Ich würde empfehlen, es auf 0000 oder eine andere angegebene Kombination einzustellen (spielt keine Rolle, was auch immer).

"Um die Zifferblätter herum pürieren" ist ein wenig vage, aber ich würde es anhand meiner eigenen erraten Verhalten, bei dem die meisten oder alle Wählscheiben auf einmal bewegt werden, wodurch eine starke Korrelation zwischen der aktuellen Kombination und der Sperrkombination entsteht. Wenn die Sperrkombination beispielsweise 1234 ist, kann jemand sie in 5678 ändern (wahrscheinlich nicht genau, aber nah genug, dass ein Angreifer die von ihm versuchten Kombinationen priorisieren kann).

Menschen neigen auch dazu, einige zu denken Dinge scheinen sicherer zu sein, wenn sie die Sicherheit tatsächlich schwächen. Jemand könnte versuchen, eine Kombination festzulegen, die "weiter" von der Sperrkombination entfernt zu sein scheint, z. B. 1234 auf 6578 anstelle von 2142 zu ändern, da 2142 zu nahe an der Sperrkombination liegt. Dies könnte es einem Angreifer ermöglichen, die Reihenfolge zu priorisieren, in der er Kombinationen versucht. Durch Angabe eines konstanten Werts zum Festlegen werden solche Probleme vermieden.

Theoretisch ist das Nullsetzen oder eine vorgegebene Sequenz sicherer als Sie könnten. Theoretisch raten Sie, wie weit jemand die Wählscheiben bewegen könnte.

Es ist auch denkbar, dass Sie das überprüfen könnten Wenn die Wählscheiben bei genügend verschiedenen Gelegenheiten gesperrt sind, können Sie die wahrscheinliche Kombination eingrenzen, wenn sie jedes Mal auf ähnliche Weise zurückgesetzt wird.

In der Praxis ist dies wahrscheinlich ein bisschen weit hergeholt und alles mit einem Zahlenschloss hat wahrscheinlich größere Bedenken, z. B. die Kombination, die zu vielen Menschen bekannt ist, oder die Tatsache, dass eine beliebige Anzahl zwischen 1950 und 2018 plus die Geburtsjahre von mäßig berühmte Personen sind wahrscheinlich eine ziemlich gute Vermutung.

Allerdings kann es betriebliche Vorteile haben, wenn Kombinationen auf Null gesetzt werden, da dies eine klare, eindeutige Richtlinie darstellt und es einfach ist, visuell zu überprüfen, ob das Schloss sicher ist ohne dass die Person, die die Überprüfung durchführt, die Kombination kennen muss, insbesondere wenn die tatsächliche physische Überprüfung, ob das Schloss geschlossen ist, problematisch ist, z. B. wenn das Öffnen einen Alarm auslöst. Sie könnten auch argumentieren, dass das Hinzufügen des zusätzlichen Nullungsschritts eher zu einer Routine führt und es daher weniger wahrscheinlich ist, dass die Benutzer vergessen, die Sperre überhaupt zu setzen, obwohl dies zugegebenermaßen umstritten ist.

Wenn Sie beispielsweise einen Nachtwächter haben, können Sie ihn einfach bitten, zu überprüfen, ob alle Sperren auf 0000 eingestellt sind. Dies ist sowohl einfach als auch überprüfbar.

Es gibt auch eine (zugegebenermaßen schwach) Überprüfen Sie, ob die Sperren nicht manipuliert wurden. Hier wäre eine willkürlichere Reihenfolge besser.

Wenn Sie beispielsweise alle Sperren beim Verlassen auf 2375 setzen und die Reihenfolge anders ist, wenn Wenn Sie zurückkommen, wissen Sie, dass sich jemand mit ihnen angelegt hat.

Sie sollten sich auch darüber im Klaren sein, dass einige Arten der Kombinationswahlsperre sehr trivial zu wählen sind, da Sie häufig spüren können, wenn jedes Zifferblatt einrastet, indem Sie schnell durch jedes Zifferblatt fahren oder von außen prüfen. Ebenso hat ein 4-Wählschloss nur 10.000 (10 ^ 4) mögliche Kombinationen, und Sie können Kombinationen häufig sehr schnell systematisch durchlaufen.

Es spielt keine Rolle.

Eine Sperre kann drei Arten von Schutz bieten:

1. Verzögern Sie einen Angreifer, auf eine Ressource zuzugreifen, damit sie unterbrochen und gestoppt werden können
2. Beweise für Manipulationen vorlegen
3. Einen potenziellen Angreifer davon abhalten, einen Angriff zu versuchen
ol>

Wie in den Antworten und Kommentaren erläutert, kann er nicht viel bewirken in der Art, einen Angreifer zu verzögern. Das Schloss kann einfach mit einem Werkzeug wie diesem $ 10 Paar Bolzenschneider geschnitten werden. Es kann einfach mit einem Werkzeug ausgewählt werden, wie der Kommentar von CGCampbell hervorhebt.

Die Leichtigkeit, mit der es verwendet wird kann ausgewählt werden, schränkt auch seine Wirksamkeit als Manipulationsnachweis ein. Andere Antworten weisen darauf hin, dass es auch ohne ein Picking-Tool ziemlich leicht besiegt werden kann. Auch hier scheitert es wirklich.

Dies lässt seinen einzigen Wert als psychologischen Nutzen. Es wird mitgeteilt, dass die Wertsachen im Inneren nicht für einen uneingeschränkten Zugang bestimmt sind, was Menschen davon abhält, deren Sinn für Moral oder die Angst, erwischt zu werden, sie daran hindert, es überhaupt zu versuchen.

Auf dem Zifferblatt steht also fast Null Relevanz für seine Verteidigungsfähigkeiten. Infolgedessen benötigen Sie andere Abwehrmechanismen, um Ihre Sicherheitsziele zu erreichen, wenn diese über den psychologischen Einfluss hinausgehen. Die Überwachung (Video oder persönlich) würde Ihnen Manipulationsnachweise viel zuverlässiger liefern, wenn Sie dies benötigen. Wenn dies nicht möglich ist, gibt es andere Möglichkeiten, dies zu erreichen. Andere Schutzmaßnahmen sind erforderlich, wenn Sie beabsichtigen, sie vor entschlossenen Angreifern zu schützen.

Nullen. Vielleicht mehr Arbeit, aber Sie laufen nicht Gefahr, zu wenig oder um dieselbe Menge für mehrere Wählscheiben zu drehen. Ein Angreifer hätte jedoch in beiden Fällen sehr wenig zu tun ... Die meisten Leute würden dies nicht in Betracht ziehen. Die tatsächliche reale Sicherheit zwischen den beiden ist wahrscheinlich ungefähr gleich. Sie hätten nur nichts extra zu tun, wenn Sie es auf Null setzen, und es ist gut, eine solche Gewohnheit zu bilden.

Bei der Beantwortung dieser Frage sind einige Dinge zu beachten.

1. Wenn Sie nach einer statistischen Antwort suchen, "drehen" Sie die Wählscheiben eine bestimmte Anzahl von Malen zufällig vorwärts und rückwärts. (Ich habe nicht die Zählung, da dies eine Berechnung wäre, die ich nicht bei mir habe. Es ist wie eine erforderliche Anzahl von Mischvorgängen in Vegas, um als zufällig angesehen zu werden.)

2. Wenn Sie dies aus Sicherheitsgründen betrachten, ist es die bessere Antwort, eine bestimmte Nummer festzulegen (wobei 0000 diese bestimmte Nummer sein könnte). Der Grund, warum es eine bessere Antwort ist, wurde in anderen Posts angesprochen, aber zusammenfassend erfordert es, dass die Person, die das Schloss sperrt, "nachdenkt", um sicherzustellen, dass es gewählt wurde. Es liefert keine statistischen Informationen über die Zeit, um Bewegungen zu erraten. Es ermöglicht die regelmäßige "Entdeckung" von Manipulationen (wenn überhaupt, um die Zahlen zu verschieben). Wenn die von Ihnen festgelegte Zahl 0000 ist, hat der Manipulationsteil möglicherweise eine geringere Wirksamkeit, da sich jemand, der damit spielt, wahrscheinlich daran erinnert, ihn wieder auf 0000 zu stellen.

ol>

Leider alle Dies ist insgesamt etwas umstritten, wenn die Person, die versucht, das Schloss zu öffnen, weiß, was sie tut. Diese 4-stelligen Combo-Schlösser wie das abgebildete können in weniger als 30 Sekunden von jemandem geöffnet werden, der Erfahrung mit ihnen hat. Wenn sie eine dünne Unterlegscheibe haben, sogar noch schneller ... Nur ein typisches Beispielvideo, wie dies gemacht wird (allerdings mit stärker belichteten Zifferblättern) https://www.youtube.com/watch?v=ABKsUNitXqw oder https://www.youtube.com/watch?v=jmhSSuCIdPI. Nachdem ich mehrere Jahre bei DefCon gearbeitet habe, ist es ziemlich erstaunlich, ein paar Minuten im Lockpicking-Dorf zu sitzen und jungen Erwachsenen zuzusehen, wie sie diese Dinge nach weniger als 15 Minuten Training schnell platzen lassen.

Wissen, wie einfach diese sind Pop und die Tatsache, dass Sie sich wahrscheinlich Sorgen um Manipulationen machen, # 2 oben ist der langfristige Weg.

Um eine zusätzliche Sicherheitsstufe hinzuzufügen, verwenden Sie entweder beide Richtungen gleichermaßen zum Nullstellen oder drehen Sie immer alle in eine Richtung, um die gleiche Anzahl von Fingerabdrücken zu hinterlassen. Die Leute neigen dazu, eine Nummer einmal zu wählen und sie auswendig zu lernen. Der Weg von Null zu (oder nahe) der richtigen Kombination wird möglicherweise im UV-Licht sichtbar.

Ich denke, das ist noch einfacher, als zu erraten, ob eine gezeigte Kombination ungleich Null vom blinden Drehen oder von Hand ausgewählt wurde: Auswendiglernen, was wurde bereits versucht, kann ähnlich viel Zeit und Mühe in Anspruch nehmen, als 0000-9999 in der richtigen Reihenfolge durchzugehen. Und sobald es gestohlen wird, spielen Zeit und Kombination keine Rolle mehr: Ich würde mich auf Bedrohungen konzentrieren, die sich verwirklichen könnten, während Sie den Rücken kehren, ohne zu wissen, dass die Geheimnisse kompromittiert wurden.

Theoretisch ist die Einstellung auf 0000 überlegen, da keine Korrelation zu dem besteht, was zuvor vorhanden war. In der Praxis ist es etwas überlegen, da Sie die Möglichkeit haben, die Konformität zu überprüfen, während ein bestimmtes Verfahren, das eine angemessene Randomisierung erfordert, nicht einfach überprüft werden kann, um festzustellen, ob die Benutzer das Protokoll tatsächlich befolgen, anstatt nur beiläufig zu bürsten ihren Daumen über alle Räder zusammen.

Aber noch praktischer ist es absolut dumm, sich für ernsthafte Sicherheit auf ein solches Schloss zu verlassen. Wenn es diese Analyse wert ist, ist es ein Schloss wert, das kein Spielzeug ist. Regel für Bolzenschneider.

Mehr zum Nullstellen des Ergebnisses, was mein empfohlener Ansatz ist. Dies ist eine theoretische Antwort.

Angenommen, ein Angreifer weiß, wie Sie die Sperre zurücksetzen, indem er entweder auf Null setzt, einen festen Wert festlegt oder die Ziffern verschlüsselt, sollte er dennoch kein Wissen behalten der richtigen Kombination und damit der gleichen Wahrscheinlichkeit, eine zufällige Kombination zu finden.

Dies könnte durch "Herumwirbeln" unterbrochen werden, da kein Mensch eine perfekte Quelle für zufällige Quellen ist. Tatsächlich könnten sie die schlimmsten sein.

Das Umschlagen der Ziffern könnte mit einem mechanischen / elektronischen Gerät funktionieren, das die Ziffern basierend auf einer wirklich oder gut zufälligen Quelle dreht.

Aber normalerweise Menschen würde die Ziffernmuster anwenden, die die möglichen zu suchenden Werte reduzieren könnten.

Angenommen, Sie und der Angreifer teilen eine Reihe von Sperren, von denen beide die Kombination kennen . Normalerweise würde man zum Beispiel die Finger "zufällig" über die Walzen streichen, damit sie auf eine andere Zahl zeigen. Oder bewegen Sie die Rollen in einer Reihenfolge, die das Gehirn beibehalten möchte.

Vielleicht stellt jemand sicher, dass die resultierende Zahl alle von der richtigen Kombination abweichenden Ziffern oder eine Mindestanzahl von Ticks em anzeigt > beim Ändern jeder Ziffer.

Dies führt zu einem bekannten Klartextangriff mit zunehmender Anzahl von Versuchen (auch dies ist eine theoretische Antwort) und gibt zusätzlich Informationen zu der Kombination, die der Angreifer nicht haben sollte.

Was bedeutet hervorgehobenes zusätzliches ? Selbst wenn es dem Angreifer gelingt, festzustellen, dass eine einzelne Ziffer sicherlich eine falsche Vermutung ist, hat er die erforderlichen Brute-Force-Angriffe um 1000 verringert. Fügen Sie weitere Ziffern hinzu, um die Angriffsfläche einzuschränken.

Einstellung auf 0000 oder ein beliebiger vordefinierter Wert macht die Gewinnchancen jeder Kombination gleich

In praktischer Hinsicht spielt es keine Rolle, dass es schwieriger sein wird, das blinde Scrambling rückgängig zu machen, als nur mit den Wählscheiben herumzuwackeln und ein Gefühl für das Schloss zu bekommen. Es ist ziemlich einfach, ein Zahlenschloss zu öffnen, indem Sie die Wählscheiben drehen und fühlen, wie es reagiert. Kombinationsschlösser wie diese sind nur eine milde Abschreckung.

Sie können beispielsweise auch eine andere Zufallszahl 3234 festlegen und diese nach dem Sperren auf diese Zahl zurücksetzen, damit Sie leichter erkennen können, ob mit ihr gespielt wurde, anstatt mit 0000

Es ist eigentlich eine ziemlich schlechte Idee, von jedem zu verlangen, dass er alle Nullen verwendet, da das Erfordernis aller Nullen ein lästiges Sicherheitstheater ist.

Ich habe das starke Gefühl, dass es keinen funktionalen Unterschied zwischen den beiden gibt. Ich werde jedoch ermutigt, eine Best Practice festzulegen.

Die Best Practice sollte etwas sein, das die Menschen konsequent tun und befolgen, und etwas, für das Ihre Kohorte die Bedeutung versteht. Die Argumente, die sich ergeben, wenn jemand vergisst, alles auf 0 zu setzen, oder sich nicht so fühlt, als wäre es nichts anderes als kleinlich. Natürlich weiß jeder in Ihrem Team, dass es keinen Unterschied macht, zumindest keinen Unterschied, der nicht mit "technisch gut" beginnt.

Wenn das Management in Bezug auf Sicherheit wörtlich ist, können Sie dies von den Mitarbeitern erwarten Seien Sie gleich wieder wörtlich. Wenn sich die Leute wirklich aufregen, können Sie davon ausgehen, dass das Schloss am Boden auf alle Nullen eingestellt ist und der Safe eines Tages geöffnet ist, so wie es das Management wünscht.

Theoretisch sind sie gleichermaßen (in) sicher. Wäre einer von ihnen sicherer (z. B. blindes Drehen der Wählscheiben), würde der Angreifer dies ebenfalls wissen und die Sperre auf "0000" setzen, um die Komplexität zu verringern, und umgekehrt.

Eine Sache, die zu beachten ist, ist, dass das zufällige Drehen von Ziffern theoretisch Ihren Code ausgeben könnte, wenn es "einfacher" ist, die Ziffer an die richtige Position zu drehen (was bedeuten sollte, dass es sich um eine sehr schlechte Sperre handelt, aber Meines Wissens sind einige Schlösser so). Wenn Sie also ein zufälliges Element einführen möchten, ist es möglicherweise besser, selbst eine Zufallszahl zu finden, sicherzustellen, dass sie nicht zu nahe an der richtigen Zahl liegt, und die Sperre auf diese Zahl zu setzen