Nem gondoljátok hogy túlzásba viszi már a google a biztonsági funkciókat? Így sem igen törik már fel a 64bites titkosításait nem?

"Akkor már mért nem a jelszó erősségéhez viszonyítva dől el ez a kérdés és akkor az erősebb jelszavú profilokra ez ne vonatkozzon!"

A jelszóerősség egy placebo. Nagyon kevés valódi védelmet biztosít az, hogy erős jelszót használsz. Az "erős jelszó" egyetlen dologtól véd: A leggyakoribb jelszavak próbálgatásától. A legtöbb jelszó feltörést szivárványtáblás, vagy hasonló, szofisztikáltabb támadási módokkal végzik, mely esetben nem nagyon számít, hogy mi a tényleges jelszó. A legtöbb fiók feltörést pedig social engineeringgel, illetve phising-el végzik, ezesetben pl szinte teljesen mindegy mi a jelszavad, mert a felhasználó manipulálásával jutnak be a fiókjába. Szóval a jelszóerősség, mint a szükséges biztonsági intézkedések mércéje nem életszerű. Az erős jelszó csak egy, egyébként nagyon apró eleme a felhaszálói fiók biztonságának.

"A jelszóerősség egy placebo."

Ezzel nem értek egyet.

Egy hosszabb jelszót ami tartalmaz számot kis és nagy betűt, spec karaktert sokkal nehezebb feltöri, mint egy mondjuk 6-8 karakterből és csak betűkből álló jelszót. Nekem pl. a fb-hez 36 karakteres jelszavam van és van benne minden, egyhamar nem törik fel, mert brute force-al is nagyon sok idő lenne.

"...mert a felhasználó manipulálásával jutnak be a fiókjába. "

Ezzel a mondatoddal viszont teljesen egyetértek. De ez már a stupid user szindróma.

Akármilyen erős vagy gyenge (de még elfogadott) jelszót használsz, azt minden esetben jóval körülményesebb és tovább tart kitalálni ("feltörni") akármilyen szofisztikált módszert használva, mint megszerezni. És a k~tfaktoros hitelesítés pont arra szolgál, hogy a bármilyen úton megszerzett, egyébként biztonságos jelszó ismeretében se lehessen csak úgy garázdálkodni a személyes adataid között a tudtod nélkül.

És sem a Google, sem egyetlen más nagyobb, komoly cég nem fogja vállalni azt a hitelvesztést, ami akár egyetlen ilyen eset után milliárdos veszteségeket jelentene a számára, ha ezt egy egyszerű módszerrel megakadályozhatja. És itt nem a Gipsz Jakab pornógyűjteményéről vagy Tank Aranka bevásárlólistájáról beszélünk, hanem multinacionális cégek ipari titkairól, amelyeket ugyanazon rendszerben tárolnak, amelyek mellékesen az átlagfelhasználóknak is rendelkezésére állnak...

@34: továbbnegyek: Tank Aranka mindenféle jelszó nélkül is nagyon jól ellenne, annyival is kevesebbet nyűggel járna a számára a számítógép használata (beleértve a mobiltelefont, tabletet, stb. is)...

Akkor engedjük meg a jelszó nélküli bejelentkezést is?

Sőt, kötelezzük az Alphabetet arra is, hogy minden egyes felhasználó számára az ő elképzeléseik alapján személyre szabott hitelesítési módszert használjon.

Ahelyett, hogy - az elfogadott feltételeknek megfelelően - az user nem követelőzik, hanem örül, hogy a vállalat megengedi neki, hogy díjmentesen használhasson egy nagyértékű szolgáltatáscsomagot, amíg a tulajdonos által meghatározott néhány egyszerű feltétel teljesül.

Egyrészt: Kérdező, tessék visszavenni az arcból.

Másrészt: Minden IT-ban dolgozó ember ismeri a következő mantrát: A felhasználó mindig hülye. Az, hogy Tank Aranka *azt hiszi* hogy neki nincs szüksége kétfaktoros autentikációra, az egy dolog. AMikor a gyenge fiókvédelem miatt feltörik Aranka Google fiókját, és vele együtt az e-mail fókját, vele együtt az összes szolgáltatást amihez ezt az e-mail címet használja, a különböző előfizetéseit, A bankkártya hozzáférnek a bankkártya adataihoz (Google Pay), személyes adataihoz, alkcíméhez, és még sorolhatnám... na akkor Tank Aranka őrjöngeni fog, hogy a Google miért nem védte meg a fiókját. A biztonsági intézkedések nem a te kényelmedre vannak kitalálva, hanem a fiókod védelmére. És a fiókod védelme fontosabb, mint a te igényeid. Úgy is mondhatjuk, hogy a Google, vagy bármilyen más szolgáltatást nyújtó cég nagy ívben tojik a te kényelmedre, ők magukat védik azáltal, hogy megelőzik az esetleges backlash-t és/vagy pereket amik abból adódnak, hogy megengedik a felhasználónak, hogy hülye legyen és gyenge fiók védelmet állítson be. Az IT, de különösen az IT biztonság egyik legfőbb irányelve, hogy meg kell védeni a felhasználót a saját hülyeségétől. És ezt csinálják.

#32 "Nekem pl. a fb-hez 36 karakteres jelszavam van és van benne minden, egyhamar nem törik fel, mert brute force-al is nagyon sok idő lenne."

Épp ezért placebo, mert olyan támadások ellen véd, amit úgysem használ senki (bruteforce). Az egyetlen különbség, biztonsági szempontból, egy saját kútfőből kitalált, közepesen erős jelszó, és egy generált, papíron extrém erős jelszó között annyi, hogy a felhasználó hajlamos lehet ugyanazt a jelszót több helyen is használni, ami nyilván veszélyes. De ennyi. Egyébiránt a generált krikszkraksz jelszavak semmivel nem nyújtanak több védelmet.

A Google vállalati megoldásában a Google Workspace-ben jó eséllyel továbbra is a szervezet rendszergazdája állítja majd be a biztonsági előírásokat. "Ingyenes" megoldásoknál annyi lehetőséged van, hogy használod a szolgáltatást, vagy keresel másikat helyette.

Itt jön a képbe, hogy nem csak egy email szolgáltató létezik, illetve akár saját megoldást is alkalmazhatsz a levelezésre, szóval a rabszolgaság nagyon erősen elrugaszkodott gondolatmenet.