Bár rengeteg nagyon jó, alapvető kérdéseket boncolgató írása van Jakob Nielsennek, néha azt érzem, hogy nem tud mit írni usability témában, és ezért dobál be egy-két hülye ötletet a hírlevelébe. Hogy legyen mit rágcsálni. Ja, most én is ezt fogom tenni pár bekezdésben.
Legutóbbi írása arról szól, hogy tök hülyeség maszkolni a jelszavakat a weboldalakon. Érvelése szerint azért lenne jó, ha a webszájtok nem bújtatnák el csillagok mögé a jelszavainkat, mert ezzel a módszerrel csak azt lehet elérni, hogy a felhasználók - félve az elgépeléstől - gyenge jelszavakat fognak megadni. Ráadásul szerinte költséges is a maszkolás. (LOL.)
Azt Nielsen is elismeri, hogy banki szolgáltatásoknál, vagy olyan élethelyzetekben, amikor mások is láthatják a kijelzőt, érdemes maszkolni a jelszavakat. (Btw, banki szolgáltatások esetén a felhasználónevet sem árt maszkolni.)
Igen, pont ez az. A laptopok korában sokkal többször kerülünk olyan helyzetbe, amikor másik is látják vagy láthatják a kijelzőt, miközben belépünk egy szájtra. Vagyis a jelszavak maszkolása nagyon is fontos. A gyenge jelszavakat pedig úgy lehet elkerülni, hogy a szolgáltató jelzi a felhasználónak, hogy az általa megadott jelszó nem elég "erős". És nem úgy, hogy feloldjuk a maszkolást.
Az emberek hozzászoktak, hogy az ATM-ben és a webes regisztrációknál is kitakarják a PIN-kódot, jelszavakat. És ezen a szokáson változtatni életveszélyes lehet egy olyan szolgáltatónak, mely komolyan gondolja az adatbiztonságot és a felhasználói bizalmat.
Másrészt a maszkolásnak az az üzenete, hogy az adott jelszót más nem láthatja: csak én, aki azt megadtam. Vagyis a maszkolásnak van egy olyan jelentéstöbblete, amit nem lenne szerencsés megváltoztatni. Hiszen ha felfednénk a csillagokat, sok, maszkoláshoz szokott netező azt gondolná, hogy hirtelen publikus lett a jelszavuk.
A jelszómaszkolás tehát biztonságérzetet, valamint valós védelmet is ad az illetéktelen nézelődőkkel szemben. Aki pedig nem maszkolja szolgáltatásában a jelszómezőt, az magára vessen, és ne csodálkozzon, ha masszív népharaggal találja szembe magát.
Kamela 2009.06.24. 18:01:29
ne haragudj meg, de ez tényleg csak arra való :)
Én követném a linux shell politikáját. Miért kellenek egyáltalán a csillagok? Azért, hogy tudjam hanyadik karakternél járok? Ezt nem gondolhatja senki komolyan. És pont itt jön képbe az, hogy amikor valaki látja a monitorom, azt is láthatja hány karakteres jelszót használok. Ha tudom, hogy csak 4 karakter, akkor tudom, hogy van esélyem.
Asszem 2009.06.24. 18:06:59
A megoldás egyébként roppant egyszerű: a böngészőkbe kéne beépíteni egy olyan lehetőséget, miszerint a jelszavakat maszkolva jelenítse meg, vagy sem. Mert otthon én még a KeePass-on is néha kikapcsolom a maszkolást, amikor hetedszerre sem sikerül pontosan leírnom a jelmondatom.
Egyébként én úgy gondolom, hogy ez az egész jelszó-mint-azonosítás módszer a nagyon közeli jövőben el fog tűnni, és átveszi a helyét egy usb/wireless/mobilban lévő biometrikus valami, amely automatiusan azonosít minket, de csak minket, tehát mondjuk a technikai eszköz csak akkor működik kulcsként, ha azt a hozzá tartozó biometriai paraméterekkel megfelelő ember használja.
Valamint bízom benne, hogy ahogy a böngészőkben megjelentek az Inkognitó módok, úgy a jövőben amikor leülünk a net elé, eldönthetjük, hogy milyen identitásunkat használjuk, és onnantól fogva azonosítva leszünk, nem pedig külön-külön kell majd az egyes szolgáltatásoknál jelszóval és felhasználói névvel szenvednünk. 2012-15 között fog megjelenni, és 2020-ra általános lesz. Gondolom. (Remélem már korábban is :D)
kollinz · http://twitter.com/kollinz 2009.06.24. 18:18:36
charlie 2009.06.24. 18:31:29
de az átlag usernek kell, hogy legalább azt lássa, hogy mennyit ütött be.
ern0 · http://linkbroker.hu/ 2009.06.24. 18:47:30
1. Csak az utolsó betű látszik, a többi csillag. Esetleg: az utolsó betű csak egy kis ideig látszik, aztán timeout után ő is csillag lesz (mint Deák Bill Gyula).
Előnye: látod is, nem is.
Hátránya: aki végignézi, az látja az egészet.
Terület: ahol mozgásban vagy (tehát nehezen állnak mögéd), de/ezért könnyen félregépelsz: PDA, telefon. Ja, látom a kommentek közt, iPhone-on is ez van.
2. Show password checkbox
Alapból csillagok vannak, de van egy checkbox, amit ha beikszelsz, láthatóvá válik a password. Opcionálisan timeout-ra visszamehet csillagba.
Előny: egyszerű, egyértelmű.
Hátrány: nincs.
Alkalmazási terület: bárhol.
3. Ábra hash - Lotus Notes
A jelszó mellett látszik egy ábra, ábrakombináció. Pl. kacsa, kacsa, tücsök, ló. Amint leütsz egy billentyűt a jelszóból, ez az ábrasor "újraszámolódik". Ugyanazon karaktersorhoz mindig ugyanaz az ábrasor tartozik (hash), de ugyanaz az ábrasor tartozhat más karaktersorhoz is, szóval az ábrából nem lehet visszafelé kitalálni a jelszót. Szóval "abc"-> ló, ló, méhecske, katica, "abcd" -> kacsa, pingvin, ló, katica - anélkül "látod" a jelszót, hogy a betűket látnád.
Előnye: nem látszik, mit írtál be, csak azt, hogy jó-e. Nem próbálsz bejelentkezni rossz jelszóval, mert az enter lenyomása előtt látod már, ha rossz.
Hátránya: remélem, patent védi.
Terület: bárhol, ahol van egy kis hely ábrára.
Bakker, ingyen osztom nektek itt az észt, mekkora ász lehetnék odakint! :-)
Horváth János · http://horvathjanos.inda.hu/ 2009.06.24. 19:03:41
trixilw 2009.06.24. 19:45:50
Bár a billentyűzetleolvasóktól ezek semmi sem érnek ám...
2009.06.24. 19:51:29
vagy random 1-4 csillagot kirakni karakterenként.
de a legjobb lenne ha nemlenne.
Tgr 2009.06.24. 19:54:06
Aki banki szolgáltatást olyan élethelyzetben használ, ahol mások is láthatják a kijelzőt, az megérdemli, hogy lelopják az összes pénzét. Ha azt hiszed, hogy a csillagozás bármi védelmet jelent az ellen, hogy leolvassák a jelszavadat, nagyon el vagy tévedve. Egyszerűen nézik a kezedet, ahogy begépeled. (Ettől persze még butaság nem maszkolni. Főleg hogy egyes böngészők kényelmi funkcióként eleve kitöltik a jelszó mezőt.)
_original 2009.06.24. 19:54:18
Tgr 2009.06.24. 19:59:49
Tgr 2009.06.24. 20:03:09
is 2009.06.24. 20:38:14
ennél már csak az a szebb, ha még meg is kell változtatni időközönként, és nem egyforma időközönként. valamint hogy egyik helyen elég 1 számjegy, de van ahol kettőt kérnek (pl. magyarország.hu ügyfélkapu).
tehát ma, amikor legalább 20 helyen kérnek jelszót, az erős jelszóval csak azt érik el, hogy egyetlen egy jelszót használsz mindenhová. ez pedig minden, csak nem biztonság.
_akos 2009.06.24. 20:58:32
Gyulus 2009.06.24. 21:29:16
ytg 2009.06.24. 21:56:46
fraki 2009.06.24. 23:09:55
És nem, nem lesz általános a biometrikus baszkolódás (prémium biztonsági rendszereknél lesz, de ott már most is van), mert gyarkan egy jelszót többen használnak, és az is előfordul, hogy a jelszót át kell adni egy segítőnek, mint ahogy ez velem is megesik néha.
O'Seamus · http://www.hhanuman.blogspot.com/ 2009.06.24. 23:33:31
nna, inkább h tudjon mivel játszani a nép, itt egy jelszóerősségmérő: www.passwordmeter.com/ lehet tesztelni meg újakat kieszelni.
Bezlapat 2009.06.24. 23:52:01
GYUSZI BACSI · http://www.fizetesem.com 2009.06.25. 00:02:06
JonC 2009.06.25. 00:11:25
JonC 2009.06.25. 00:13:38
tetra · http://unsigned.freeblog.hu/ 2009.06.25. 08:41:13
2009.06.25. 09:43:41
Fjulia · http://mobiltippek.wordpress.com 2009.06.25. 15:50:28
tetra · http://unsigned.freeblog.hu/ 2009.06.26. 08:06:44
atleta.hu · http://www.atleta.hu 2009.06.27. 00:03:12
A normal website-ok szerencsere nem ilyen idiotak, sot nemelyik (pl. google cuccok) egeszen okos: nehany hibazas utan kapsz egy CAPTCHA-t is, ami a legtobb automatizalt jelszotorot megallitja vagy legalabbis lelassitja.
atleta.hu · http://www.atleta.hu 2009.06.27. 00:11:40
Ez nem eleg. Legyen veletlen szeruen generalt. A m4csK4 pl. egyaltalan nem eros jelszo.
> namost ha elég bonyolultat választasz, akkor onnantól
> garantáltan MINDENÜTT ugyanazt fogod használni.
Azert ennel mar elorebb tart a tudomany: kitalaltak jo ideje a jelszotarolo szoftvereket. Eleg egy generalt (!) jelszot megjegyezni, a tobbit az ebbol a jelszobol eloallitott kulccsal titkositott adatbazisban eltarolja neked a szoftver. Ugye ez pl. a bongeszokbe is be van epitve, de van mobilos valtozat is (shameless plug: freesafe.sf.net ;) )
> ennél már csak az a szebb, ha még meg is kell
> változtatni időközönként, és nem
Ezzel viszont baromi jol keresztbe lehet tenni _mindenfele_ megoldasnak, mert hiaba hasznal az ember jelszotarolot meg random jelszot, ha akar csak 2-3 havonta meg kell valtoztatni a jelszavakat es eleg sok helyen, akkor rossz esetben 1-2 hetente vagy akar nehany naponta ezzel kene pocsetlenkedni. Es ezt mar szinte biztos, hogy nincs az a balek, aki bevallalja. Meg ha esetleg lenne valami szabvanyos API amivel a jelszotarolo alkalmazasok automatikusan meg tudnak valtoztatni a jelszot, ha az lejart, akkor meg azt mondom, hogy van valami ertelme. De az igazi azert az lenne, ha a necces helyeken (pl. bank) midenutt egyszer hasznalatos jelszot (avagy secure tokent) hasznalnanak. Ezzel a feladattal szinten siman megbirkozik egy mobiltelefon. Amellett, hogy novelhetek a biztonsagot meg kenyelmesebbe es valna a dolog, ami eleg fontos, mert a biztonsagot altalaban pont a kenyelmetlenseg miatt szoktak bealdozni a juzerek :(.
Kow 2009.07.03. 16:14:12
Itt-ott vannak tárolva titkosított partíciókon és CTRL-C CTRL-V.
Paranoid-e vagyok?
Celtic 2009.07.04. 09:51:42
Celtic 2009.07.04. 09:56:37
A duhito, hogy csak szam/kisbetu/nagyetu lehet, teht vesszo, pont, egyeb irasjel nem, pedig az tenyleg dobna a biztonsagon. Meg a harom utan letiltas: tiltana ki egy orara, egy napra, de ne kelljen mar azert bemennem, hogy feloldjam....
Celtic 2009.07.04. 10:02:13