Diceware

(będe używał tego sformułowania, jako że trudno znaleźć polski odpowiednik słowa Passphrase)

Na przykład popularny program do szyfrowania stworzony przez Phila Zimmermanna PGP, wymaga utworzenia frazy hasła, którą musisz wprowadzić kiedy chcesz podpisać lub odszyfrować wiadomości. Podobnie robi wersja OpenSource, czyli GnuPG. Serwis internetowy HushMail dostarcza darmowe szyfrowanie poczty elektronicznej, ale jego bezpieczeństwo zależy prawie całkowicie od jakości wybranej przez Ciebie frazy hasła (zobacz Diceware FAQ jeśli planujesz użycie HushMail).

Frazy haseł są także używane w programach do szyfrowania dysków. Powinieneś podążyć za instrukcjami Diceware i posiadać gotową frazę hasła przed utworzeniem kluczy PGP lub GPG, założniem nowego konta HushMail czy też szyfrowaniem dysku.Frazy haseł różnią się od zwykłych haseł tylko długością. Hasła (Passwords) są zwykle krótkie – sześć do dziesięciu znaków. Krótkie hasła są wystarczające do logowania do systemu komputerowego, który jest zaprogramowany tak, aby wykryć dużą ilość niepoprawnych prób, ale nie są wystarczająco bezpieczne dla systemów szyfrowania. Frazy haseł są zwykle o wiele dłuższe – typowo 20 do 40 znaków, czasem więcej. Czym dłuższe, tym bezpieczniejsze. Nowoczesne frazy haseł zostały wynalezione przez Sigmund N. Porter w 1982r.

Jeśli wszystko, co potrzebujesz teraz, to hasło do logowania – kliknij tutaj. W przeciwnym wypadku – czytaj dalej.

Wybranie dobrej frazy hasła to jedna z najistotniejszych rzeczy, które możesz zrobić aby zabezpieczyć prywatność swoich danych komputerowych i wiadomości elektroniczych.
Fraza hasła powinna być:

• Znana tylko Tobie
• Wystarczająco długa, aby być bezpieczna
• Trudna do odgadnięcia – nawet przez kogoś, kto zna Cię dobrze
• Łatwa do zapamiętania
• Łatwa do wprowadzenia z klawiatury

      16655     clause
      16656     claw
      16661     clay
      16662     clean
      16663     clear
      16664     cleat
      16665     cleft
      16666     clerk
      21111     cliche
      21112     click
      21113     cliff
      21114     climb
      21115     clime
      21116     cling
      21121     clink
      21122     clint
      21123     clio
      21124     clip
      21125     clive
      21126     cloak
      21131     clock

Kompletna lista zawiera 7776 krótkich angielskich słów, skrótów oraz łatwych do zapamiętania łańcuchów znaków. Średnia długość słowa wynosi około 4.2 znaków. Największe słowa są sześcioznakowe. Lista bazuje na dłuższej liście słów opublikowanej na grupie news sci.crypt przez Peter Kwangjun Suk. Alternatywna lista zredagowana przez Alan Beale, zawiera mniej amerykanizmów i obskurnych słów. Są także listy dla kilku innych języków. Możesz także ściągnąć listę słów w formacie PostScript.

Nie używaj programu komputerowego ani innego elektronicznego generatora rzutów !

1. Najpierw ściągnij kompletną Listę Diceware lub alternatywną listę Beale i zapisz ją w komputerze.Tutaj jest lista Diceware dla języka polskiego(przyp. tłumacza)Wydrukuj ją jeśli chcesz i powróć do tej strony.
2. Następnie zdecyduj ile słów chcesz mieć w swojej frazie hasła. Zalecamy pięć słów we frazie hasła do użycia z PGP, S/MIME i podobnymi programami szyfrującymi. Zalecamy sześć słów do użycia z HushMail i programami do szyfrowania plików. Dla paranoików – atak na frazę hasła zawierającą siedem słów będzie niewykonalny w przewidywalnej przyszłości. Jeśli chcesz zrozumieć dlaczego, zobacz Diceware FAQ.
3. Teraz rzuć kośćmi i zapisz rezultat na kartce papieru. Zapisuj cyfry w grupach po pięć. Utwórz tyle grup pięciocyfrowych ile chcesz mieć słów w swojej frazie hasła. Możesz rzucać pięć razy jedną kostką lub raz pięcioma kostkami, lub jakąkolwiek kombinację pośrodku. Jeśli rzucasz kilkoma kostkami na raz, odczytuj wynik od lewej do prawej.
4. Znajdź każdą z tych pięciocyfrowych liczb w liście Diceware i odczytaj słowo znajdujące się obok. Na przykład 21124 oznacza, że Twoim słowem we frazie hasła będzie „clip” (spójrz na wyciąg z listy słów powyżej).
5. Kiedy skończysz, znalezione słowa są Twoją nową frazą hasła. Zapamiętaj je i zniszcz kartkę papieru lub zachowaj ją w naprawdę bezpiecznym miejscu. To wszystko.

Przykład:

Przypuśćmy, że chcesz utworzyć frazę hasła składającą się z pięciu słów, tak jak zalecamy dla większości użytkowników. Będziesz potrzebować 5 rzutów pięcioma kostkami lub 25 rzutów jedną. Powiedzmy, że wyszły tak:

      1, 6, 6, 6, 5, 1, 5, 6, 5, 3, 5, 6, 3, 2, 2, 3, 5, 6,
      1, 6, 6, 5, 2, 2 i 4

Zapisujesz wyniki na kartce papieru w grupach po pięć:

      1 6 6 6 5
      1 5 6 5 3
      5 6 3 2 2
      3 5 6 1 6
      6 5 2 2 4

Teraz szukasz każdej grupy pięciu cyfr w liście słów Diceware i zapisujesz słowo znajdujące się obok liczby:

      1 6 6 6 5     cleft
      1 5 6 5 3     cam
      5 6 3 2 2     synod
      3 5 6 1 6     lacy
      6 5 2 2 4     yr

Twoja fraza hasła brzmi więc:

      cleft cam synod lacy yr

• Dla zapewnienia maksimum bezpieczeństwa, upewnij się że jesteś sam. Pisz na twardej powierzchni, nie na bloku papieru. Po zapamiętaniu frazy hasła spal swoje notatki, sproszkuj popioły i spuść z wodą w toalecie.
• Jeśli pracujesz z kopią listy słów, ściągnij listę słów Diceware w formacie PostScript. Albo otwórz zwykłą listę w procesorze tekstu i sformatuj ją
  tak, by miała 4 kolumny i 54 linie na stronie. Otrzymasz staranny, 36-cio stronicowy wydruk w którym rzuty dwoma pierwszymi kostkami są takie same dla każdej strony. To znacznie ułatwia szukanie. Bądź ostrożny i nie zaznaczaj jakkolwiek wybranych słów. Możesz także znaleźć listę słów jako dodatek do Internet Secrets.
• Jeśli potrzebujesz często tworzyć frazy haseł, weź pudełko po butach lub podobnej wielkości pojemnik na żywność. Włóź tam pięć kości i potrząśnij nim z wigorem – przynajmniej dziesięć razy – wtedy przechyl pudełko tak, aby wszystkie kości zsunęły się do jednej krawędzi. Wtedy otwórz pudełko, odczytaj rezultat od lewej do prawej lub od przodu do tyłu i poszukaj odpowiednich wpisów w liście słów. Powtarzaj ten proces dopóki nie uzyskasz wystarczającej ilości słów dla Twojej frazy hasła.
• Zalecamy, abyś używał frazy hasła dokładnie takiej, jaka została wygenerowana. Jeśli potrzebujesz silniejszej frazy hasła, wybierz dodatkowe słowo używając metody diceware.
• W związku z tym, że niektóre słowa w liście diceware są dwuznakowe lub krótsze, możesz otrzymać bardzo krótką frazę hasła. Jeśli Twoja fraza hasła, wliczając spacje między słowami jest krótsza niż 14 znaków, zalecamy rozpocząć od nowa i wygenerować nową frazę hasła. Powinieneś także rozpocząć od nowa jeśli Twoja fraza hasła jest rozpoznawalną frazą lub zdaniem w języku Angielskim (lub innym – przyp. tłumacza). Żadna z powyższych sytuacji nie występuje zbyt często.
• Zobacz Diceware FAQ odnośnie sugestii jak zapamiętać frazę hasła.
• Jeśli używasz frazy hasła do szyfrowania plików, zalecamy abyś zachował zapisaną na papierze kopię w bezpiecznym miejscu. Jeśli nie zachowasz i zapomnisz frazę hasła, Twoje pliki będą bezpowrotnie utracone.

• Aby zwiększyć bezpieczeństwo nie dodając kolejnego słowa możesz wstawić znak specjalny lub cyfrę w losowym miejscu we frazie hasła. Oto jak zrobić to bezpiecznie: rzuć jedną kością, aby wybrać słowo w Twojej frazie hasła, rzuć drugi raz, aby wybrać literę w tym słowie. Rzuć trzeci i czwarty raz aby wybrać dodawany znak z poniższej tabeli:

              Trzeci rzut
           1   2   3   4   5   6
  C 
  z  1     ~   !   #   $   %   ^
  w  2     &   *   (   )   -   =
  a  3     +   [   ]   \   {   }
  r  4     :   ;   "   '   <   >
  t  5     ?   /   0   1   2   3
  y  6     4   5   6   7   8   9
  

• Dla skłonnych technicznie: każde słowo we frazie hasła Diceware uzyskuje 12.9 bitów entropii, na drodze pomiaru bezpieczeństwa frazy hasła. Fraza hasła składająca się z pięciu słów powinna posiadać entropię minimum 64.6 bitów; składająca się z sześciu słów powinna mieć 77.5 bitów, z siedmiu 90.4 bitów. Wstawienie litery w losowym miejscu dodaje około 10 bitów entropii. Zakładając oczywiście, że trzymasz swoją frazę hasła w tajemnicy.
• O wiele więcej na prawdę niepotrzebnych Ci informacji znajdziesz w Diceware FAQ.

• Łatwa do nauczenia i używania
• Bardzo bezpieczna
• Dokładnie opisana – mówimy Ci dokładnie co masz zrobić w każdym kroku procesu
• Przejrzysta – nie ma żadnych „zaufaj mi”
• Darmowa – nie wymaga żadnego oprogramowania ani sprzętu komputerowego, tylko listę Diceware i kilka zwykłych kości do gry

Recepturalna natura Diceware jest bardzo ważna dla nowych użytkowników szyfrowania. Oto doświadczenia jednej osoby wysłane na grupę news alt.security.pgp w Styczniu 1996r:

„Chciałem zrelacjonować osobistą historię o tym jak trudno przekonać nowicjusza jak ważne jest wybranie bezpiecznego hasła i dać mu do zrozumienia co stanowi bezpieczne hasło. Ja jestem już starym wygą zarówno jeśli chodzi o Internet jak i kwestie bezpieczeństwa. Moja siostra jest jednak świeża w temacie, dopiero niedawno założyła konto w Internecie. Ona mieszka na środkowo-zachodnim podczas gdy ja na zachodnim wybrzeżu. W rezultacie wymieniamy trochę bardzo osobistych e-maili.

Ostatnio zechciała dać swoje hasło Internetowe swojemu mężowi, aby mógł korzystać z Internetu. Lecz jednak cały czas chciała mieć możliwość wymiany prywatnych wiadomości ze mną tak, aby nie mógł ich przeczytać. Ja oczywiście zapoznałem ją z PGP.

Dałem jej zwyczajowy wykład o tym jak ważne jest wybranie hasła, którego nikt inny nie będzie mógł łatwo zgadnąć, oraz, że idealne hasło powinno być trochę niezrozumiałe i bezsensowne, słowo które ma znaczenie tylko dla niej. Powiedziałem jej, aby nie wybierała dat urodzin, rocznic, imion i podobnych. Nie zasugerowałem też losowej kombinacji liter i cyfr, ponieważ nie chcieliśmy osiągnąć bezpieczeństwa rangi światowej, chcieliśmy tylko trzymać jej męża z dala od prywatnej korespondencji. Więc, po tym jak wybrała już swoje hasło do PGP, zdecydowałem, że spróbuję je zgadnąć. PIERWSZE hasło, które spróbowałem zadziałało ! Była totalnie zaskoczona jak łatwo je odgadłem, ale to było słowo, które znane było każdemu, kto miał z nią styczność. Więc, po udzieleniu jej kilku kolejnych rad dobrego doboru haseł, kazałem jej spróbować znowu. Tym razem potrzebowałem tylko trzech prób, zanim znalazłem odpowiednie słowo. W końcu poddała się i kazała mi wybrać hasło dla niej.”

Jeśli by użyła Diceware, pierwsza fraza hasła siostry autora byłaby całkowicie bezpieczna i znana tylko jej.

Pamiętaj: przy kryptografii opartej na kluczu publicznym, bezpieczeństwo Twojej wiadomości zależy od frazy hasła odbiorcy. Rozpowszechnij więc kilka słów o Diceware !

Diceware FAQ: Pytania i odpowiedzi dla ludzi, którzy chcą wiedzieć więcej o Diceware i generacji fraz haseł.

Lista słów Diceware, lista w formacie PostScript, Lista słów Beale’a, lista Diceware8k do komputerowej generacji.

Przegląd użycia fraz haseł PGP Mała ankieta, którą uruchomiłem, aby dowiedzieć się czego używają użytkownicy PGP do tworzenia fraz haseł i kilka sugestii dla udoskonalenia.

Diceware do Generowania Fraz Haseł i Innych Aplikacji Kryptograficznych: Zawiera informacje o innych zastosowaniach Diceware oraz analizę bezpieczeństwa Diceware.

Zabezpieczanie haseł opracowane przez Gary McGraw i John Viega, artykuł w IBM Developerworks Security Library omawiający hasła, frazy haseł i Diceware.

Passgen: Aplet Javy do generowania haseł Używa opóźnień klawiatury do generowania losowych haseł bazujących na wybranym formacie. Nie tak bezpieczny jak metoda Diceware, ale
adekwatny dla haseł logowania i podobnych aplikacji. Dołączony kod źródłowy.

Źródła Szumów Losowych: Kolekcja informacji o źródłach losowości do zastosowania w komputerach.

Strona CipherSaber: Naucz się jak zbudować własny program do silnego szyfrowania. To łatwiejsze niż myślisz !

Inne Dokumenty dotyczące Kryptografii stworzone przez Arnold Reinhold P=?NP — who Cares?, Cryptanalysis of Histocompatibility, itp.

S. N. Porter, A Password Extension for Improved Human Factors,

Advances in Cryptology: A Report on CRYPTO 81, Allen Gersho, editor, volume 0, U.C. Santa Barbara Dept. of Elec. and Computer Eng., Santa Barbara, 1982. Pages 81–81. Also in Computers & Security, Vol. 1. No. 1, 1982, North Holland Press.

Oren Tirosh posiada stronę poświęconą używaniu list słów do reprezentacji wielkich liczb dla celów kryptograficznych i innych. Zawiera odnośniki do wielu interesujących list słów.

Chińska wersja strony Diceware przetłumaczona przez Lian.

Fińska wersja strony Diceware, przetłumaczona przez Kai Puolamaki, zawiera Fińską listę słów. Oto przykład frazy hasła Noppaware („noppa” oznacza po Fińsku kostkę):

olli kukot hoveli hintaa airoja

Francuska wersja strony Diceware przetłumaczona przez Joachim Dubuquoy-Portois.

Polska wersja strony Diceware przetłumaczona przez Piotr (DrFugazi) Tarnowski

Niemiecka lista słów dostarczona przez Benjamin Tenne na warunkach GNU General Public License. Oto przykład niemieckiej frazy hasła:

distel ist landen kammer puffen

Hiszpańska lista słów dostarczona przez Manuel Palao.

Polska lista słów Diceware wygenerowana przez Piotr (DrFugazi) Tarnowski.

Diceware Kit zawiera instrukcje jak utworzyć listę słów Diceware dla innych języków.

Specjalne podziękowania dla wszystkich tłumaczy.

MIT’s Distribution Site for PGP

PGP International Home Page

Fran Litterio’s Cryptography, PGP and Your Privacy Page

PGP Home Page

PGP-Basics Newsgroup on Yahoo

Passphrase FAQ by Randall T. Williams

SkuzNET – How to Choose a Passphrase FAQ