Укажите логин от 3 символов: Какие символы разрешить в логине (имени пользователя)? — Хабр Q&A

Какие модели USB-модемов подходят для подключения к регистратору Practicam?

Видеорегистраторы Practicam поддерживают модели: E3272, E177, E176G, E173, EC1261, EC156, MT7601

Какие порты необходимы для работы через сеть?

80 – web интерфейс

554- rtsp (видео) поток

9000 – данные (для подключения к регистратору через ПО REDLINE CLINET)

Мой регистратор оснащен функцией P2P, однако, доступ в локальной сети есть, а через интернет — нет.

Для корректной работы сервиса P2P требуется активация функции UPnP. Откройте настройки на вкладке СЕТЬ и включите UPnP. 

Как пробросить порты на роутере для подключения удаленно через интернет.

Для подключения через интернет необходим внешний IP адрес и проброс портов 80, 554, 9000. Подробная информация по настройкам проброса портов доступна в инструкции к Вашему роутеру.

Как найти регистратор в локальной сети?

Для быстрого поиска рекомендуется использовать приложение REDLINE CLIENT.

Если помимо поиска также требуется и изменение настроек сети регистратора, то рекомендуется использовать утилиту автопоиска Device Config Tool.

При подключении монитора к регистратору отсутствует разрешение или на экране надпись «OUT OF RANGE».

В 90% случаев это вызвано тем, что монитор не поддерживает установленное на регистраторе разрешение. Для настройки разрешения Вам понадобится подключить FullHD монитор, изменить настройки на поддерживаемы старым монитором и сохранить их.

Насколько безопасно запрашивать определенные символы пароля вместо всего?

спросил 11 лет, 1 месяц назад

Изменено 4 года, 4 месяца назад

Просмотрено 11 тысяч раз

На некоторых сайтах с аутентификацией по паролю вас попросят ввести случайный набор определенных символов из вашего пароля, а не целое слово/фразу. Например, он может сказать «Введите 1-ю, 4-ю и 8-ю букву» и предоставить три отдельных поля ввода.

Из того немногого, что я знаю о механизмах безопасности, я ожидал, что это будет менее безопасно, чем ввод всего пароля, добавление соли + хеширование и сравнение его с сохраненным хэшем, поскольку в поле зрения нет открытого текста.

Эта система используется (надеюсь) очень безопасными веб-сайтами, включая некоторые банковские сайты в Великобритании.

Итак, мой вопрос состоит из двух частей: — это , это так же безопасно, как традиционное сравнение соли/хэша, и

• пароли

9

Этот способ ввода пароля популярен на банковских сайтах в Польше. Это называется замаскированными паролями. Он предназначен для защиты от кейлоггеров — и только от кейлоггеров. Сама передача пароля защищена от прослушивания с помощью SSL, поэтому причина в том, что если кейлоггер установлен на клиентском устройстве, он никогда не получит доступ к полному паролю.

Однако у этой логики есть несколько недостатков:

1. Злоумышленнику необходимо ввести меньше символов (например, только 4 символа, часто только цифры) за одну попытку. Поэтому этот этап аутентификации проще выполнить методом грубой силы. Вот почему замаскированные пароли должны быть связаны с политикой блокировки учетной записи.

2. Имея всего несколько известных символов в определенных позициях (например, собранных с помощью кейлоггера/скринграббера), злоумышленник может просто попытаться войти в систему, когда сервер выбрал известные ему позиции, и обновиться, когда были выбраны другие. Поэтому часто реализация замаскированных паролей хранит выбор позиций для учетной записи на стороне сервера в течение определенного времени (например, суток) до успешной аутентификации.

3. Для того, чтобы узнать весь пароль, нужно всего лишь захватить несколько успешных аутентификаций (например, когда длина пароля составляет 12 и всегда выбрано 4 позиции, обычно требуется 8 попыток), поэтому кейлоггер/скринграббер получит его — это займет всего немного больше.

4. Самой большой угрозой для аутентификации в интернет-банкинге является вредоносное ПО (атаки типа «человек в браузере»), такое как ZeUS или SpyEye, и этот тип программного обеспечения обычно проводит атаки социальной инженерии, которые полностью преодолевают схему замаскированных паролей. Например, это программное обеспечение может:

   • запросить полный пароль
   • отображать фальшивую форму смены пароля после фальшивой аутентификации
   • смоделировать ошибки ввода пароля и повторно отобразить форму с другими позициями для заполнения, чтобы получить полный пароль за 2-3 попытки

Маскированные пароли сложны для пользователей и сложны для правильной реализации. Как минимум разработчикам нужно добавить политику блокировки учетной записи, хранилище выбора позиций и частичные хэши.

Вопреки распространенному мнению, замаскированный пароль, особенно на сайтах электронных банковских услуг, хотя и обеспечивает защиту от базового кейлогинга, полностью не справляется с другими, более распространенными угрозами, такими как вредоносное ПО, использующее социальную инженерию.

3

Я знаю один веб-сайт онлайн-банкинга, который сначала запрашивает пароль (цифры и символы), а затем вам нужно ввести с помощью мыши две цифры второго 6-значного пароля (только цифры). Вам представлена ​​цифровая клавиатура на сцене, и вы нажимаете на цифры.

Причина этого в том, что вредоносным программам (вероятно) труднее отслеживать движения мыши, чем регистрировать нажатия клавиш.

В приведенном выше примере это явно более безопасно, чем один пароль.

В описанной вами ситуации, когда с клавиатуры нужно вводить только определенные символы пароля, причина может заключаться в том, что если кто-то регистрирует или подделывает ваш ввод, у него все еще нет вашего полного пароля.

Я (могу только) предположить, что механизм, используемый для проверки ввода, безопасен, но вы все равно можете использовать хеширование, если сохраните хеш всех возможных комбинаций ввода.

Вот короткая статья из Википедии о частичных паролях, в которой упоминается об этом.

1

Дополнительное замечание по поводу запроса конкретных символов заключается в том, что пользователи могут набирать пароль на бумаге или еще хуже — в блокноте — просто для того, чтобы убедиться, что они вводят правильные буквы. В противном случае учетная запись будет заблокирована.

Пример:

1. Банки могут предупреждать пользователей об использовании надежных паролей
2. Пользователь создает надежный пароль, скажем, CorrectHorseBatteryStaple
3. Теперь банк запрашивает #4, #10 и #16 букву пароля
4. Хотя это легко сделать на бумаге/в блокноте, может быть трудно сосчитать, какая буква какая в памяти.

В результате пользователи вместо того, чтобы запоминать пароли, хранят их на бумаге с пронумерованными буквами 🙂 (или в текстовом файле!)

6

Зарегистрируйтесь или войдите в систему

Зарегистрируйтесь с помощью Google

Зарегистрироваться через Facebook

Зарегистрируйтесь, используя электронную почту и пароль

Опубликовать как гость

Электронная почта

Требуется, но никогда не отображается

Опубликовать как гость

Электронная почта

Требуется, но не отображается

Нажимая «Опубликовать свой ответ», вы соглашаетесь с нашими условиями обслуживания, политикой конфиденциальности и политикой использования файлов cookie

Первые X символов вашего пароля не могут совпадать с вашим предыдущим

спросил 6 лет, 4 месяца назад

Изменено 6 лет, 4 месяца назад

Просмотрено 2к раз

Политика безопасности моего работодателя предусматривает смену паролей для моей рабочей станции. После недавней смены пароля я сразу же получил электронное письмо с сообщением о проблеме:

.

Согласно нашим записям, вы недавно изменили пароль своей рабочей станции, который автоматически синхронизируется с XYZ . Однако это электронное письмо отправлено, чтобы сообщить вам, что ваш пароль не может быть установлен в системе. Наиболее распространенная причина сбоя заключается в том, что первые три символа пароля не может совпадать. ..

Измените свой пароль еще раз через Центр паролей или Windows.

Как досадно, что мне снова нужно менять пароль. Но что еще более любопытно, у меня сложилось впечатление, что подобная политика была бы невозможна, если бы хеширование паролей применялось на практике. Должны ли администраторы системы XYZ знать, каковы первые три символа моего предыдущего пароля, или это свидетельствует о плохой практике?

Редактировать

первые три символа пароля не могут совпадать

Я интерпретировал это как «…первые три символа пароля не могут быть идентичны предыдущему «. Само письмо было испещрено орфографическими и грамматическими ошибками (в нем даже была трассировка стека), поэтому я мысленно перешел в режим интерпретации и теперь думаю, что неправильно интерпретировал эту строку. При повторном чтении это, вероятно, просто предложение. Я пока не собираюсь лезть в глотку ИТ-поддержки! Тем не менее, я думаю, что на этот вопрос можно ответить гипотетически, как если бы он относился к предыдущему паролю, поэтому я оставлю вопрос без изменений. (Между прочим, мне было бы интересно узнать, почему может существовать политика, запрещающая идентичность первых трех символов.)

Пароль изменен через CTRL+ALT+DEL в Windows. При этом должна происходить некоторая синхронизация с другими внутренними системами (например, системами записи времени).

• пароль-политика

2

Если имеется в виду, что «первые X букв пароля совпадают с первыми X букв предыдущего пароля», это свидетельствует о плохой практике. Именно по тем причинам, которые вы назвали.

Первые буквы X могут храниться где-то в открытом тексте, что плохо — если злоумышленник получит их в свои руки, это упростит атаку грубой силы.

Даже если, как указывает @Quentin в комментариях, они хранят только хэш первых X символов, это все равно облегчает задачу злоумышленнику. Если злоумышленники получат доступ к этому хешу, они смогут подобрать хэш первых X символов проще, чем хеш полного пароля.