- Принудителните периодични промени на паролите насърчават използването на слаби ключове и предвидими модели, което намалява реалната сигурност.
- Паролите трябва да са дълги, уникални и силни и да се променят само когато има съмнение или доказателства за компрометиране.
- Многофакторното удостоверяване и мениджърите на пароли вече са ключовите инструменти за защита на акаунти от изтичане на информация и атаки.
- Бъдещето е в системи като пароли, които намаляват зависимостта от традиционните пароли и проблемите с кражбата и повторната им употреба.
Години наред чуваме, че най-отговорното нещо е да сменяме паролите си често , почти като подаването на данъчни декларации: това е задължително. Но през последните години водещи организации за киберсигурност, като например Националния институт за стандарти и технологии на САЩ (NIST) , напълно преразгледаха тази препоръка и стигнаха до поразително заключение: налагането на честа смяна на пароли обикновено влошава сигурността, вместо да я подобрява.
Тази промяна в подхода се подкрепя от данни от масови пробиви в системата за удостоверяване на самоличността, проучвания на потребителското поведение и практическия опит на компании и университети. Днес преобладаващата препоръка е да се поддържат силни, дълги и уникални пароли , да се променят само когато има съмнение или доказателства за компрометиране и да се разчита на инструменти като многофакторно удостоверяване (MFA) и мениджъри на пароли, за да се избегне неудобството от запомнянето на невъзможни пароли.
NIST, който определя техническите стандарти за правителствените агенции на САЩ и служи като еталон за компании по целия свят, е пояснил в своето ръководство SP 800-63-4, че потребителите не трябва да бъдат задължени да подновяват паролите си периодично, ако няма доказателства за пробив в сигурността. Това е радикална промяна от традиционната политика „сменяйте я на всеки 30/60/90 дни“.
Публичният проект на тези насоки обяснява, че когато паролата е избрана правилно (тя е дълга, произволна и уникална), налагането на промени на всеки един или три месеца намалява сигурността : тежестта на запомнянето на нови пароли кара хората да ги опростяват, използват повторно или прилагат предвидими модели, което е точно това, от което се възползват нападателите.
Настоящите препоръки гласят, че доставчиците на услуги и проверяващите самоличността не трябва да налагат периодично изтичане на паролите . Вместо това, те са задължени да наложат незабавна промяна, когато има признаци, че удостоверителят е бил компрометиран, например след нарушение на данните, подозрителен достъп или наличие на паролата в изтекли бази данни.
Освен това, NIST поставя под въпрос други традиционни изисквания, като например строгите правила за съставяне на пароли (налагащи комбинация от главни букви, цифри и символи) или скандалните въпроси за сигурност като „името на първия ви домашен любимец“. Доказателствата показват, че тези правила карат потребителите да се държат по много предвидим начин, генерирайки пароли като Password2023, Password2024 или Password1!, които са подарък за нападателите.
Анализът на огромни бази данни с откраднати пароли разкрива, че реалната полза от тези класически правила е далеч по-малка, отколкото се смяташе досега , докато отрицателното въздействие върху използваемостта и запомняемостта е огромно. Накратко: хората в крайна сметка търсят лесни преки пътища и тези преки пътища почти винаги съвпадат.
Как наистина са компрометирани паролите ви днес
Независимо дали сменяте паролата си на всеки три месеца или не, вашите акаунти са уязвими поради начина, по който киберпрестъпниците ги получават . Кражбата обикновено не се случва чрез чудодейно отгатване на паролата ви, а по-скоро чрез няколко много специфични и добре познати метода.
Един от най-често срещаните методи е чрез масивни изтичания на данни от онлайн услуги. Социалните мрежи, форумите, игралните платформи, сайтовете за електронна търговия и доставчиците на облачни услуги страдат от пробиви в сигурността, които разкриват милиони комбинации от потребителско име и парола, понякога дори некриптирани или със счупени алгоритми. Тези бази данни в крайна сметка се препродават на хакерски форуми и в тъмната мрежа.
Друга класическа причина е, че паролата ви е слаба или твърде често срещана . Списъците с най-използваните пароли в страни като Испания показват наистина ужасни като „admin“, „123456“, „000000“, „password“ или очевидни имена и градове като „carl0s“ или „barcelona“. Тези видове комбинации могат да бъдат разбити за по-малко от секунда с автоматизирани инструменти за груба сила.
Съществуват и фишинг атаки и атаки чрез социално инженерство , при които нападател ви подвежда да въведете паролата си на фалшив уебсайт, който имитира вашата банка, имейл или сайт за социални медии. Понякога това се комбинира със зловреден софтуер за кейлогъри, който записва натисканията на клавиши, за да улови всички въведени от вас идентификационни данни.
И накрая, не бива да забравяме софтуерните и хардуерните уязвимости . Остарели системи, рутери със стар фърмуер, приложения с пропуски в сигурността – всичко това може да позволи на трета страна да получи достъп до съхранените ви пароли или дори да ги промени и да блокира легитимния ви достъп. Оттук и настояването на експертите да поддържат системите и устройствата актуални.
Защо промяната му „за всеки случай“ може да е лоша идея
В този контекст много потребители приемат, че честата смяна на паролата им е вид универсална мярка за сигурност. Въпреки това, както NIST, така и проучвания от университети като Carnegie Mellon са съгласни, че честите и неразумни промени на паролите увеличават риска от злонамерена дейност.
Когато дадена система ви принуждава да сменяте паролите си непрекъснато, повечето хора спират да мислят твърде много за това и прилагат малки, тривиални трансформации : добавяне или увеличаване на число в края, промяна на годината, редуване на очевиден символ... точно моделите, които нападателите вече имат в речниците си.
Освен това, неудобството от тези промени кара хората да използват все по-кратки и по-прости пароли или дори да използват една и съща парола повторно в различни услуги с леки вариации. Ако нападател компрометира един от тези акаунти, той ще има много ясни улики за останалите, което ще умножи потенциалните щети.
Много експерти посочват, че ако компаниите посветят времето и парите, изразходвани за налагане на тримесечни промени на пароли, на обучение на потребителите как да създават силни и уникални пароли , както и на внедряване на мениджъри на пароли и двуетапна проверка, реалното подобрение в сигурността би било много по-голямо.
Дори компаниите за сигурност признават, че без доказателства за нарушение на данните , редовната промяна на паролата не я прави по-сигурна. Всъщност, тя може да създаде фалшиво чувство за сигурност, докато други, по-сериозни слабости продължават да съществуват, като например повторно използване на една и съща парола на множество сайтове или неактивиране на многофакторна автентичност (MFA).
Кога трябва да промените паролата си без колебание?
Въпреки че принудителната ротация на паролите вече не е добра практика, това не означава, че трябва да се придържате към една и съща парола, независимо от всичко. Има ситуации, в които незабавната ѝ промяна е от съществено значение, за да се намали рискът.
Ако компания, в която имате акаунт, обяви нарушение на данните , разумното решение е да актуализирате паролата си за тази услуга възможно най-скоро, както и за всички други акаунти, където е възможно да я използвате повторно (ако сте го направили). Понякога тези нарушения отнемат седмици, за да бъдат докладвани, така че инструментите или услугите за наблюдение на тъмния уеб като „Have I Been Pwned“ могат да ви помогнат да откриете по-рано дали вашият имейл адрес се появява в списък с изтекли данни.
Друг ясен предупредителен знак са нежеланите опити за влизане или промяна на парола . Ако получавате легитимни имейли с въпрос „Поискали ли сте нулиране на паролата?“ или известия за влизане от непознати места или устройства, трябва незабавно да промените паролата си, като влезете сами в услугата (без да кликвате върху подозрителни връзки) и да активирате MFA, ако все още не сте го направили.
Ако подозирате, че устройството ви е заразено със зловреден софтуер , трябва да промените и паролите си, но само след като го почистите. Промяната на пароли е безсмислена, ако нападателят все още може да вижда всичко, което пишете. След като системата бъде дезинфекцирана, трябва да актуализирате идентификационните данни за критични услуги (имейл, банкиране, социални медии, облачно съхранение и др.).
Ако един от вашите акаунти очевидно е бил хакнат (появяват се съобщения, които не сте изпратили, покупки, които не сте направили, странни промени в профила), всички акаунти, които споделят една и съща парола или подобни вариации, трябва да се считат за компрометирани и паролите им трябва да бъдат променени незабавно.
В корпоративни среди, за администраторски акаунти или особено чувствителни системи, много организации все още избират да ротират привилегировани идентификационни данни с известна честота, но го правят автоматизирано и чрез генериране на силни случайни пароли, именно за да избегнат човешките грешки, свързани с ръчните промени.
Коя е сигурна парола днес (и коя не е)
Паролата е просто набор от знаци, който ви дава достъп до лична информация или ценни ресурси: имейл, социални медии, онлайн банкиране, контролния панел на вашия уебсайт, VPN на вашата компания, мобилни устройства и др. Фактът, че това е единствената бариера между вашия дигитален живот и нападател, би трябвало да е достатъчна причина да я вземете насериозно.
Експертите отдавна твърдят, че добрата парола трябва да бъде дълга, сложна и уникална . Традиционно това означаваше минимум осем знака, комбиниращи главни и малки букви, цифри и символи, и избягващи речникови думи или лична информация (дати, имена, регистрационни номера и др.).
Последните насоки на NIST поставят още по-голям акцент върху дължината: те препоръчват изискването за поне 8 знака , но считат за желателно летвата да се повиши до 15 или повече , като се допуска максимум 64 знака. Колкото по-дълга е фразата, толкова по-трудно е да се разкрие с автоматизирани атаки, при условие че не е предвидима фраза.
Добра стратегия за хората е да използват пароли : поредици от произволни думи, смесени със символи и главни букви, които са лесни за запомняне, но много трудни за разбиване от компютър. Примери като „Mars-Whale-Near4-Melted“ или „Minute.Truck.Where2.Attempt“ предлагат много висока ентропия, без да се разчита на типични модели.
Това, което трябва да избягвате, са паролите, които година след година се появяват сред най-използваните: „123456“, „password“, „qwerty“, „111111“, „admin“ , очевидни клавишни комбинации, единични думи, поредици от цифри или клавиши, базирани на информация, която всеки би могъл да извлече от социалните ви мрежи (име на партньор, футболен отбор, дата на раждане...).
Също толкова важно е, че всяка услуга използва различна парола . Повторното използване на една и съща парола за имейл, социални медии, банкиране и пазаруване е все едно да използвате един и същ ключ за дома, колата и сейфа си, а след това да оставите копие на изтривалката. Ако един от тези уебсайтове бъде хакнат, нападателят може просто да опита тази комбинация във всички останали популярни услуги.
Многофакторно удостоверяване, мениджъри на пароли и ключове за достъп
Другият важен аспект на тази промяна в парадигмата е отказът от разчитането единствено на една парола, независимо колко силна е тя. Днес се счита за важно паролите да се допълват с многофакторно удостоверяване (MFA), когато услугата го позволява.
MFA добавя второ доказателство за самоличност, което може да бъде нещо, което знаете (вашата парола), нещо, което имате (мобилен телефон, физически токен, приложение за кодове) или нещо, което сте (пръстов отпечатък, лице, ирис). По този начин, дори ако някой открадне паролата ви, ще му бъде много по-трудно да получи достъп без този втори фактор.
Активирането на многофакторна автентификация (MFA) за имейл, социални медии, онлайн банкиране, облачни услуги или достъп до отдалечена работа осуетява много автоматизирани атаки , които разчитат на откраднати или слаби пароли. Дори ако вашата парола се появи при нарушение на данните, нападателят ще се сблъска с допълнителна, трудно преодолима бариера.
За да се справите с проблема със запомнянето на десетки дълги, уникални пароли, експертите препоръчват използването на мениджър на пароли . Тези инструменти генерират много сложни, произволни пароли, съхраняват ги криптирани в защитено хранилище и ги попълват вместо вас, когато влизате. Всичко, което трябва да направите, е да защитите една силна главна парола и, ако е възможно, да активирате MFA (многофакторно удостоверяване).
Добрият мениджър на пароли предотвратява рискови практики като записване на пароли на хартия, в некриптирани електронни таблици или в бележки на телефона ви, или просто оставяне на браузъра ви да ги запазва. Той също така ви насърчава да използвате много по-дълги пароли , отколкото бихте могли да запомните сами, което подобрява устойчивостта ви на атаки.
Междувременно, паролите или ключовете за достъп стават все по-популярни. Тези съвременни алтернативи на традиционните пароли са базирани на криптография с публичен ключ. Паролите се съхраняват на устройството или съвместим мениджър и позволяват на потребителите да влизат с помощта на пръстов отпечатък, разпознаване на лице или локален ПИН код, без да изпращат парола за многократна употреба към сървъра.
Гиганти като Google, Apple, Microsoft, Amazon, PayPal и GitHub вече поддържат пароли, а над сто уебсайта и приложения се присъединяват. Въпреки че паролите няма да изчезнат за една нощ, бъдещето сочи към системи без пароли , които ще смекчат много от настоящите проблеми с кражбата и повторната употреба.
Добри практики за защита на паролите в ежедневието
Отвъд дебата за срока на валидност, целта ви трябва да бъде да сведете до минимум повърхността за атака, която вашите пароли представляват. Това включва комбиниране на няколко прости най-добри практики, които са лесни за прилагане, ако се правят внимателно.
Първо, ангажирайте се да не използвате една и съща парола за повече от един акаунт , особено за критични услуги като имейл, банкиране, онлайн магазини със запазени кредитни карти и служебни акаунти. Ако вече я използвате, приоритетно променете тези пароли и ги съхранявайте отделно, като използвате мениджър на пароли.
Когато актуализирате парола, избягвайте „измама“ чрез промяна само на един символ (добавяне на цифра в края, замяна на буква с подобен символ и т.н.). Киберпрестъпниците са добре запознати с тези модели и инструментите за атака ги включват по подразбиране.
Помислете за използването на дълги пароли за акаунти, които искате да запомните (например, главната парола за вашия мениджър на акаунти). Комбинирайте няколко на пръв поглед несвързани думи, вмъкнете главни букви на по-малко очевидни позиции и добавете число или символ между тях, за да увеличите сложността.
Когато не е нужно да запомняте паролата си, защото използвате мениджър на пароли, възползвайте се от неговите генератори на пароли и фрази . Те автоматично създават произволни низове като "3>ZfrT61(9#X;?Kdk4FQ" или сложни фрази и ги съхраняват във вашето хранилище. Важното тук не е толкова да можете да ги рецитирате наизуст, колкото да се уверите, че никой друг не може да ги познае.
На практика, избягвайте на всяка цена да съхранявате пароли в обикновен текст на компютъра или мобилното си устройство, независимо дали в бележки, отделни документи, снимки на лепящи се листчета или имейли, които си изпращате. Всеки зловреден софтуер, кражба на устройство или неоторизиран физически достъп биха превърнали всичко това в карта на съкровищата за нападателя.
И накрая, създайте си навика редовно да проверявате дали вашите акаунти са се появили в известни нарушения на данните, като използвате услуги за откриване на нарушения или функциите за сигурност на вашия собствен мениджър на пароли или браузър. Ако откриете, че парола е била разкрита, трябва да я промените без колебание.
В свят, където нарушенията на данните са милиарди и се появяват алтернативи като MFA и пароли, печелившата стратегия вече не е в постоянната смяна на пароли, а в изграждането на стабилна и управляема екосистема за достъп : дълги и уникални пароли, многофакторно удостоверяване, инструменти, които опростяват управлението, и внимание към признаци на реален компрометиране. Ако коригирате навиците си в тази посока, вашите акаунти ще бъдат много по-добре защитени, дори ако не си спомняте последния път, когато сте променяли паролата си „на календарна база“.
