Ce nu am inteles eu niciodata e: "La ce folosesti o parola secure?"
Oricum trebuie sa folosesti parole diferite pentru fiecare serviciu. Parola Mi7ki#Gi3na&Go1ld$ e inutila daca o folosesti si pe gmail si pe hacker-romania-forum.biz.co
Adminul serviciului se poate sa nu ii faca nici macar un hash, sau sa o vanda el, personal ca leak.
In opinia mea, parola Mi7ki#Gi3na&Go1ld$ e overkill pentru gmail, facebook, instagram, etc. Nu se poate face bruteforce la login, iar hashul parolei, daca e leak, e leak si la content. Ca doar nu face cineva dump doar la tabelul parole dar nu si la tabelele mesaje si admin.
In plus chiar daca e leaked hashul parolei de facebook, sper ca facebook foloseste salted hash... Si poate hardened cu 100000x rounds scrypt?!? Adica mult mai greu de crackuit...
Adica parola Mi7ki#Gi3na&Go1ld$ nu e ideala nici pentru servicii in care nu ai incredere, nici pentru servicii in care ai incredere maxima.
Desigur, parola e ok in cazul in care ai asteptarea ca hashul devine public. (ca de exemplu JWT tokens, ECC keys, public SSH etc.) In cazul asta cred ca e mult mai rezonabil sa folosesti o parola random, cu o entropie definita. Si ca sa o retii folosesti un keychain privat cu ce parola vrei tu. (plus hardening 10000..x rounds scrypt, bcrypt, etc.)
Sunt curios la ce folositi voi o parola ca "Mi7ki#Gi3na&Go1ld$"? Care e pitfall-ul in care cad eu, crezand ca o parola ca "AlexFootballC00L!!!" e mai mult decat ok pentru majoritatea situatiilor?