Google Chrome och Mozilla Firefox får stöd för lösenordsfri inloggning

Den är det ja!, tackar

Något jag också direkt funderade över. Bara att hoppas.

Skickades från m.sweclockers.com

Jag skulle säga såhär. Har man 6 ord så behöver man inte trixa till det. Det blir en väldans massa kombinationsmöjligheter med 6 ord så det hjälper inte även om man har ordlistor där ;).

Nä det är ingen fara. Biometriverifierng för lösenord använder inte fingeravtrycket rakt av som lösenord.
Fingeravtrycket är knutet till en viss kod lokalt. Man kan säga att det fungerar som ens lösenordshanterare där fingeravtrycket ger tillgång till lösenorden som används på hemsidor. Ska man sedan logga in på en sida som exempelvis facebook så används inte ens lösenord för lastpass utan det är ett helt vanligt lösenord som används för inloggningen sedan. Och detta går att byta ut. På samma sätt fungerar biometrilösenord.

Det som skickas ut från min dator/mobil när jag använder fingeravtrycksläsaren är alltså ett utbytbart lösenord. Men för att få åtkomst till att sända detta lösenord behövs min fingeravtrycksinloggning. Men denna finns bara lokalt sparad.
Det krävs en hel del för att komma åt databasen som är sparad i fingeravtrycksläsaren. Går inte att komma åt databasen från mobilerna hur som helst. Och de finns som sagt bara lokalt på mobilen. Så det är rätt safe.

Blir facebook hackat så att ens lösen kommer ut så behöver man byta lösenord där precis som man gör om man har lastpass, men ens fingeravtryck är fortfarande inte på vift precis som att ens masterlösen för lastpass inte kommer på vift för att facebook blir hackat.

Det kommer inte hända för fingeravtrycken kommer inte lämna exempelvis mobilen. Det är andra lösenord som kommer användas för verifiering. Det är inbyggt i systemet så tjänsterna med inloggning kommer aldrig få in någon form av denna data.
Har förklarat i inlägget ovan (men det kanske var lite rörigt? )

Skickades från m.sweclockers.com

Jag jämförde de två exemplen jag gav på https://howsecureismypassword.net/ och "klapa-snel-hest" tar 51 miljoner år att knäcka, säger sidan. Sen kan den vara gammal, inte ta hänsyn till GPGPU osv men det korta krångliga lösenordet skulle enligt dem ta 4 dagar att knäcka.

Men självklart ska man inte ha ett sådant lösenord om man klappar snälla hästar då och då. Lika lite som "jag-har-en-hund-som-heter-bosse" är smart om man har en hund som heter Bosse. Det bör alltid vara något som är orelaterat till personen, så att varken människor eller datorer kan gissa det.

Sen är det klart att fysisk tillgång till både person och dator i kombination med hot som personen inte kan bortse ifrån knäcker det mesta, vare sig det är lösenord, fingeravtryck, Iris-scanning eller flerfaktorsautentisering mellan dem. Det kommer vi någ aldrig ifrån.

Ang. lösenord och lösenhanterare, jag kör med Enpass; vad tycker panelen om det?

Först och främst vill jag säga att jag är inne på din linje. Jag gör på liknande sätt också. Att kombinera ord är säkert. Men det behövs lite fler ord i lösenordet vill jag påstå.
Den siten du använt för att testa hur säkert lösenordet är kan räkna lite på längd av lösenord, specialtecken, siffror, gemener/versaler och om den känner igen att man använt hela engelska ord. Utifrån dessa parametrar är ditt lösenord tämligen säkert. Men den testar inte mot kombinationer av svenska ordlistor vilket gör resultatet... ja lite bristfälligt.
Om man har en Svensk ordlista däremot plus ett gäng slang (snel och hest är inte helt okända begrepp på internettet ) så blir det där lösenordet ganska enkelt att knäcka ändå. Hur?
Ja det beror lite på hur man räknar. Hur många ord har vi i svenska språket? 80.000? Finns inget perfekt svar och ingen vet (beror på hur man räknar) ;). Men många av dessa ord är ovanliga, daterade eller används enkom i fackspråk så som hunddressyr, juridik, medicin, geologi eller kanske av revisorer.
Så en hel del av orden dyker väl inte upp i lösenord i någon större utsträckning. Säg att man klarar sig ganska bra med de 6000 vanligaste orden plus kanske 6000 ord till med variationer/felstavningar/slang i ordlistan. Det ger en bas på 12.000 ord.
Utifrån detta kan man testa att kombinera hela ord istället för att byta ett tecken i taget.

Tre ord har använts i exemplet "klapa-snel-hest". Det ger alltså 12000^3 möjliga kombinationer vilket då blir 1,7 biljoner möjliga kombinationer. Det är faktiskt inte så många kombinationer i kodknäckarsammanhang. Säg att man kan testa 1 miljard lösenord i sekunden med en kodknäckardator. Kanske är det lite väl högt räknat men det är säkert inte orimligt på ett specialbygge.
Det skulle i så fall ta ca 20 minuter att knäcka snel-hest lösenordet.
(EDIT: well med alla felstavningar gemensamt i ditt exempel så hade nog en ordlista på 12000 ord bommat misstänker jag så det hade kanske aldrig knäckts av ordlistan. hehe)

Hur kan det bli säkrare då? Lägg till fler ord skulle jag säga.
Testar vi samma ordlista med 6 ord så blir det betydligt svårare att testa igenom lösenorden.
12000 i ordlistan med 6 ord.
12000^6
Det blir ett väldigt stort tal!
2985984000000000000000000 möjliga ordkombinationer blir det. Phew! Gigantisk siffra!

Säg att vi nu istället har en miljon datorer som kan testa en miljard lösenord i sekunden var. Hur lång tid tar det att testa igenom den här mängden kombinationer?
Ja det skulle ta nära 100 år att testa igenom.
Grejen är att även om vi hoppar över all slang och bara har ett urval av de 6000 vanligaste orden i svenskan med bara små bokstäver och utan annat tjafs så tar det ändå nära 2 år för en serverhall på en miljon kodknäckardatorer att testa sig igenom alla kombinationer på 6 ord. Så även en hacker med ett botnät för klodknäckning kommer gå bet på en kombo av 6 enkla ord. Det finns helt enkelt för många kombinationer.

Därför vill jag påstå att metoden att använda ett gäng ord i följd är tämligen säkert just nu. Jag är helt med på din linje Ozzed!
Men använd tillräckligt många ord för det är i mängden ord skyddet ligger. Tre ord räcker inte tycker jag. Men 5 ord med slang kommer ingen ha datakraft nog att ge sig på om man nu inte är riktigt *#¤%#& motiverad att knäcka just detta lösen ;).
Och vill man så kan man slänga in någon siffra, specialtecken och/eller kanske något engelskt/spanskt ord också så blir det ännu starkare. Böjningsformer av ord fungerar såklart också

Njaaa. Nä det bör inte vara någon skillnad mot hur det är idag om jag förstått det rätt.

Vi kan väl gå igenom hur det fungerar i nuläget med fingeravtrycksläsare i mobilerna. Såhär har jag förstått det iaf:

Det hela är uppbyggt i flertalet steg där olika information är involverade i de olika delarna.
Vi kan kalla dem för system1, 2 och 3
System 1:
Biometrisensorn i mobilen. Denna del har två inputs och en output. Input i form av fingeravtrycksläsaren och även input från telefonen. Output till telefonen. I fingeravtrycksläsaren sparas även dina fingeravtryck. Dessa sparas alltså inte i telefonens huvudminne och de sänds aldrig ens in i telefonens OS och det finns inga APIer eller gränssnitt för att ens kunna göra detta. Det som kan sändas ut från biometrisensorn är huruvida verifiering har lyckats eller misslyckats. True eller false. Eller ja, lite mer komplicerat är det såklart med säkerhet och att man även ska kunna skicka kommandon om inläsning av nya fingeravtryck, tömning av gamla och liknande men i grunden är det ett avskilt, enkelt och säkert system som hanterar fingeravtrycken. Ingen annan.

System 2:
Telefonen. Telefonen kan skicka input om krav på verifiering eller att man ska lägga in nya fingeravtryck i system 1. Men inte mycket mer. Det telefonen kan få ut från system 1 är som sagt bara om verifierng lyckats eller inte. Vad det är för fingeravtryck får ingen kod i mobilens OS tillgång till. Om en lyckad verifiering genomförts så öppnar mobilen en databas med genererade lösenord. Det är dessa lösenord som används för inloggningstjänsterna. Dessa lösenord kan bytas ut.

System 3: Andra servrar. Facebook exempelvis. Eller en verifieringsserver som bankID.
De behöver ha användarnamn och lösenord vid inloggning och de har sparat användarens användarnamn (såklart) samt ett hashat och saltat lösenord som även finns representerat i lösenordsdatabasen för system 2. Vid förfrågan kan system 2 skicka in lösenordet till system 3 men detta kan man då begränsa så att det bara fungerar om man fått verifiering från system 1.

Blablabla. Det viktiga i de tre ovan systemen är att ens fingeravtryck bara är sparade på en låst databas som inte ens har ett gränssnitt för att kunna skicka ut dina fingeravtryck någonstans. Så just fingeravtrycken finns inte på något annat ställe än i din mobil. De skickas inte vidare till andra leverantörer. De skickas inte ens in i din telefon. Så en hackad telefon får man fortfarande inte ut några fingeravtryck från.

Ja men då kan man ju undra vad den här nyheten handlar om. Det är ju något annat än befintliga mobilers fingeravtryckssensorer, ellerhur? Man ska komma åt dem mellan enheter kanske, right?
Yes! Det är bra följdfrågor. Men som jag förstått det så kommer det inte ändra på så mycket från min modell. Det som föreslås är att man lägger till lite bättre APIer mellan system 2 och system 3 så att man kan få in snyggare automagisk verifierng. Men det påverkar egentligen inte system 1 där fingeravtrycken ligger sparade. Fingeravtrycken ligger lika säkert kvar i system 1 ändå

@Mocka: En helt random kombination av olika tecken är bäst när det kommer till lösenord. Pseudorandom är näst bäst. Så Keepass och liknande verktygs genererade lösenord är mycket bra.

Det som diskuteras ovan är vilken lösenordsstrategi som en människa enkelt kan komma ihåg som ger bäst lösenord vilket är en helt annan fråga.

Lösenordshanterare är ett absolut måste om man som jag har mängder med sidor och inloggningar, med den kan man ha riktigt starka lösenord och det är otroligt lätt, behöver bara komma ihåg ett lösenord istället för flera.

Det använder jag också. Eller jag har lastpass men det är ju rätt likt. Det är väldigt säkert! Inge snack om saken. Jag misstänker att det nyheten tar upp och försöker nå de som inte har kommit igång med bra säkerhetslösningar helt enkelt.

Men det finns tillfällen där dessa lösenordshanterare inte fungerar lika väl (i mitt liv iaf).
Några exempel:

• Lösenordet till lösenordshanteraren

• Jag håller gärna isär jobb och privat så på jobbet använder jag inte lastpass utan där blir det andra lösningar med ordkombinationer.

• Wifilösenordet. Blir lättare för mig att beskriva några ord än 20 random tecken för gäster. Inte minst när ens sambo har sina vänner över och de vill ha wifi

• League Of Legends kräver att man skriver in lösenord varje gång (om jag inte missat något) och där blir det lättare med ordkombination som jag kan utantill jämfört med att öppna lösenordshanterare varje gång

Wifi-lösenordet för gäster fixar man genom en qr-kod, då kan man göra den hur omständig som helst och byta ut den så ofta man vill...

Japp tack, då är jag med.

Är det inte lustigt hur folk inte klarar sig på den enorma mängd data man har i dagens abonnemang utan måste prompt ha WiFi varje gång de hälsar på? Nu generaliserade jag rätt ordentligt men lite lustigt ändå. Inte för att det händer mig så ofta men det har hänt.

Visst är det så ;). Och jag är inte bättre själv hehe.

Låter som att det är enklare att dem bara implenterar mobilt BankID som har denna funktion redan.

Så i grund och botten blir tex min telefon en trådlös Usb nyckel?