» »

Britanci prepovedali privzeta enostavna gesla

Britanci prepovedali privzeta enostavna gesla

Slo-Tech - Britanski parlament je sprejel nov zakon, ki je namenjen zaščiti boljši zaščiti potrošnikov pred hekerskimi napadi na njihove pametne elektronske naprave, kot so na primer telefoni in televizorji. Odslej bo na Otoku prepovedana prodaja naprav, ki ne bodo izpolnjevale osnovnih varnostnih pogojev. Poleg tega zakon uvaja visoke globe, ki lahko dosežejo 10 milijonov funtov ali štiri odstotke globalnega letnega prometa podjetja, če podjetja ne bodo izpolnjevala pogojev. Za vsak dan kršitve se lahko izreče še 20.000 funtov tekoče glboe.

Novi zakon se imenuje PSTI (Product Security and Telecommunications Infrastructure) in med drugim prepoveduje uporabo generičnih tovarniških gesel, ki so bila svoj čas popularna in eden večjih razlogov za preproste vdore. Preprosta gesla, denimo admin ali password, so odslej prepovedana. Naprave bodo morale imeti unikatna gesla, ki jih ne bo možno enostavno uganiti. Zakon ureja tudi nadgradnje pametnih naprav, saj se v njih sčasoma odkrijejo ranljivosti, ki jih proizvajalci zakrpajo (ali pa ne). Proizvajalci bodo morali potrošnike obvestiti, koliko časa bo izdelek prejemal varnostne posodobitve. Če to ni predvideno, bodo morali izrecno poudariti, da se izdelek ne bo posodabljal. Hkrati bodo morali vzpostaviti enotno točko za prijavo ranljivosti, hroščev in napak, kamor jih bodo lahko raziskovalci in druga zainteresirana javnost pregledno prijavili.

Z zakonom želi zakonodajalec potrošnikom dati vsaj osnovne možnosti v boju proti hekerjem, hkrati pa ponuditi večjo preglednost. Trenutno namreč varnostni aspekti in trajanje podpore pri pametnih napravah niso v ospredju, ko se potrošniki odločajo za nakup. Zakon bo poskrbel, da bodo tudi ti dejavniki pregledneje predočeni.

53 komentarjev

«
1
2

MKrmec ::

Bitwarden in podobne fore bodo mele nov biznis, kar je pravilno.

joze67 ::

Kazni so, glede na težo prekrška, šeriatske.

poweroff ::

Primerne.
sudo poweroff

WhiteAngel ::

Pohvalno. Kje je Evropa?

Invictus ::

Support bo 300% zaseden z pozabljeni gesli :)).
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

mtosev ::

Tale zakon je dobra ideja. Sicer opažam, da nekateri ljudje niti ne vedo gesla od svojega WiFija. Pred nekaj časa me je klicala hčerka od mamine prijateljice. Sprašuje kakšno je geslo od WiFija. Sn ji reko, da naj obrne Hotov modem in da spodaj piše password.
Core i9 10900X, ASUS Prime X299 Edition 30, 32GB 4x8 3600Mhz G.skill, CM H500M,
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro
moj oče darko 1960-2016, moj labradorec max 2002-2013

zee ::

Podpiram. Taksno zakonodajo bi morala sprejeti tudi EU in se kaksna druga drzava.
zee
Linux: Be Root, Windows: Re Boot
Giant Amazon and Google Compute Cloud in the Sky.

Zgodovina sprememb…

  • spremenilo: zee ()

MrStein ::

mtosev je izjavil:

Tale zakon je dobra ideja. Sicer opažam, da nekateri ljudje niti ne vedo gesla od svojega WiFija. Pred nekaj časa me je klicala hčerka od mamine prijateljice. Sprašuje kakšno je geslo od WiFija. Sn ji reko, da naj obrne Hotov modem in da spodaj piše password.

Rekel bi ji, naj gumb z napisom WPS pritisne in se ne ubada z zastarelo tehnologijo gesel.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

billy ::

Bravo, to bo super, ko bo nekdo kupil pametno ključavnico za v bajto in pozabil geslo, ker bo moralo biti dolgo 20 številk, potem pa bo lušno.

Mislim, kam gre ta svet...

MrStein ::

Gesla so bedarija nasploh. To je tako kot če bi zahtevali konje z vsaj 5 KM namesto da bi konje zamenjali s čim bolj modernim.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

dripac ::

billy je izjavil:

Bravo, to bo super, ko bo nekdo kupil pametno ključavnico za v bajto in pozabil geslo, ker bo moralo biti dolgo 20 številk, potem pa bo lušno.

Mislim, kam gre ta svet...


Vsekakor bolje kot pa da ostane default, Password, 12345678, Admin ali kaj podobnega :D

MrStein ::

Aha, https://moj.a1.si po novem* podpira prijavo s certifikatom. Še eno geslo manj**.


* od kdaj točno, ne vem. Sicer je nekje v beseduli beseda "test", tako da še ni polno, pa izpiše, da ne more preveriti latsništva certifikata in zato pri prijavi s ceretifikatom nekater možnosti ne bodo na voljo. (hecno, pri geslu, kjer itak nič ne morejo preveriti, pa ti dajo kar polni dostop...)

** no, geslo je še vedno, kot sekundarni (po njihovo: primarni) način prijave
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

G-man ::

To bo veselica predvsem za vse takoimenovane industrijske ali pa medicinske naprave. Zaradi slabih dosedanjih praks bomo sedaj videvali novice obstalih proizvodnjih linij ter klinik zaradi pozabljenih ali slabo hranjenih gesel. Vedno bo na koncu nekje "ključ pod predpražnikom", samo da se ne zaklenejo ven.

billy ::

Ja, pa listek z vsemi gesli.

V glavnem bollocks je to, človek si ne more zapomniti toliko gesel.

Kako pa je lahko za bančno kartico 4 mesni PIN dovolj, a tam pa ne bodo komplicirali? Za fakin smart TV pa bo potrebno imeti "strong" geslo...

billy ::

Če imaš povsod isto geslo, to potem zgubi pomen.
Če imaš vsa gesla v aplikaciji, je pa res problem prit do vseh gesel.

kow ::

MrStein je izjavil:

Aha, https://moj.a1.si po novem* podpira prijavo s certifikatom. Še eno geslo manj**.


Ce prav pomnim, je simobil vcasih ze podpiral certifikate. Ali pa me je lastni spomin prevaral.

Manu ::

kow je izjavil:

MrStein je izjavil:

Aha, https://moj.a1.si po novem* podpira prijavo s certifikatom. Še eno geslo manj**.


Ce prav pomnim, je simobil vcasih ze podpiral certifikate. Ali pa me je lastni spomin prevaral.

Je podpiral, ja. Ampak ni delalo kot je treba. Ko sem dobil nov certifikat mi ga ni uspelo zamenjat s starim s katerim sem se prijavljal na takratni Si.mobil. Potem se mi ni dalo s tem ukvarjat, pa sem uporabljal samo geslo.
Sredi spečih in nepazljivih je modrec buden in pazljiv -
po poti gre kot hiter konj, ki je prehitel šibko kljuse.

GupeM ::

G-man je izjavil:

To bo veselica predvsem za vse takoimenovane industrijske ali pa medicinske naprave. Zaradi slabih dosedanjih praks bomo sedaj videvali novice obstalih proizvodnjih linij ter klinik zaradi pozabljenih ali slabo hranjenih gesel. Vedno bo na koncu nekje "ključ pod predpražnikom", samo da se ne zaklenejo ven.


billy je izjavil:

Ja, pa listek z vsemi gesli.

V glavnem bollocks je to, človek si ne more zapomniti toliko gesel.

Kako pa je lahko za bančno kartico 4 mesni PIN dovolj, a tam pa ne bodo komplicirali? Za fakin smart TV pa bo potrebno imeti "strong" geslo...

Saj uporabnik si bo še vedno lahko nastavil lažje geslo, če bo hotel. Le default gesla ne bojo smela biti preprosta, ampak bojo morala biti zapisana nekje na napravi/nastavljiva ob prvi prijavi* ...

* pri napravah, kjer je vsaj ena prijava obvezna, da zadeva sploh dela.

MrStein ::

Manu je izjavil:

kow je izjavil:

MrStein je izjavil:

Aha, https://moj.a1.si po novem* podpira prijavo s certifikatom. Še eno geslo manj**.


Ce prav pomnim, je simobil vcasih ze podpiral certifikate. Ali pa me je lastni spomin prevaral.

Je podpiral, ja. Ampak ni delalo kot je treba. Ko sem dobil nov certifikat mi ga ni uspelo zamenjat s starim s katerim sem se prijavljal na takratni Si.mobil. Potem se mi ni dalo s tem ukvarjat, pa sem uporabljal samo geslo.

Imeli so, samo niso posodobili ko je prišel SIGEN-CA G2 in ostali. In posledično skoraj noben nov certifikat ni delal.
Zdaj pa so začeli sigen g2 podpirati.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

starfotr ::

Daj ti pojdi že na smetišče zgodovine s predlogom za uporabo WPS.

Invictus ::

Danes je tehnologija tako daleč, da bi lahko imel povsod logiranje s NFC kartico, ključkom, ipd. in certifikatom. Poleg tega lahko naprave spraviš v ločena omrežja, ločena z varnostno opremo.

Ampak nobenemu, ampak res nobenemu, se ne ljubi ukvarjati z kreiranjem uporabnikov, group in rol. Ali varnostnimi pravili na mreži. No to zadnje malo lažje...

Tehnologija je tam, ampak mora nekdo spisati pravila.

Poznam več primerov, tako v Sloveniji kot tujini, kjer je to bil zadnji korak pred produkcijo, s celo štalo na koncu... Nekaj kar bi moralo biti definirano na začetku in potem nadgrajeno, ko se pojavijo potrebe.

Je pa tudi res, da uporabniki radi letajo okoli kot kure, in se jim je pod častjo prijavljati na razne naprave, ker pač imajo radi dostop do vsega...
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

billy ::

GupeM je izjavil:

G-man je izjavil:

To bo veselica predvsem za vse takoimenovane industrijske ali pa medicinske naprave. Zaradi slabih dosedanjih praks bomo sedaj videvali novice obstalih proizvodnjih linij ter klinik zaradi pozabljenih ali slabo hranjenih gesel. Vedno bo na koncu nekje "ključ pod predpražnikom", samo da se ne zaklenejo ven.


billy je izjavil:

Ja, pa listek z vsemi gesli.

V glavnem bollocks je to, človek si ne more zapomniti toliko gesel.

Kako pa je lahko za bančno kartico 4 mesni PIN dovolj, a tam pa ne bodo komplicirali? Za fakin smart TV pa bo potrebno imeti "strong" geslo...

Saj uporabnik si bo še vedno lahko nastavil lažje geslo, če bo hotel. Le default gesla ne bojo smela biti preprosta, ampak bojo morala biti zapisana nekje na napravi/nastavljiva ob prvi prijavi* ...

* pri napravah, kjer je vsaj ena prijava obvezna, da zadeva sploh dela.


A ne bo tako, da bo tudi uporabnik potem moral vpisati svoje "strong" geslo? ali bo lahko dal 12345678 ?

feryz ::

To me spomni na kabelske modeme, pri katerih nisi mogel sam spremeniti wifi gesla.
Privzeto je bilo v stilu xhJkhTBmkjkij_kdshj.32hnf.
Sem moral k sosedi pomagat, ker je trdila, da ji wifi ne dala.
V resnici niti s sto in več poizkusi ni mogla vpisati pravilnega gesla.

GupeM ::

billy je izjavil:


A ne bo tako, da bo tudi uporabnik potem moral vpisati svoje "strong" geslo? ali bo lahko dal 12345678 ?

Če sem prav razumel, potem gre samo za privzeta gesla.

billy ::

Ah, carji tile angleži :)

MrStein ::

feryz je izjavil:

To me spomni na kabelske modeme, pri katerih nisi mogel sam spremeniti wifi gesla.
Privzeto je bilo v stilu xhJkhTBmkjkij_kdshj.32hnf.
Sem moral k sosedi pomagat, ker je trdila, da ji wifi ne dala.
V resnici niti s sto in več poizkusi ni mogla vpisati pravilnega gesla.

Z WPS bi bil en pritisk na gumb.
Aja, to deluje in je preprosto. Absolutno proti!
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Unchancy ::

Invictus je izjavil:

Support bo 300% zaseden z pozabljeni gesli :)).

No problem. Ravnaš malomarno z geslom? Nova naprava. BDP raste.
Škoda časa za ta režimski forum.
Pobrišite post, iz bunkerja vas že kličejo.
Adijo mod Rdeči Kmeri.

poweroff ::

billy je izjavil:

Ja, pa listek z vsemi gesli.

V glavnem bollocks je to, človek si ne more zapomniti toliko gesel.

Kako pa je lahko za bančno kartico 4 mesni PIN dovolj, a tam pa ne bodo komplicirali? Za fakin smart TV pa bo potrebno imeti "strong" geslo...

Smart card (bančna, SIM) se po x neuspešnih poskusih zaklene. Zato je lahko PIN dolg samo 4 znake in je to varnostno sprejemljivo.

Nadalje... user si lahko vedno nastavi svoje geslo, ki ga "reciklira" od drugod.

Ni pa tako težko narediti sistema, ko moraš med inštalacijo nastaviti geslo (ob prvi uporabi te vpraša za spremembo gesla).

Jaz sem pred kratkim delal eno varnostno analizo... in so bila seveda uporabljena privzeta gesla. Mogoče se nekaterih niti ni dalo spreminjati, tega niti nisem preverjal, ampak dejstvo je, da so bila privzeta.

V pol ure sem prišel do tega, da sem jim lahko onemogočil alarm za vrata, spremenil PIN za vstop v stavbo, onemogočil telefonijo,...

Če bi sistem ob prvi uporabi od uporabnika zahteval, da se geslo spremeni, to ne bi bilo mogoče. Da ne govorim, da za mnogo teh sistemov ni bilo niti updatov več na voljo in so bili highly exploitable.
sudo poweroff

energetik ::

billy je izjavil:

Ja, pa listek z vsemi gesli.

V glavnem bollocks je to, človek si ne more zapomniti toliko gesel.

Kako pa je lahko za bančno kartico 4 mesni PIN dovolj, a tam pa ne bodo komplicirali? Za fakin smart TV pa bo potrebno imeti "strong" geslo...
Samo nekaj bom napisal: Lastpass in Keepass.
Jaz brez tega ne bi preživel... V glavi imam samo 1 izredno močno geslo. Če pozabim ali se mi kaj zgodi, ga imam vtolčenega v kovinsko ploščico in spravljeno na varnem mestu.

PIN od bančne je lahko tako kratek, ker:
- moraš imeti fizično kartico v roki + vedeti PIN
- se po x-napačnih vnosih zaklene

Zgodovina sprememb…

wah-wah2 ::

energetik je izjavil:

Samo nekaj bom napisal: Lastpass in Keepass.

Tocno tole. Pa Enpass je se zraven, po tem, ko se je lastpass povampiril.

billy ::

pa tega SWja mislite da se ne da hacknit, oz kako veste da je 100% safe?

poweroff ::

Nobena stvar ni 100%, sploh če je terminalna naprava okužena. Vseeno pa je to bistveno boljše kot če imaš povsod isto geslo.
sudo poweroff

wah-wah2 ::

billy je izjavil:

pa tega SWja mislite da se ne da hacknit, oz kako veste da je 100% safe?

Omg... ne obremenjuj se s tem softwarjem, ti imej kar billy123 geslo na vseh straneh, ki jih uporabljas. Pusti software. Ne rabis.

energetik ::

billy je izjavil:

pa tega SWja mislite da se ne da hacknit, oz kako veste da je 100% safe?
Praktično nemogoče, razen če ti namestijo keylogerja na PC. Pa še temu se da načeloma izognit z 2-faktorsko identifikacijo, pri Lastpass vpišeš zgenerirano kodo s telefona, pri Keepass imaš dodatni Keyfile npr. na USB ključku, ki ga vtakneš samo pri prijavi.

Je malce zamudno, ampak potem si nagrajen s tem, da imaš lahko prav pri vsaki spletni štacuni, googlu, socialnih omrežjih povsem drugačno, random geslo dolžine magari 70 znakov. V mojem Lastpassu je mislim da že preko 100 vnosov, vsako geslo drugačno. Dejansko se pri vsaki spletni štacuni registriram s svojim spam emailom in zgeneriram novo geslo, oboje se avtomatsko shrani v Lastpass.

Zgodovina sprememb…

wah-wah2 ::

wah-wah2 ::

energetik je izjavil:

Dejansko se pri vsaki spletni štacuni registriram s svojim spam emailom


Tips and tricks:

Jaz tudi za email uporabim vsakic drugega ( truncate8(base64(salt + hash domene kamor se registriram))@mojadomena.com ).

Razlog je, da na tak nacin lahko ugotovim, komu so ukradli ali je prodal email naslove spammerjem in jim potencialno hebem mater.

Drug izredno koristen nacin uporabe je, da ko zacnes dobivat spam, na email serverju account elegantno ukines. Ali dodas nanj poljubno reject sporocilo ("hebem ti mater").

billy ::

energetik, pomeni to je prvi SW ki je 100% safe? Kako pa potem počivalškovega ajfona odklepajo v nemčiji? Saj te nima telefon slabše zaščite, kot nek SW?

poweroff ::

S forenzičnimi orodji. Exploiti, unlimited poskusi,...
sudo poweroff

energetik ::

billy je izjavil:

energetik, pomeni to je prvi SW ki je 100% safe? Kako pa potem počivalškovega ajfona odklepajo v nemčiji? Saj te nima telefon slabše zaščite, kot nek SW?
Kaj je to počivalškov ajfon?

Če se ne motim, se Keepass kriptiranega fajla z gesli praktično ne da zlomit. Ponavadi se napadalci raje gredo social engineering ali pa kakšne keyloggerje, bi rekel.

starfotr ::

MrStein je izjavil:

feryz je izjavil:

To me spomni na kabelske modeme, pri katerih nisi mogel sam spremeniti wifi gesla.
Privzeto je bilo v stilu xhJkhTBmkjkij_kdshj.32hnf.
Sem moral k sosedi pomagat, ker je trdila, da ji wifi ne dala.
V resnici niti s sto in več poizkusi ni mogla vpisati pravilnega gesla.

Z WPS bi bil en pritisk na gumb.
Aja, to deluje in je preprosto. Absolutno proti!


1000x bolj varno in preprosto.

https://qifi.org/

WPS je za na smetišče zgodovine za vse, razen zate.

MrStein ::

Super. Razloži to drugim.

Tačas pa vsi ruterji imajo WPS. Če ti ni všeč, pa se pritoži na sveto trojico.
Jaz ti samo svet opisujem.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

msjr ::

starfotr je izjavil:


1000x bolj varno in preprosto.
https://qifi.org/
WPS je za na smetišče zgodovine za vse, razen zate.

Tole še zdaleč ni varno, če se nahaja v prostoru, kjer imajo dostop tudi tretje osebe. In nekateri imajo desktope/laptope, ni vsak lolek na telefonu.

starfotr ::

MrStein je izjavil:

Super. Razloži to drugim.

Tačas pa vsi ruterji imajo WPS. Če ti ni všeč, pa se pritoži na sveto trojico.
Jaz ti samo svet opisujem.


S tem, da je že pri veliko routerjih privzeto onemogočen WPS, UPnP in tudi Remote administration.

Če folk tipa MrStein kupi router, si valda vse 3 zadeve vklopi, ker to se v letu 2021 rabi.


msjr je izjavil:

starfotr je izjavil:


1000x bolj varno in preprosto.
https://qifi.org/
WPS je za na smetišče zgodovine za vse, razen zate.

Tole še zdaleč ni varno, če se nahaja v prostoru, kjer imajo dostop tudi tretje osebe. In nekateri imajo desktope/laptope, ni vsak lolek na telefonu.


Tretje osebe imajo guest network. In na laptopih/desktopih se uporablja ethernet oz. docking station + laptop + ethernet. Wifi uporabljajo v biznis namene samo neumni.

msjr ::

starfotr je izjavil:

Tretje osebe imajo guest network.

Ga ne rabijo, ker preberejo tvojo QR kodo :D

starfotr je izjavil:

In na laptopih/desktopih se uporablja ethernet oz. docking station + laptop + ethernet. Wifi uporabljajo v biznis namene samo neumni.

Smo govorili pred 20 leti....

Zgodovina sprememb…

  • spremenil: msjr ()

MrStein ::

starfotr je izjavil:

folk tipa MrStein


samo neumni.


Fantek, ko boš imel argumente, se javi. Tačas pa se kar igraj v pesku. (letom navkljub)


Ko pa boš imel v roki moderno napravo, lepo vklopi WiFi scan in se čudi, koliko omrežij ima WPS.
Ne glede koliko tu na forumu bentiš. Ker, ne boš verjel, uporabnikom je čisto vseeno, kaj se en starfotr na nekem forumu benti.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

starfotr ::

Glej vsi, ki dajo kaj nase in na varnost, izklopijo vsaj 3 zadeve (omenjene zgoraj), pa četudi gre za opremo za 20 eur, 200 eur ali 20000 eur.

Unfortunately, WPS is horribly insecure and can be used as a means for attackers to gain access to your network. This is why we disable WPS.


In upoštevajo dobre varnost ne prakse. Kot je tudi takojšnja sprememba privzetega gesla. Oziroma v tem primeru iz novice bo privzeto geslo naključno za vse naprave, kar je edino prav.

GupeM ::

poweroff je izjavil:

Ni pa tako težko narediti sistema, ko moraš med inštalacijo nastaviti geslo (ob prvi uporabi te vpraša za spremembo gesla).

Pri napravah, ki delujejo brez konfiguracije je težje. Recimo router priklopiš v omrežje in ponavadi dela. Brez da bi se vpisal v administracijski GUI. Zato imajo novejši routerju unikatno default geslo napisano na routerjih.

Če pa naprava rabi neko osnovno konfiguracijo, potem pa seveda lahko še vpraša za geslo.

Kar se tiče password managerjev, bi pa omenil še Bitwarden. Lahko celo self-hosted. Meni je super. Poleg gesel lahko shraniš tudi kreditne kartice, kopije dokumentov, secret note. Res fina zadeva.

Zgodovina sprememb…

  • spremenil: GupeM ()

poweroff ::

Router bi lahko imel captive portal ob prvi uporabi...
sudo poweroff

GupeM ::

poweroff je izjavil:

Router bi lahko imel captive portal ob prvi uporabi...

Ampak to je dodatna nevšečnost za userja. Medtem ko geslo napisano na routerju pač ni.

Plus marsikdo ne bi vedel kaj naj zdaj s tistim portalom.

Zgodovina sprememb…

  • spremenil: GupeM ()
«
1
2


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Evropski parlament za izdelke z daljšo življenjsko dobo (strani: 1 2 3 4 5 )

Oddelek: Novice / Industrijska lastnina
20270248 (64878) nurmaln
»

Evropska komisija razširja protimonopolno preiskavo Googla zaradi Androida

Oddelek: Novice / Avtorsko pravo
4516698 (15037) čuhalev
»

Sony še vedno na udaru (strani: 1 2 3 )

Oddelek: Novice / Varnost
13126728 (24368) ABX
»

Napadi na Sonyjeve storitve se nadaljujejo (strani: 1 2 )

Oddelek: Novice / Varnost
6615694 (13578) zdravcc
»

Trusted computing, film (strani: 1 2 3 )

Oddelek: Novice / Avtorsko pravo
11915088 (10434) para!

Več podobnih tem