Nie jest dobrze. Przynajmniej jeśli uwierzyć naukowcom z Georgia Tech. Zespół badawczy pod kierownictwem Richarda Boyda funduje nam niezłe trzęsienie ziemi, twierdząc, że hasła o długości uważanej dotąd za dość bezpieczną, czyli 7-8 znaków, nie są już odporne na ataki za pomocą „brutalnej siły” (brute force).
Przyczyną ma być rozwój... kart graficznych. Coraz bardziej wzrasta ich moc obliczeniowa, co już dawno zauważyli crackerzy, używając ich właśnie do łamania haseł przy pomocy brute force. W opinii Boyda, tzw. procesory strumieniowe (tutaj wyjaśnienie sposobu ich działania po angielsku, w języku raczej technicznym), które w dzisiejszych kartach graficznych są odpowiedzialne za obróbkę obrazu, dysponują mocą obliczeniową, porównywalną do superkomputerów sprzed zaledwie dziesięciu lat! Na dodatek znakomicie radzą sobie właśnie z atakiem na hasła za pomocą „brutalnej siły”.
– W tej chwili z przekonaniem graniczącym z pewnoscią mogę powiedzieć, że używanie haseł, liczących siedem znaków, jest już beznadziejnie nieadekwatne do zagrożenia ich złamaniem – mówi Boyd. – A biorąc pod uwagę, że moc obliczeniowa procesorów graficznych rośnie, trend będzie się utrzymywał – dodaje.
W opinii Boyda obecnie niezły poziom bezpieczeństwa gwarantują hasła 12-znakowe, składające się z dużych i małych liter oraz cyfr i znaków specjalnych. Docelowo zaś, chcąc zadbać o bezpieczeństwo swoich zasobów online, będziemy musieli korzystać z całych zdań, zapisywanych różnymi typami znaków, np. T0je$tMOyeahHA37od0F3J$Buk@. Ale to nic nowego, sugerowała to już na naszym blogu Agnieszka Słota :)
W TP ryzyko np. nieautoryzowanego dostępu do Neostrady jest o tyle nikłe, że losowym ciągiem znaków jest zarówno hasło, jak i nazwa użytkownika. A co do haseł... Cóż, na stronach TP CERT proponujemy dwa bezpłatne programy do zarządzania hasłami. W takim przypadku wystarczy tylko zapamiętać jedno wystarczająco długie hasło, zabezpieczające dostęp do bazy danych. Hasła do pojedynczych serwisów zapamięta program, a wcześniej je za nas wygeneruje, zgodnie z polityką haseł, którą sami sobie ustawimy (np. podobną do sugerowanej przez TP CERT). Decyzję, czy warto, pozostawiam Wam – na pewno jednak nie zaszkodzi przyjrzeć się tej możliwości.