-07-31 16:31);
• Alfa.lt: Lazeriniai spausdintuvai kenkia sveikatai (2007-08-01 12:36);

• CNN => Slashdot: 03:04;
• CNN => Alfa.lt: 23:09;
• Slashdot => Alfa.lt: 20:05;

Lietuvos rytas vs. Slashdot:

• Pirminis šaltinis (The Register): YouTube video-fingerprinting due in September (2007-07-30 22:34)
• Lietuvos rytas: Šiemet „YouTube“ pradės filtruoti vaizdo įrašus (2007-07-31 13:49)
• Slashdot: YouTube Video-Fingerprinting Due in September (2007-07-31 17:11)

• The Register => Lietuvos rytas: 15:15;
• The Register => Slashdot: 19:37;
• Lietuvos rytas => Slashdot: 04:22;

Lietuvos rytas vs. Slashdot:

• Pirminis šaltinis (SFGate): Most vote machines lose test to hackers (2007-07-28 12:00);
• Slashdot: Researchers Crack Every Certified CA Voting Machine (2007-07-28 14:04)
• Lietuvos rytas: Mokslininkams pavyko įsilaužti į Kalifornijos elektroninių balsavimo mašinų sistemą (2007-08-01 16:56)

• SFGate => Slashdot: 12 < [V] < 14h;
• SFGate => Lietuvos rytas: > 3d;
• Slashdot => Lietuvos rytas: > 3d;

Alfa.lt, Lietuvos rytas vs. Slashdot:

• Pirminis šaltinis (The Sun): Why we must close the net (2007-08-01 12:00)
• Slashdot: Elton John Says Internet is Destroying Music (2007-08-02 09:09)
• Alfa.lt: Seras Eltonas Džonas ragina sunaikinti internetą (2007-08-03 11:34)
• Lietuvos rytas: E.Johnas ragina uždaryti internetą (2007-08-04 13:17)

• The Sun => Slashdot: 22:51h;
• The Sun => Alfa.lt: 47:26h;
• The Sun => Lietuvos rytas: >3d;
• Slashdot => Alfa.lt: 24:25h;
• Slashdot => Lietuvos rytas: 44:08h;
• Alfa.lt => Lietuvos rytas: 25:43h

Delfi.lt vs Slashdot:

• Pirminis šaltinis (Aviation week): Panel Finds Astronauts Flew While Intoxicated (2007-07-26)
• Slashdot: Houston, We Have a Drinking Problem (2007-07-28 16:21)
• Delfi: Alus kosmose: trumpa, bet putota istorija (2007-08-01 23:57)

• Aviation week => Slashdot: 52:21h;
• Aviation week => Delfi: >3d;
• Slashdot => Delfi: >3d.

Na suprantu – užsienio naujienų šaltiniuose dominavo slashdot. Tiesa, užsienio naujienų srautas keliasdešimt kartų viršija lietuviškųjų (nesvarbu, kad pastarųjų šaltinių kiekis yra dvigubai mažesnis). Dabar pilnai suprantu Džiugą, kuris naujienų bei blogų srautų turi, turbūt, kelis kartus daugiau už mane.

Kaip minėjau anksčiau – mano lūkesčiai pradžioje pasiteisino. Tiesa, Lietuvos rytas nustebino ir gerąja ir blogąja prasmėmis. Pirma – tuo, kad naujieną apie “YouTube” filmų atpažinimą parašė keliomis valandomis anksčiau už Slashdot. Antra – tuo, kad naujieną apie “Balsavimo mašinas” bei Eltono Džono nuomonę dėl “interneto uždarymo” parašė daugiau negu trimis dienomis vėliau. Makes me wonder: kodėl iš viso rašyti dar apie tai? Tiesa, viskas būtų kaip ir smagu, tačiau šios savaitės didžiausias flegmatikas – Delfi su naujiena apie girtaujančius kosmonautus (ar astronautus?). Naujiena vėlavo daugiau negu penkias dienas. Turiu pripažinti, kad mano mėgiamas Slashdot taip pat kartais pasirodė blogiau.

1. Vertinant bus imami trys naujienos šaltiniai: Pradinis (iš kur buvo paimta naujiena), užsienietiškas bei lietuviškas;
2. Surašymas bus dviejuose sąrašuose:
   • Šaltinių sąrašas su nuorodomis į naujienas bei publikacijos data;
   • Šaltinių sąrašas su laikotarpiu nuo originalios naujienos paskelbimo bei laikotarpiu tarp užsienietiškos bei lietuviškos publikacijų;
3. Jeigu publikacijos laikas (valandos/minutės) viename iš šaltinių nėra paskelbti – bus skaitoma, kad įrašas atsirado 12 valandą dienos

Prieš porą dienų manęs paklausė: kiek laiko žadu vykdyti šį eksperimentą ir kokia man iš to nauda? Atsakyti kol kas sunku, kadangi eksperimentas vykdomas tik pirmą savaitę ir duomenų dar mažoka, kad galėčiau argumentuotai viską pateikti, tačiau pačioje pradžioje mano “nusikaltimas” buvo tik smalsumas ,)

Atnaujinimas: visą idėją ir pradžią rasite štai čia.

• Slashdot: News for nerds, stuff that matters
• Lifehacker, tips and downloads for getting things done
• BoingBoing: A Directory of Wonderful Things
• Engadget
• Gizmodo, the gadget guide
• Neatorama
• OhGizmo!
• Ubergizmo, The Gadget Blog

Na taip, dauguma jų – nežinau.lt perliukų serijos šaltiniai, o kai kurie tiesiog užsilikę skaitiniai nuo programavimo laikų pradžios.

Po mano padidinamuoju stiklu pakliuvo šie naujienų portalai (abėcėlės tvarka):

• Alfa.lt – Technologijos
• Balsas.lt – Technologijos ir Mokslas
• Delfi.lt – IT Verslas
• Lrytas.lt – IT

Jeigu turite ką pridėti į viena ar į kitą kategoriją – mielai prašom. Kiekvienos savaitės gale (o jeigu laikas leis – dažniau) prisėsiu ir pažiūrėsiu kiek tos pačios naujienos keliavo internetu iki Lietuvos.

P.S. Susikūriau ženkliuką sau ir aš. Kas norite mainytis? Prašom. Pas save, deja, galiu priimti ne daugiau dviejų kvadračiukų ,)