ישנן טכניקות כמו מתקפת מילון לניחוש סיסמאות נפוצות בסבירות גבוהה. במתקפת מילון, התוקף מצליח לשים ידו על עותק של קובץ הסיסמאות של המערכת ומנסה לנחש סיסמאות על ידי שימוש במילון סיסמאות נפוצות (בבדיקת הערכים החד-כיווניים של כל סיסמה אפשרית). בשיטה זו לא מתמקדים במשתמש ספציפי, אלא תוקפים את קובץ הסיסמאות כולו.
בדרך כלל אם לא מגבילים משתמשים בבחירת הסיסמה, הם נוטים לבחור מילים או ביטויים נפוצים, חלקים משמם או תאריכים ידועים. על כן ישנן מערכות שאוכפות "כללי סיסמה", כדי למנוע מהמשתמשים לבחור סיסמאות חלשות. המטרה של כללי סיסמה היא הגברת האנטרופיה (רמת אי-הוודאות) של הסיסמה, כדי להקשות על מתקפת המילון האמורה. אם הסיסמה נבחרה בהסתברות שווה מתוך קבוצת כל הסימנים האפשריים אזי האנטרופיה שלה מקסימלית והיא שווה ללוגריתם בבסיס 2 של טווח הסיסמאות האפשרי.
דוגמאות לכללי סיסמה נפוצים: הגבלת אורך מינימלי לסיסמה, הקפדה על שימוש במגוון רחב יותר של תווים וסימנים כמו אותיות, מספרים וסימני פיסוק, בדיקה שהסיסמה אינה חלק משם המשתמש או בעלת יתירות גבוהה (כמו חזרה על תווים מסוימים מספר פעמים). כמו כן מערכות רבות אף מגבילות את תוחלת החיים של הסיסמה (כלומר דורשות החלפת הסיסמה בתדירות גבוהה).
הדרישה לסיבוכיות של סיסמה אינה מבטיחה סיסמה איכותית כך למשך דרישה לאותיות גדולות, קטנות, סימנים מיוחדים וספרות עדיין מאפשרת את הסיסמה P@ssw0rd שהיא סיסמה המופיעה בכל מילון סיסמאות, ולכן מערכות הפעלה ותוכנות מאפשרת בדיקה במילונים לפני אישור הסיסמה או בניית חוקים ממוקדים הבודקים את הסיסמה באופן אובייקטיבי (למשל שימוש בשם החברה או שם המשתמש בתוך הסיסמה) או סובייקטיבי (שימוש בתאריך לידה של המשתמש בתוך הסיסמה).
ניפוח סיסמה (Salting).
שיטה נוספת להתגונן מפני מתקפת מילון, היא "ניפוח" הסיסמה. הצמדת מחרוזת שאינה סודית אבל אינה מפורסמת (למשל פונקציה של שם המערכת) לכל סיסמה בעת הכנסתה לפני השימוש בפונקציה חד-כיוונית (ערך זה נשמר בקובץ הסיסמאות במצב קריא). כאשר המערכת מאמתת סיסמה היא מוסיפה תחילה את ערך הניפוח המתאים לפני בדיקה בפונקציה חד-כיוונית. התועלת שבשיטה זו היא בעיקר לייצר שונות בין ה HASH של סיסמה נתונה במערכת אחת לבין סיסמה זהה במערכת אחרת ובמקביל לאלץ את התוקף לבדוק כמות גדולה יותר של מידע במידה והיה שימוש בסיסמה קצרה, מה שמגדיל את סיבוכיות המתקפה. כמו כן ביצוע התאמות מיוחדות בפונקציה החד-כיוונית שמאטות את תהליך אימות הסיסמה מקשות גם על הפעלת כוח גס, כגון שימוש בפונקציה חד-כיוונית עם מספר גדול יותר של סבבים.
משפט-סיסמה (Pass-phrase) ומפתח-סיסמה (Passkey).
משפט-סיסמה הוא משפט או פסוק בעל משמעות המורכב ממספר מילים בעלות הקשר כלשהו. למרות שהמשפט מכיל יתירות גבוהה יותר מסיסמה חסרת משמעות, השימוש בו מגביר את האנטרופיה מאוד. בדרך כלל לא משתמשים במשפט סיסמה ישירות אלא תחת זאת מגבבים את מחרוזת המילים לערך בגודל קבוע באמצעות פונקציית גיבוב בטוחה וערך זה משמש כסיסמה. הרעיון הוא שלמשתמש קל יותר לזכור משפט הגיוני מאשר רצף חסר משמעות של תווים. בשפה האנגלית כל אות מכילה כ-1.5 סיביות של אנטרופיה, במשפט ארוך סך כל הסיביות האנטרופיה מציע בטיחות גבוהה. החיסרון היחידי במשפט-סיסמה הוא בצורך להקליד יותר.
מפתח-סיסמה הוא סיסמה שמומרת בעזרת פונקציה מוגדרת למפתח הצפנה סודי, מאחר שהסיסמה כשלעצמה קטנה מדי מכדי לשמש כמפתח הצפנה. מפתח הצפנה סימטרי טיפוסי צריך להיות בגודל של 64 סיביות לפחות (מפתח AES המינימלי הוא בגודל 128 סיביות). לבן אנוש קשה לזכור רצף ספרות באורך כזה, לצורך המחשה מפתח של 64 סיביות יכול להגיע לרצף של 20 ספרות עשרוניות. הרעיון הוא להפיק מפתח הצפנה באורך הדרוש מתוך סיסמה קצרה, בעזרת פונקציה בטוחה כלשהי, בדרך כלל פונקציית גיבוב בטוחה כמו SHA.
בטיחות.
החיסרון העיקרי בשיטת סיסמה קבועה, הוא בעובדה שהמשתמש נדרש לשדר את סיסמתו בערוץ תקשורת פתוח. מצותת המאזין לערוץ התקשורת מסוגל ליירט את סיסמת המשתמש ולעשות בה שימוש חוזר (Replay attack), גם אם הסיסמה מוצפנת. בנוסף במקרים מסוימים, תוקף יכול לנסות לנחש באופן מקוון את סיסמה.
כמו כן קיימת הסכנה כי התוקף הצליח לחדור למערכת ולחלץ את קובץ הסיסמאות. גם אם הקובץ מוצפן, הפעלת כח גס על קובץ הסיסמאות בעזרת מתקפת מילון עלולה להביא לתוצאות, במיוחד כשהתקפה כזו נעשית באופן לא מקוון, קרי לתוקף יש את הזמן הנחוץ לו כדי להריץ סריקה של כל הסיסמאות אחת אחרי השנייה או סריקה של הסיסמאות האפשריות לפי סדר עדיפות כלשהו. במקרים רבים הביאה שיטה זו להצלחות ניכרות להאקרים וקראקרים שתקפו מערכות מוגנות.
סיסמה חד-פעמית.
הרעיון של סיסמה חד פעמית (OTP) הוא להתמודד עם האיומים האמורים, ציתות או ניחוש הסיסמה ושימוש חוזר (Reply attack) בה, על ידי שימוש בסיסמה חד-פעמית בכל תהליך אימות. לאחר השימוש בה הופכת הסיסמה לחסרת תועלת לתוקף פוטנציאלי. ברוב המקרים השימוש בסיסמה חד פעמית לא מחליף את הסיסמה הרגילה, אלא נוסף לתהליך הרגיל.
ישנם כמה דרכים ליישום סיסמה חד פעמית:
אלטרנטיבה לשיטת למפורט היא, שהמשתמש ישדר למערכת ערך כלשהו formula_5 (רצוי שיהיה חותם זמן או מספר סידורי כדי למנוע שימוש חוזר), כאשר יחד עמו ישדר את formula_6, הסיסמה הראשונית ו-formula_5, מעורבלים באמצעות פונקציית גיבוב בטוחה. המערכת תקבל את זוג הערכים formula_8, המערכת תחשב את formula_9 בעזרת הסוד המשותף formula_2 השמור במערכת ותאשר את זהותו רק אם התוצאה החד-כיוונית של formula_5 יחד עם הסיסמה מתאימים ל-formula_6 שקיבלה.
שיטת למפורט וכן סכמות סיסמה חד-פעמית האמורות, אינן מהוות פתרון מושלם כנגד האיומים האמורים, משום שעדיין יש באפשרות התוקף שמסוגל לחדור למערכת, להשיג עותק של קובץ הסיסמאות. גם אם אינו יכול לעשות שימוש בסיסמאות שכבר עבר זמנן, באפשרותו לחלץ מן הקובץ סיסמאות חדשות שטרם השתמשו בהם.
האם תם עידן הסיסמאות?
מחקרים שנעשו בעבר על ידי RSA, מיקרוסופט, גוגל וגורמים נוספים, מצביעים על כך ששיטות האימות המבוססות רק על סיסמה לבדה אינן בטוחות. הם הגיעו למסקנה שסכמות סיסמה מספקות הגנה חלשה ביותר ולעיתים אף בלתי מספקת. ולכן החל מעבר לטכנולוגיה של "אימות חזק" המבוסס על פרוטוקול אתגר-מענה, שיטות אילו לא נועדו להחליף את הסיסמה אלא רק כתוספת חיזוק בתצורה שנקראת אימות דו-שלבי. כמו כן פותחו טכנולוגיות נוספות המיועדות להחליף את הסיסמה, בהן:
חלק מהן כבר נפוצות כיום בשימוש בטלפונים ניידים ובשעוני נוכחות ולאחרונה אף דווח שפייסבוק שוקלת לעבור לאימות מבוסס פנים. הממשל האמריקאי מנהיג רגולציה הנקראת CAC הדורשת בעיקרון שהחל משנת 2014 תהליכי אימות לא יבוצעו באמצעות סיסמה אלא אך ורק באמצעות כרטיס אימות ייעודי. רבים סבורים שהשימוש בסיסמאות ילך ויפחת עם הזמן, כאשר במקומן יבואו שיטות חדשות, חכמות יותר. אולם העובדות בשטח מצביעות על כך שחברות הטכנולוגיה אינן מתכוונות לזנוח את שיטת האימות באמצעות סיסמה בזמן הקרוב. כל הטכנולוגיות כיום מתמקדות בשילוב של אמצעי הגנה משני יחד עם הסיסמה אבל לא במקומה. הסיבות לכך הן בעיקר שמישות וזמינות. הרשתות החברתיות והמסחר האלקטרוני מושתתים ברובם על אימות סיסמה ולא נראה שחברות כמו פייסבוק או גוגל יוותרו על סיסמה לגמרי.
סיסמה להעברת מסר סודי באמצעי תקשורת גלויים.
מילת קוד היא סיסמה (מילה או צירוף מילים קצר) שאינה משמשת לזיהוי אלא להעברת מסר סודי באמצעי תקשורת גלויים, כגון שידורי רדיו וטלוויזיה, שקל לצותת להם, כגון קשר רדיו בלתי מוצפן. מי שאינו שותף בסוד עשוי לדעת שהועבר מסר סודי, אך אינו יודע את משמעותו המדויקת. מילות קוד משמשות גם בתקשורת שאינה גלויה, אך יש חשש סביר שתיורט על ידי מודיעין אותות של האויב.
על מנת שלא לתת להן משמעות שתקל על פענוח הקוד, מילות הקוד נבחרות בדרך כלל באופן אקראי מתוך מאגר של מילות קוד. כאשר מילות הקוד נועדו לשמש כשמו של מבצע צבאי חורגים לעיתים מגישה זו, ועם חשיפתו של המבצע לציבור ניתן לו שם קוד משמעותי, שבא לתרום ליחסי הציבור של המבצע.
באג הפנטיום
באג הפנטיום או באג FDIV הוא כינויו של פגם שנתגלה במעבדי פנטיום של חברת אינטל ב-1994. זהו אחד מהבאגים המפורסמים ביותר. לפי הדו"ח השנתי של אינטל לאותה שנה, עלות החלפת המעבדים הסתכמה ב-475 מיליון דולר.
מקור הבאג בתת-יחידה של המעבד העוסקת בחישובי מספרים בשיטת הנקודה הצפה (FPU). כדי לשפר את ביצועי המעבד ביחס לקודמו (486) תכננו מהנדסי אינטל את פעולת החילוק הכבדה של מספרי נקודה צפה כך שתעשה שימוש באלגוריתם בשם SRT. חלק מפעולת האלגוריתם היה העתקה של מערך בן 1066 תוצאות ביניים, אלא שחמש מתוך אלה לא הועתקו כראוי ובמקומם חושב בטעות המספר אפס. כתוצאה מהבאג הייתה תוצאת החילוק שגויה, אך אופי החישוב גרם לכך שההסתברות שהשגיאה תהיה משמעותית מספיק כדי להתגלות הייתה נמוכה.
במספר חישובים נדירים מאוד, ניתן היה להבחין בטעות כבר בספרה הרביעית או החמישית בחשיבותה של התוצאה. דוגמה לחישוב כזה, שהוצגה במגזין BYTE ב-1995 היא המנה: formula_1, ששווה בקירוב ל-1.3338, אך תוצאת החישוב השגוי הייתה 1.3337.
הבאג נחשף ב־30 באוקטובר 1994 על ידי תומאס נייסלי, פרופסור למתמטיקה באוניברסיטת לינצ'בורג. לנייסלי הייתה סיבה מיוחדת לשים לב לאי דיוק, מזערי ככל שיהיה, בתוצאתן של פעולות החילוק: הוא עסק בחישוב קירוב נומרי לקבוע ברון, חישוב הכרוך בסיכום מדויק של מספר רב של מנות.