Miért maszkoljuk a jelszavakat?

Bár rengeteg nagyon jó, alapvető kérdéseket boncolgató írása van Jakob Nielsennek, néha azt érzem, hogy nem tud mit írni usability témában, és ezért dobál be egy-két hülye ötletet a hírlevelébe. Hogy legyen mit rágcsálni. Ja, most én is ezt fogom tenni pár bekezdésben.

Legutóbbi írása arról szól, hogy tök hülyeség maszkolni a jelszavakat a weboldalakon. Érvelése szerint azért lenne jó, ha a webszájtok nem bújtatnák el csillagok mögé a jelszavainkat, mert ezzel a módszerrel csak azt lehet elérni, hogy a felhasználók - félve az elgépeléstől - gyenge jelszavakat fognak megadni. Ráadásul szerinte költséges is a maszkolás. (LOL.)

Azt Nielsen is elismeri, hogy banki szolgáltatásoknál, vagy olyan élethelyzetekben, amikor mások is láthatják a kijelzőt, érdemes maszkolni a jelszavakat. (Btw, banki szolgáltatások esetén a felhasználónevet sem árt maszkolni.)

Igen, pont ez az. A laptopok korában sokkal többször kerülünk olyan helyzetbe, amikor másik is látják vagy láthatják a kijelzőt, miközben belépünk egy szájtra. Vagyis a jelszavak maszkolása nagyon is fontos. A gyenge jelszavakat pedig úgy lehet elkerülni, hogy a szolgáltató jelzi a felhasználónak, hogy az általa megadott jelszó nem elég "erős". És nem úgy, hogy feloldjuk a maszkolást.

Az emberek hozzászoktak, hogy az ATM-ben és a webes regisztrációknál is kitakarják a PIN-kódot, jelszavakat. És ezen a szokáson változtatni életveszélyes lehet egy olyan szolgáltatónak, mely komolyan gondolja az adatbiztonságot és a felhasználói bizalmat.

Másrészt a maszkolásnak az az üzenete, hogy az adott jelszót más nem láthatja: csak én, aki azt megadtam. Vagyis a maszkolásnak van egy olyan jelentéstöbblete, amit nem lenne szerencsés megváltoztatni. Hiszen ha felfednénk a csillagokat, sok, maszkoláshoz szokott netező azt gondolná, hogy hirtelen publikus lett a jelszavuk.

A jelszómaszkolás tehát biztonságérzetet, valamint valós védelmet is ad az illetéktelen nézelődőkkel szemben. Aki pedig nem maszkolja szolgáltatásában a jelszómezőt, az magára vessen, és ne csodálkozzon, ha masszív népharaggal találja szembe magát.

Címkék: usability biztonság jelszó
2009.06.24. 17:20. írta: hírbehozó

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

"Hogy legyen mit rágcsálni"

ne haragudj meg, de ez tényleg csak arra való :)
Én követném a linux shell politikáját. Miért kellenek egyáltalán a csillagok? Azért, hogy tudjam hanyadik karakternél járok? Ezt nem gondolhatja senki komolyan. És pont itt jön képbe az, hogy amikor valaki látja a monitorom, azt is láthatja hány karakteres jelszót használok. Ha tudom, hogy csak 4 karakter, akkor tudom, hogy van esélyem.
Erre írja Nielsen, hogy a régi gyökerekkel nehéz szakítani, márpedig az, hogy a maszkolás biztonságérzetet ad, valóban ilyen régi gyökér.

A megoldás egyébként roppant egyszerű: a böngészőkbe kéne beépíteni egy olyan lehetőséget, miszerint a jelszavakat maszkolva jelenítse meg, vagy sem. Mert otthon én még a KeePass-on is néha kikapcsolom a maszkolást, amikor hetedszerre sem sikerül pontosan leírnom a jelmondatom.

Egyébként én úgy gondolom, hogy ez az egész jelszó-mint-azonosítás módszer a nagyon közeli jövőben el fog tűnni, és átveszi a helyét egy usb/wireless/mobilban lévő biometrikus valami, amely automatiusan azonosít minket, de csak minket, tehát mondjuk a technikai eszköz csak akkor működik kulcsként, ha azt a hozzá tartozó biometriai paraméterekkel megfelelő ember használja.

Valamint bízom benne, hogy ahogy a böngészőkben megjelentek az Inkognitó módok, úgy a jövőben amikor leülünk a net elé, eldönthetjük, hogy milyen identitásunkat használjuk, és onnantól fogva azonosítva leszünk, nem pedig külön-külön kell majd az egyes szolgáltatásoknál jelszóval és felhasználói névvel szenvednünk. 2012-15 között fog megjelenni, és 2020-ra általános lesz. Gondolom. (Remélem már korábban is :D)
az mondjuk valós probléma, hogy a mobileszközöknél nagyobb esély van az elgépelésre, és ez frusztrációhoz vezet. az iphone-nál szépen megoldották szvsz, hogy a jelszónál a legutóbb beírt karakter mindig látszik.
@Kamela: Az a jó, mikor pl. 3 karakterenként rak csillagot (KDE) :)

de az átlag usernek kell, hogy legalább azt lássa, hogy mennyit ütött be.
Hogyan lehet valaki usability szakértő, ha soha a büdös életben nem látott Lotus Notes-t, de még PDA-t sem?!

1. Csak az utolsó betű látszik, a többi csillag. Esetleg: az utolsó betű csak egy kis ideig látszik, aztán timeout után ő is csillag lesz (mint Deák Bill Gyula).

Előnye: látod is, nem is.
Hátránya: aki végignézi, az látja az egészet.
Terület: ahol mozgásban vagy (tehát nehezen állnak mögéd), de/ezért könnyen félregépelsz: PDA, telefon. Ja, látom a kommentek közt, iPhone-on is ez van.

2. Show password checkbox

Alapból csillagok vannak, de van egy checkbox, amit ha beikszelsz, láthatóvá válik a password. Opcionálisan timeout-ra visszamehet csillagba.

Előny: egyszerű, egyértelmű.
Hátrány: nincs.
Alkalmazási terület: bárhol.

3. Ábra hash - Lotus Notes

A jelszó mellett látszik egy ábra, ábrakombináció. Pl. kacsa, kacsa, tücsök, ló. Amint leütsz egy billentyűt a jelszóból, ez az ábrasor "újraszámolódik". Ugyanazon karaktersorhoz mindig ugyanaz az ábrasor tartozik (hash), de ugyanaz az ábrasor tartozhat más karaktersorhoz is, szóval az ábrából nem lehet visszafelé kitalálni a jelszót. Szóval "abc"-> ló, ló, méhecske, katica, "abcd" -> kacsa, pingvin, ló, katica - anélkül "látod" a jelszót, hogy a betűket látnád.

Előnye: nem látszik, mit írtál be, csak azt, hogy jó-e. Nem próbálsz bejelentkezni rossz jelszóval, mert az enter lenyomása előtt látod már, ha rossz.
Hátránya: remélem, patent védi.
Terület: bárhol, ahol van egy kis hely ábrára.

Bakker, ingyen osztom nektek itt az észt, mekkora ász lehetnék odakint! :-)
Némileg off, de én nagyon szoktam anyázni amikor visszajön egy-egy regisztráció visszaigazoló emailben kódolatlanul a megadott jelszavam. Az lenne az alap, hogy a szolgáltató is egyirányú titkosítással tárolja.
Én azért a honlapjaim admin felületén nagyon is örülök neki, hogy kódolatlanul jelenik meg az a 200 jelszó. De az tényleg más tészta. Egyébként macOs terminal is a legegyszerűbb: gépelsz, de semmi nem történik, majd nyomsz egy entert.
Bár a billentyűzetleolvasóktól ezek semmi sem érnek ám...
@Kamela: Miért kellenek egyáltalán a csillagok?

vagy random 1-4 csillagot kirakni karakterenként.
de a legjobb lenne ha nemlenne.
"banki szolgáltatásoknál, vagy olyan élethelyzetekben, amikor mások is láthatják a kijelzőt, érdemes maszkolni a jelszavakat"

Aki banki szolgáltatást olyan élethelyzetben használ, ahol mások is láthatják a kijelzőt, az megérdemli, hogy lelopják az összes pénzét. Ha azt hiszed, hogy a csillagozás bármi védelmet jelent az ellen, hogy leolvassák a jelszavadat, nagyon el vagy tévedve. Egyszerűen nézik a kezedet, ahogy begépeled. (Ettől persze még butaság nem maszkolni. Főleg hogy egyes böngészők kényelmi funkcióként eleve kitöltik a jelszó mezőt.)
... viszont másrészről meg ha erős jelszót kérsz, akkor meg azért hőbörögnek a userek, hogy már miért ne használhatnák az ő saját szuverén jelszavukat. paff.
@ern0: "Ugyanazon karaktersorhoz mindig ugyanaz az ábrasor tartozik" - ez így triviálisan bruteforceolható (még akkor is, ha a usernévből + jelszóprefixből együtt generálsz hash-t), ötletes, de komoly védelemre teljesen alkalmatlan dolognak tűnik. Persze kritikus fontosságú azonosításra csak jelszót használni már önmagában WTF.
@_original: a usereknek meg is kell jegyezni a jelszavukat, és mivel az emberi agy ilyen irányú kapacitásai erősen korlátosak, igencsak fontos szolgáltatásnak kell lenned ahhoz, hogy a kedvedért hajlandóak legyenek megjegyezni egy újabbat. Ha nem az vagy, az erős jelszó megkövetelésével magadat lövöd lábon. (A monitorra postitolt, kis-, nagybetűt, számot és egyéb írásjelet is tartalmazó jelszó lényegesen kevésbé biztonságot, mint a fejben tartott csak betűből álló.)
igen, az erős jelszóval van némi probléma: ugye legyen benne szám, meg nagybetű. namost ha elég bonyolultat választasz, akkor onnantól garantáltan MINDENÜTT ugyanazt fogod használni. ha egy helyen vletlenül feltörik (akár brute force, akár social engineering, akármi miatt), onnantól mindenhová be tudnak menni.

ennél már csak az a szebb, ha még meg is kell változtatni időközönként, és nem egyforma időközönként. valamint hogy egyik helyen elég 1 számjegy, de van ahol kettőt kérnek (pl. magyarország.hu ügyfélkapu).

tehát ma, amikor legalább 20 helyen kérnek jelszót, az erős jelszóval csak azt érik el, hogy egyetlen egy jelszót használsz mindenhová. ez pedig minden, csak nem biztonság.
Maszkolatlan jelszónál a böngésző által mentett jelszó hogy jelenne meg? Erre gondolt valaki?
@Horváth János: Abból hogy, kódolatlanul visszaküldi a program a regisztrált jelszavadat, a legkevésbé sem következik, hogy kódolatlanul is tárolja. Hiszen amikor elküldöd a kitöltött űrlapot, a program legenerálja az emlékeztető/aktiváló emailt a megadott adataiddal, majd kódolja a kódolnivalót, és eltárolja az adatbázisban.
@Horváth János: bezzeg, ha kódolva jönne vissza :)
Ha belegondolok, mennyi értelme van egy olyan karriernek, melyben ilyen faszságokról kell szöveget gyártani...

És nem, nem lesz általános a biometrikus baszkolódás (prémium biztonsági rendszereknél lesz, de ott már most is van), mert gyarkan egy jelszót többen használnak, és az is előfordul, hogy a jelszót át kell adni egy segítőnek, mint ahogy ez velem is megesik néha.
jajjj... ez gáz.
nna, inkább h tudjon mivel játszani a nép, itt egy jelszóerősségmérő: www.passwordmeter.com/ lehet tesztelni meg újakat kieszelni.
@O'Seamus: elég butus. pl. 123456789Ab 100%??? wtf.
van amikor egy karakterhez 4*-ot vagy x-et is beír a sorba, az miért jó?
@ern0: eddig nem tudtam, hogy miért van az a változó ábra Notes loginnál, köszi, hogy felvilágosítottál a működéséről! Amúgy hozzátenném, hogy a pass beírásánal a *-ok se annyi karaktert jelölnek a fent említett programnál amennyit leütsz :)
ez a Jakob meg (akiről a post szól) egy inkompetens idióta, kábé annyi szakértelem szorult az ötletébe, mint amennyi egy általam írt új agysebészeti eljárás leírásába szorulna.
A linuxos shell mekkora egy rakás szar. Nem tudom, hogy egyáltalán leütöttem-e billentyűt...
@tetra: akkor nem a shellel van baj...
Úgy látom, nemcsak én nem értem az összefüggést az eredeti cikk mondatai között. Nemtudom, hogy jutott Jakob Nielasen ezekre a következtetésekre, de nekem is kell abbóla szerből. :)
A jelszo kitakarasanal sokkal nagyobb baj van a legtobb banki meg egyeb biztonsagparas alkalmazassal: valami balfek egyszre kitalalta, hogy harmat lehet probalkozni - talan azert mert annyi a magyar igazsag - aztan utana megszivod. Na most az eros jelszoban jo esellyel van kis- es nagybetu meg mindenfele irasjel, amiket a shift hasznalata miatt relativ konnyu elgepelni (hogy a magyar/angol kiosztas atvaltasarol mar ne is beszeljunk). Ha ehhez hozzavesszuk a masik agyremet a periodikus jelszovaltoztatast, akkor egeszen biztosak lehetunk benne, hogy alig lesz felhasznalo aki eros jelszot hasznal. Bovebben: blog.atleta.hu/2008-11-21-3Password.html :)

A normal website-ok szerencsere nem ilyen idiotak, sot nemelyik (pl. google cuccok) egeszen okos: nehany hibazas utan kapsz egy CAPTCHA-t is, ami a legtobb automatizalt jelszotorot megallitja vagy legalabbis lelassitja.
@is: > ugye legyen benne szám, meg nagybetű.

Ez nem eleg. Legyen veletlen szeruen generalt. A m4csK4 pl. egyaltalan nem eros jelszo.

> namost ha elég bonyolultat választasz, akkor onnantól
> garantáltan MINDENÜTT ugyanazt fogod használni.

Azert ennel mar elorebb tart a tudomany: kitalaltak jo ideje a jelszotarolo szoftvereket. Eleg egy generalt (!) jelszot megjegyezni, a tobbit az ebbol a jelszobol eloallitott kulccsal titkositott adatbazisban eltarolja neked a szoftver. Ugye ez pl. a bongeszokbe is be van epitve, de van mobilos valtozat is (shameless plug: freesafe.sf.net ;) )

> ennél már csak az a szebb, ha még meg is kell
> változtatni időközönként, és nem

Ezzel viszont baromi jol keresztbe lehet tenni _mindenfele_ megoldasnak, mert hiaba hasznal az ember jelszotarolot meg random jelszot, ha akar csak 2-3 havonta meg kell valtoztatni a jelszavakat es eleg sok helyen, akkor rossz esetben 1-2 hetente vagy akar nehany naponta ezzel kene pocsetlenkedni. Es ezt mar szinte biztos, hogy nincs az a balek, aki bevallalja. Meg ha esetleg lenne valami szabvanyos API amivel a jelszotarolo alkalmazasok automatikusan meg tudnak valtoztatni a jelszot, ha az lejart, akkor meg azt mondom, hogy van valami ertelme. De az igazi azert az lenne, ha a necces helyeken (pl. bank) midenutt egyszer hasznalatos jelszot (avagy secure tokent) hasznalnanak. Ezzel a feladattal szinten siman megbirkozik egy mobiltelefon. Amellett, hogy novelhetek a biztonsagot meg kenyelmesebbe es valna a dolog, ami eleg fontos, mert a biztonsagot altalaban pont a kenyelmetlenseg miatt szoktak bealdozni a juzerek :(.
Az érzékeny oldalakon olyan jelszót használok, amit még én sem tudok, azért az elég komoly védelem :D

Itt-ott vannak tárolva titkosított partíciókon és CTRL-C CTRL-V.

Paranoid-e vagyok?
@Bezlapat: 100%, mert csak brute-force modszerrel tenyleg nagyon sokaig tart.
@atleta.hu: szoszerint. Evente jarok a bankba, de csak azert, hogy reseteltessem az uj jelszot...Most mar azt csinalom: haromhavonta valtas, akkor atirom es belepve vissza a regit.
A duhito, hogy csak szam/kisbetu/nagyetu lehet, teht vesszo, pont, egyeb irasjel nem, pedig az tenyleg dobna a biztonsagon. Meg a harom utan letiltas: tiltana ki egy orara, egy napra, de ne kelljen mar azert bemennem, hogy feloldjam....
@atleta.hu: Olvastam a linket. Szinten CIB es szorol szora egyetertek. Az a harom nagyon keves es utana sem kozli, hogy "menj a bankba, marha". Meg a jelszovaltas periodikusan :( tiz eve lehetett ertelme, amikor mondjuk max. 8 karakter lehetett egy jelszo, de ma????