Перейти к содержанию

Можно ли использовать эмодзи в паролях? | Блог Касперского


Рекомендуемые сообщения

Пароли никто не любит. Их долго вводить, трудно запоминать, а все эти условия «нужны цифра, буква в верхнем регистре и рог единорога» делают задачу создания пароля еще сложнее. Но если использовать везде один и тот же пароль или ограничиваться простыми короткими паролями, вас рано или поздно взломают. Как сочетать удобство ввода, запоминаемость и стойкость ко взлому? Интересный, хотя и неоднозначный способ — использовать в пароле эмодзи, те самые смайлики 😁 и прочие значки 🔐, которые мы щедро рассыпаем в чатах и постах в соцсетях.

В современных компьютерах и смартфонах эмодзи — такие же полноправные символы, как буквы национальных алфавитов или типографские знаки. Они входят в стандарт Unicode (по ссылке можно посмотреть все стандартизованные эмодзи), поэтому их теоретически можно использовать в любых текстах, включая пароли.

Чем хороши эмодзи в паролях?

Эмодзи очень много, поэтому пароль может быть вдвое короче. Когда злоумышленники пытаются подобрать пароль из букв, цифр и знаков пунктуации, для каждого символа пароля им нужно перепробовать менее сотни вариантов. Но стандартизованных эмодзи в Unicode более 3600, и, если в пароль добавить смайлик, то для каждого знака придется перебрать уже около 3700 вариантов. Так что по сложности подбора пароль из пяти разных смайлов эквивалентен обычному паролю из девяти символов, а семь эмодзи — вспомним комбинаторику — тянут уже на серьезный пароль из 13 «обычных» символов.

Некоторые новые эмодзи из стандарта Unicode

Некоторые новые эмодзи из стандарта Unicode

Эмодзи проще запоминать. Вместо бессмысленной мешанины букв и цифр можно составить логичное предложение и создать на его основе ребус из эмодзи. Для этого можно воспользоваться Яндекс.Переводчиком на эмодзи или чатботом, например ChatGPT.

 

Посмотреть статью полностью

Ссылка на сообщение
Поделиться на другие сайты

Осспаде, как же плохо у Стана. Серьёзно, откуда он? Почему его постоянно публикуют?

 

Quote

Эмодзи очень много, поэтому пароль может быть вдвое короче.

Почему вдвое? Смотри, Стан: 🏳️‍🌈 Это флаг ЛГБТ. Он занимает не 2 символа. Смотрим: https://emojipedia.org/rainbow-flag#technical

  • первые 2 символа юникода - это белый флаг
  • ещё один символ юникода - это технический символ, который связывает воедино то, что справа и слева от него
  • последний символ юникода - радуга

Итого длина не 2, а 4. Но и это ещё не всё. Если считать в байтах, то ещё больше. Мы знаем, что UTF-8 (говорим "юникод", подразумеваем "utf-8" - любого спроси) кодируется переменной длиной от одного до четырёх байт на символ. В смысле в UTF-8 один символ может занимать как 1 байт, так и 4 байта. К примеру буква "ф" (русская, маленькая) в UTF-8 будет занимать 2 байта. Желающие могут вооружиться тем же Питоном и проверить:

 

len('ф') # длина строки
1
len(bytearray('ф', 'utf-8')) # длина в байтах
2

 

Так при этом кириллица стоит не так, чтобы далеко от начала utf-8 - это таблица символов и чем дальше от нулевого символа, тем больше будет длина в байтах на символ. А вот перечисленные выше символы стоят дальше и, потенциально, могут занимать больше байтов на символ. Но сколько?

 

len('🏳️‍🌈')
4
len(bytearray('🏳️‍🌈', 'utf-8'))
14

 

Итого на 4 символа юникода пришлось 14 байт!

 

То есть как не считай, не бьётся твоё утверждение с "вдвое". Ни по байтам, ни по символам. Но это ладно, это я тебе прощаю. Важно тут совсем другое. Смотри какая штука:

Screenshot_20231027_195509.thumb.png.d021e64f881575ea819f7404698472dd.png

Это всё - один и тот же символ. Но где-то он отображается как один флаг, а где-то - как белый флаг и радуга (символ склейки не отображается визуально вовсе). Разные программы по-разному рисуют символ, потому что где-то уже есть новый набор, где-то ещё нет. А ведь это всё у меня в пределах одной ОС на одном компе. В итоге высока вероятность, что пользователь будет вводить символ флага в одном приложении и будет его видеть. А потом в другом и получит 2 символа (визуально). И обалдеет, и будет переживать и не будет понимать, что всё в порядке, просто другое приложение ещё не имеет нужной версии либы с эмодзи. И пойдём дальше. Где-то введёт беременного мужика, а в другом месте этот символа ни одним изображением, ни тремя - не будет. И что делать?

 

И даже это ещё не всё, но этого уже достаточно для того, чтобы не использовать эмодзи. Вторая проблема в том, что хоть эмодзи закодирован пятью символами, хоть сотней - вообще пофигу, т.к. для хранения используется хеш. Важно то, что один эмодзи - это всё равно один символ. И когда эмодзи будут популярны, их точно также будут использовать для создания радужных таблиц. И этот ЛГБТ флаг всё равно будет равен одному символу пароля. Эмодзи - это просто ещё один алфавит и воспринимать его надо именно так.

 

И, учитывая эти две проблемы (возможное отсутствие нужного эмодзи в приложении и 1 эмодзи = 1 символ), по-прежнему лучшим вариантом использовать символы из других алфавитов в пароле. Добавление в пароль пары кириллических символов и пары символов с умляутами из немецкого - это и безопаснее, и работает почти везде (не работает только в совсем уж древнющем ПО) и остаётся понятным. Вон, разбавь пароль армянским и грузинским алфавитом - полезнее будет, чем эмодзи.

 

Ну и да, твоё "Эмодзи труднее вводить". https://emojipedia.org/ Пиши название и копируй. Не надо с альтом ничего тыкать. Это раз. Во всех популярных ОС есть emoji picker (то есть программа, где можно тыкать мышкой в таблицу с эмодзи и он будет копироваться). Это два. Ты опять не шаришь - это три.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Среди регулярно звучащих обвинений в адрес корпорации Google одно особенно тревожит пользователей — компания может следить за местоположением всех владельцев Android-смартфонов (и отчасти Apple-смартфонов). Предыдущий опыт подсказывает, что Google действительно это делает, не только применяя эти данные для показа рекламы, но и сохраняя их в виде истории перемещений и даже выдавая их правоохранительным органам. Теперь Google обещает, что история местоположений будет храниться только на устройстве. Верим?
      Что не так с историей местоположений?
      Функция location history (история местоположений) позволяет легко увидеть, где и когда бывал пользователь. Использовать ее можно разными способами: вспомнить название пляжа или ресторана, где был в отпуске два года назад, найти адрес, который часто посещает супруг после работы, рекомендовать новые бары на основании ранее посещенных, видеть, в каком цветочном магазине заказан букет-сюрприз на праздник, и так далее. Как полезные, так и вредные для владельца смартфона — точнее, аккаунта Google — способы применения встречаются очень часто. Неудивительно, что многие люди, не исключая имеющих безупречный моральный облик и строго соблюдающих закон, хотят отключить эту опцию.
      К сожалению, в прошлом компанию Google неоднократно ловили на злоупотреблении этой настройкой. Даже если явно отключить историю местоположений, она собиралась под другим именем — в виде «активности в вебе и приложениях». Это привело к череде исков против Google, и компания их проиграла. В 2023 году она выплатила $93 млн по одному иску, а годом ранее — $392 млн по другому. Для корпорации с оборотом в сотни миллиардов это ничтожная сумма, но существенно то, что суд обязал Google пересмотреть свои практики отслеживания местоположения.
      Видимо, это юридическое и пиар-давление привело к тому, что в конце 2023 года было анонсировано радикальное изменение — теперь, по словам Google, история собирается и хранится только на устройствах пользователей. Стала ли эта функция безопасней?
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Группа ученых из Флоридского университета опубликовала исследование, посвященное семейству атак с использованием беспроводных зарядок стандарта Qi, которое они назвали VoltSchemer. В нем они подробно описали, как устроены эти атаки, почему они вообще возможны и каких результатов им удалось добиться.
      Рассказываем о главных находках ученых. А в конце немного поговорим о том, что все это значит с практической точки зрения и стоит ли опасаться того, что кто-нибудь «поджарит» ваш смартфон с помощью беспроводной зарядки.
      Основная идея атак семейства VoltSchemer
      Cтандарт Qi на сегодняшний день является доминирующим: его поддерживают все современные беспроводные зарядки и смартфоны, которые умеют от таких зарядок заряжаться. Атаки VoltSchemer эксплуатируют две фундаментальные особенности этого стандарта.
      Первая особенность связана с тем, что смартфону и беспроводной зарядке нужно каким-то образом обмениваться информацией для того, чтобы координировать процесс зарядки аккумулятора. Для этого стандартом Qi предусмотрен коммуникационный протокол, в котором для передачи сообщений используется то единственное, что связывает зарядку и смартфон, — магнитное поле.
      Вторая особенность: беспроводные зарядки предполагают неограниченное общественное использование. Любой смартфон можно положить на любую беспроводную зарядку без какого-либо предварительного спаривания, и процесс зарядки аккумулятора начнется немедленно. Поэтому в коммуникационном протоколе стандарта Qi не предусмотрено использование шифрования — все команды передаются в открытом виде.
      Из второй особенности следует, что на общение зарядки и смартфона можно провести атаку Man-in-the-Middle — то есть влезть в их коммуникацию, чтобы перехватывать сообщения и отправлять собственные. А благодаря первой особенности сделать это не так уж сложно: чтобы посылать вредоносные команды, достаточно научиться управлять магнитным полем так, чтобы имитировать сигналы стандарта Qi.
      Для большей наглядности исследователи выполнили вредоносный адаптер питания в виде накладки на обычную настенную USB-розетку. Источник
      Собственно, это и сделали исследователи: они соорудили «вредоносный» адаптер питания, замаскированный под настенную USB-розетку, который позволил им создавать точно настроенные шумы напряжения. Тем самым исследователи получили возможность отправлять беспроводной зарядке собственные команды, а также заглушать Qi-сообщения, отправленные смартфоном.
      Таким образом, для атак семейства VoltSchemer не требуются никакие модификации ни «железа», ни прошивки самой беспроводной зарядки. Все, что нужно, — это разместить в подходящем месте вредоносный источник питания.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Эксперты «Лаборатории Касперского» изучили безопасность популярного детского робота и нашли серьезные проблемы, из-за которых злоумышленники получали возможность сделать видеозвонок на любого робота, перехватить управление над родительским аккаунтом или — потенциально — загрузить на робота модифицированную прошивку. Рассказываем обо всем этом подробнее.
      Что умеет игрушечный робот
      Изученная нами модель детского робота — это своеобразный гибрид смартфона (или планшета, если угодно) и умной колонки, поставленный на колесное шасси, позволяющее ему перемещаться в пространстве. Конечностей у робота нет, так что возможность ездить по дому — единственный вариант его физического взаимодействия с окружающим миром.
      Центральным элементом робота служит крупный сенсорный дисплей, на который могут выводиться интерфейс управления, интерактивные и обучающие приложения для ребенка, а также мультяшное лицо, хорошо и разнообразно анимированное. Естественно, анимация зависит от контекста — над персоной робота разработчики очень неплохо потрудились.
      Также роботом можно управлять с помощью голосовых команд, но это работает далеко не со всеми функциями — часто робота все же приходится ловить и тыкать пальцем ему в лицо во встроенный дисплей.
      Помимо встроенного микрофона и весьма громкого динамика, у робота есть широкоугольная камера, расположенная прямо над дисплеем. И одна из важных функций, активно рекламируемых производителем, — это возможность родителям совершать видеозвонки ребенку прямо на робота.
      На передней стороне робота — примерно посередине между дисплеем и колесами — находится дополнительный оптический датчик для распознавания объектов, чтобы робот мог избегать препятствий при перемещении. Поскольку распознавание препятствий никак не зависит от основной камеры, то разработчики предусмотрели очень полезную штуку: физическую шторку, позволяющую полностью эту камеру закрыть.
      Так что если вы опасаетесь, что через камеру кто-нибудь может подсматривать за вами или вашим ребенком (увы, небезосновательно, но об этом ниже), то ее можно просто прикрыть шторкой. Ну а если вы переживаете о подслушивании через встроенный микрофон, то робота можно полностью выключить — судя по тому, как долго после этого он загружается, это действительно честное отключение, а не «режим сна».
      Разумеется, на стороне родителей для управления и контроля за игрушкой используется специализированное приложение. И, как вы вероятно догадываетесь, все это подключено к Интернету и под капотом задействует массу различных облачных сервисов (если вам интересны технические подробности, то их можно найти в полной версии исследования безопасности, опубликованной на Securelist).
      А чем сложнее система, тем больше вероятность того, что в ней есть дыры, которые позволяют сделать с ней что-то нехорошее. И тут мы подходим к основной теме этого поста: внимательно изучив робота, мы обнаружили несколько серьезных уязвимостей.
       
      Посмотреть статью полностью
    • Elly
      От Elly
      Друзья!
       
      Каждую неделю на канале @KasperskyRussia публикуется новое видео, в котором даются советы по безопасности, излагаются новости в сфере IT, лайфхаки, анонсы, поздравления и просто интересные факты. Мы решили провести викторину по указанному ресурсу и надеемся, что каждый участник увлекательно проведёт время в поисках ответов и узнает что-то новенькое для себя. 

       
      НАГРАЖДЕНИЕ
      Без ошибок — 1 000 баллов Одна ошибка — 900 баллов Две ошибки — 800 баллов Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 03 марта 2024 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @oit (пользователей @Mrak и @Ellyвключать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю@Ellyчерез систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
×
×
  • Создать...