ยอมรับว่ายากแต่ซ้ำอะ แต่ไม่ซ้ำกันทุกอันแล้วแต่ความสำคัญ ไม่งั้นจำไม่หมด

ตั้งแต่ใช้ lastpass ก็จำไม่ได้อีกเลยว่ารหัสผ่านของตัวเองคืออะไร - -

พยายามจะให้มันยากและไม่ซ้ำในแต่ละเว็บ โดยเฉพาะที่เกี่ยวกับธุรกรรมทางการเงิน
ตอนอายุ 20 กว่าๆ ก็ไม่มีปัญหา ตอนนี้ไม่ไหวล่ะ reset password บ่อยมาก จำไม่ได้
password paypal นี่ แทบจะไม่เคยจำได้เลย จะใช้ทีก็ reset ที

นำรหัสผ่านหลุกดจากเว็บ CashCrate

หลุกด => หลุด

• ยาก ไม่ซ้ำ แต่ละบริการไม่มีความเกี่ยวโยงกัน
• ไม่พึ่ง app ไม่พึ่ง internet ไม่ต้องพกมือถือ
• ผ่านทุกเงื่อนไขการตั้งพาสเวิร์ด
• จ้องคีร์ตอนพิมพ์ไม่ใช่ภาษาคน
• ผลลัพธ์ที่พิมพ์ออกมาก็ไม่ใช่ภาษาคน

เกือบดีละ มาตกม้าตายตอนต้องเปลี่ยนพาสเวิร์ด
บริการส่วนใหญ่ไม่ให้วนๆ ใช้ซ้ำพาสเดิมๆ
ต้องมาจำสูตรใหม่ทุกรอบ... (="=

Troy Hunt:If you're impatient you can go and play with it right now

มี password อยู่ 5 ชุดตามความสำคัญของบริการ แต่ก็ซ้ำอยู่ดี
เคยคิดว่าจะเปลี่ยนเป็น password เดียวแล้ว + ชื่อบริการลงไปจะปลอดภัยกว่ารึเปล่า :/

คนพูดมันก็พูดได้อ่ะนะ ผมเองก็จำไม่หวาดไม่ไหวเหมือนกัน

มี 5 อัน มีแค่ เมล์ 2 อัน 2 บัญชี ที่ไม่ซ้ำ

แต่นอกนั้น ซ้ำเพียบ

มีไม่ซ้ำแค่พวกธนาคารกับอีเมล์ นอกนั้นซ้ำเพียบ

พิมพ์ภาษาไทยบน keyboard อังกฤษ ช่วยได้เยอะ
จำของเราเองก็ง่าย ได้ password ที่ซับซ้อน(ถ้าไม่รู้ทริกนี้) อีกต่างหาก

Lastpass อย่างเดียวครับ ขี้เกียจจำ ขี้เกียจคิด ขี้เกียจกรอกเอง

รอให้หมดยุค Good Password ที่ดีควรประกอบไปด้วย x,y,z ไปซะที

(จริงๆ Practice ยุคใหม่ๆมันจะแปลงร่างเป็น พาสเวิร์ดควรจะจำง่ายๆ มีแค่ไม่กี่ชุด ไม่ต้องเปลี่ยน และใช้คู่กับ Bio/2-3-4 way auth เพื่อใช้เข้าสู่เว็บอื่นๆ)

https://www.npr.org/sections/alltechconsidered/2017/08/14/543434808/forget-tough-passwords-new-guidelines-make-it-simple

เพราะไม่ว่าจะพิมพ์มุกไหน Hacker/Cracker ที่แท้ทรูก็จะจัดการได้อยู่ดี (ถ้าทำ Brute Force ได้)

• พิมพ์คีย์ติดกัน (อยู่ในดิค)
• พิมพ์ทับศัพท์ ก็เอาดิคต้นทาง (ซึ่งมักมีแค่หลักไม่กี่แสนคำ) มาแปลงเป็น keyboard input ก็จะได้ dict ของคำแบบพิมพ์ทับศัพท์แล้วอีกชุดนึง (แค่รู้ Target ประเทศ)
• เปลี่ยนแค่ตัวสองตัวต้นหรือท้าย จาก Pawned Password DB ก็ใช้ dictionary attack ได้
• ต่อให้มี Salt ก็เอา Salt ไปผูกดิกได้อยู่ดี

เอาจริงๆปัญหารหัสผ่านมันไม่ได้หลุดเพราะถูก Bruteforce ตรงๆหน้าเว็บหรอกครับ มันหลุดเพราะ DB โดนเจาะไปแล้วไป Bruteforce หลังบ้านเอาเลยต่างหาก ซึ่งโอกาสที่จะโดน Dictionary Attack มันสูง (เพราะรูปลักษณะ password มันเคยหลุดไปเยอะมากแล้วตั้ง 306 ล้านรายการที่ปรากฎในข่าว

ลองคิดภาพว่าเอา 306 ล้านรายการ + พจนานุกรมคำศัพท์ทั่วโลก เข้า Neuron Network/Machine Learning ดูสิ แล้ว Generate good dictionary ขึ้นมาในการเดา

ยุคของรหัสผ่านน่าจะเหลือไม่นานแล้วครับ

ของผมก็นะ อะไรที่ไม่ได้เกี่ยวกับธุระกรรมทางการเงินนี่ซ้ำไปเลย คือจำไม่ไหว (ไม่ได้ใช้ password manager อีกต่างหาก) ส่วนของธนาคารก็จะแตกต่างกัน แต่ก็จะมีรูปแบบให้พอจำได้ แหะๆ

แรกๆพอไหวนะ แต่พอหลังๆ นี่ต้องคิดวิธีเข้ารหัสเอง

ผมว่า 2 fa คือทางออกถึงรู้ password ก็เข้าถึงไม่ได้