Je collega heeft gelijk. Je gebruikt geen wachtwoord. Je gebruikt een paswoord. En, er zit wat humor in deze notie.
Zoals bekend door XKCD.com/936: Password Strength (gekopieerd en zichtbaar in Abhijit’s antwoord , hoewel de hovertext ontbreekt zoals de meeste schaamteloze kopieën van XKCD-afbeeldingen), zijn er veel misvattingen over wat zorgt voor goede beveiligingsgegevens. In veel, veel gevallen zou een veel sterkere methode zijn om een cryptografische sleutel te gebruiken die honderden of duizenden bits lang kan zijn. Dat zou belachelijk uitdagend zijn om te typen (ik heb er zelf nooit een uitgetypt), maar technieken zoals effectief gebruik van ssh-agent kunnen zo'n sterke beveiliging makkelijk te implementeren maken op een dagelijkse basis.
De problemen met dergelijke technologie zijn zaken als gebruikerseducatie en misschien compatibiliteit met sommige softwareoplossingen, die we allebei kunnen hopen uit te roeien. Oh, en onbekendheid door mensen die kiezen voor beveiligingsmethoden. Onderwijs kan misschien al deze problemen elimineren. Ik kijk uit naar de dag.
Totdat we een dergelijke eenvoud (van dagelijks gebruik) bereiken, is het gebruik van wachtwoorden een soort compromis. Totdat we in een betere situatie kunnen komen, is een veel betere aanpak om te beperken waar wachtwoorden worden getypt, zodat ze gewoon in veilige scenario’s worden gebruikt, en dan gebruik te maken van beveiligde en vertrouwde computer om meer uitgebreide referenties te versturen die nog moeilijker handmatig te produceren zijn. Maar het handmatig doorlopen van een hoop moeite om beter-dan-lage, maar slechter-dan-waarneembare beveiliging te bereiken, voelt gewoon als een beslissing die het slechtste van beide werelden bereikt.
Ik heb zelf de vaardigheid van mijn beste vriend bewonderd om lange wachtzinnen te gebruiken. Ook maakt hij uiteindelijk tikfouten en moet hij deze met enige regelmaat opnieuw typen. Ik vind dit grappig omdat ik zelf hetzelfde probleem kan hebben met wachtwoorden met een lengte van 8-13, en dus als hij bij zijn vierde of vijfde of zesde woord komt, heb ik het gevoel dat hij zulke problemen heel onnodig bij zichzelf brengt.
Echt, als je dit analyseert vanuit een kosten-baten scenario, wat is dan het grote voordeel van het uitbreiden van je wachtwoordlengte naar dingen als 35-45 karakters? Zeker als een persoon blijft hangen met 15-19 karakters, zal hij of zij het doel bereiken om abnormaal lang te zijn, veiliger dan de meeste mensen, en veiliger dan wat de meeste botnets gemakkelijk zullen kunnen kraken. Daarom zijn de extra twintig plus tekens (of, je zegt veertig plus tekens voor sommige wachtwoorden die je hebt gebruikt) boven een lengte als 15-19 uiteindelijk alleen maar pijnveroorzakende complexiteit, zonder dat dit een significant voordeel oplevert. Daarom is de beoordelingsfout een oorzaak van humor. In het beste geval neemt u extra tijd in beslag als u het elke keer correct intypt. (Worst case scenario is dat je nog meer tijd neemt.)
Dus hoewel ik de bereidheid van mijn vriend bewonder om een serieus standpunt in te nemen over een belangrijk onderwerp als veiligheid, vind ik zijn beslissing ook een beetje misleidend. Tegenwoordig probeer ik meestal het lachen voor mezelf te houden, gewoon uit beleefdheid, maar soms heb ik de neiging om er commentaar op te geven als ik zie dat hij een vierde keer moet proberen om zijn passphrase goed te krijgen. (En aangezien ik kan zien hoeveel karakters hij typt, zijn het meestal enkele van de latere karakters die hem op struikelen zetten.)
hoe benader ik mijn collega beleefd en vraag ik hem te stoppen met het verspreiden van dat ik een lang wachtwoord heb?
Misschien wil je ook de IPS-stapelruil overwegen. Die site lijkt veel vragen te hebben over “Hoe communiceer ik een bericht dat ik wil communiceren, en ervaar ik geen verwachte negatieve resultaten als ik weet dat de persoon het niet op prijs stelt om te horen wat ik wil communiceren? Herhaaldelijk is de vraag: "Hoe doe ik wat ik wil doen en neem ik iemand anders het recht af om te reageren op een manier die die persoon waarschijnlijk zal doen, alleen maar omdat ik niet wil dat die persoon op die manier reageert”. Het is echt een oneerlijke vraag, en vaak is het juiste antwoord voor een werkplek om niet te proberen andere mensen te controleren, maar gewoon je steentje bij te dragen om met elkaar om te gaan. Maar omdat je het vraagt, zal ik een aantal mogelijke opties doornemen.
Realiseer je eerst dat je collega het gevoel kan hebben dat hij je een plezier doet, door je te belachelijk te maken totdat je je manieren opnieuw bekijkt en meer verstandige beslissingen neemt. Dus dit kan meer zijn dan alleen hem proberen te profiteren van een gemakkelijke gelegenheid om een grapje te maken. Iemand in verlegenheid brengen in de gewenste acties is een techniek die (in ieder geval soms) effectief kan zijn, en dus kan uw medewerker niet gemakkelijk van de wijs worden gebracht. (Merk op dat ik niet zeg dat de techniek ethisch verantwoord is, ook al lijkt het een gewenst resultaat te bereiken. Ik herken dat er bijwerkingen kunnen optreden. Uw collega denkt daar misschien minder over na). Zijn geloof dat hij je wat goed doet kan zijn beslissing kracht bijzetten, zelfs als je zijn geloof niet leuk vindt, en zelfs als zijn geloof eigenlijk verkeerd is.
Je moet misschien je toevlucht nemen tot onaangename technieken zoals een beroep doen op een hogere autoriteit die gedragsbeperkingen kan opleggen zodat uw collega het gevoel heeft dat de werkzekerheid in gevaar is. (Dat is echt geen prettige benadering. Natuurlijk zou je kunnen stellen dat je gepest wordt niet erg aardig is). Dat zou zijn gedrag kunnen beperken.
Een andere optie kan zijn om te voldoen aan het gedrag dat hij van je suggereert.
Merk op dat er dwingende argumenten zijn waarom sommige van de benaderingen in de vorige paragraaf zo vreselijk zijn dat ze niet eens overwogen zouden moeten worden. (Sommigen zouden er bezwaar tegen hebben hem verder te machtigen door hem te laten winnen met zo'n gematigde aanpak. Sommigen zouden er bezwaar tegen hebben om hem te ontmoedigen door middel van zulke harde maatregelen als het betrekken van het management). Ik zal dus geen standpunt innemen over welke aanpak het meest of het minst juist is. Ik zeg alleen dat dit enkele van de opties zijn die mogelijk zijn. Sommige benaderingen kunnen beter of slechter werken voor sommige mensen, en kunnen afhankelijk zijn van de situatie.
Een andere optie kan zijn om te reageren. Zeg gewoon: “Als iemand in onze systemen komt vanwege een kort wachtwoord, zal het waarschijnlijk niet mijn schuld zijn”. Je kunt dat in de loop van de tijd inkorten. Dit kan hem inspireren om meer/harder te vechten, in het besef dat er een reactie is ontwikkeld. Dus het resultaat op korte termijn kan zijn dat de situatie verslechtert, vanuit uw perspectief. Maar als je gewoon doorgaat met dezelfde oude reactie, dan zal die uitwisseling hem uiteindelijk waarschijnlijk vervelen in de beslissing om het onderwerp gewoon te laten vallen.