- Sunniviisilised perioodilised paroolivahetused soodustavad nõrkade võtmete ja etteaimatavate mustrite teket, vähendades tegelikku turvalisust.
- Paroolid peaksid olema pikad, unikaalsed ja tugevad ning neid tuleks muuta ainult siis, kui on kahtlus või tõendeid nende ohtu sattumise kohta.
- Mitmefaktoriline autentimine ja paroolihaldurid on nüüd peamised tööriistad kontode kaitsmiseks lekete ja rünnakute eest.
- Tulevik peitub sellistes süsteemides nagu pääsukoodid, mis vähendavad sõltuvust traditsioonilistest paroolidest ning nende varguse ja taaskasutamise probleemidest.
Aastaid oleme kuulnud, et vastutustundlik teguviis oli paroolide sagedane vahetamine , peaaegu nagu maksudeklaratsiooni esitamine: see oli kohustuslik. Kuid viimastel aastatel on juhtivad küberturvalisuse organisatsioonid, näiteks USA Riiklik Standardite ja Tehnoloogia Instituut (NIST) , seda soovitust täielikult muutnud ja jõudnud rabavale järeldusele: sagedase paroolivahetuse sundimine pigem halvendab turvalisust kui parandab seda.
Seda lähenemisviisi muutust toetavad andmed massilistest volituste rikkumistest, kasutajate käitumise uuringutest ning ettevõtete ja ülikoolide praktilisest kogemusest. Tänapäeval on valdav soovitus hoida tugevaid, pikki ja unikaalseid paroole , muuta neid ainult siis, kui on kahtlus või tõendeid ohtu sattumise kohta, ning tugineda sellistele tööriistadele nagu mitmefaktoriline autentimine (MFA) ja paroolihaldurid, et vältida võimatute paroolide meeldejätmisega kaasnevat frustratsiooni.
NIST, mis kehtestab USA valitsusasutustele tehnilised standardid ja on eeskujuks ettevõtetele kogu maailmas, on oma juhendis SP 800-63-4 selgitanud, et kasutajatelt ei tohiks nõuda paroolide perioodilist uuendamist, kui puuduvad tõendid turvaintsidendi kohta. See on radikaalne muutus traditsioonilisest poliitikast „vaheta seda iga 30/60/90 päeva järel”.
Nende suuniste avalikus mustandis selgitatakse, et kui parool on valitud õigesti (see on pikk, juhuslik ja unikaalne), vähendab selle muutmine iga ühe või kolme kuu tagant turvalisust : uute paroolide meeldejätmise koormus sunnib inimesi neid lihtsustama, taaskasutama või rakendama ennustatavaid mustreid, mida ründajad just ära kasutavad.
Praeguste soovituste kohaselt ei tohiks teenusepakkujad ja identiteedi kontrollijad kehtestada paroolide perioodilisi aegumiskuupäevi . Selle asemel on nad kohustatud parooli viivitamatult muutma, kui on märke autentimisvahendi ohtu sattumisest, näiteks pärast andmete rikkumist, kahtlast juurdepääsu või parooli lekkimist andmebaasides.
Lisaks seab NIST kahtluse alla ka muud traditsioonilised nõuded, näiteks jäigad kompositsioonireeglid (mis sunnivad kasutama suurtähti, numbreid ja sümboleid) või kurikuulsad turvaküsimused nagu „esimese lemmiklooma nimi”. Tõendid näitavad, et need reeglid panevad kasutajad käituma väga etteaimatavalt, genereerides paroole nagu Password2023, Password2024 või Password1!, mis on ründajatele kingitus.
Varastatud paroolide tohutute andmebaaside analüüs näitab, et nende klassikaliste reeglite tegelik kasu on palju väiksem kui varem arvati , samas kui negatiivne mõju kasutatavusele ja meeldejäävusele on tohutu. Lühidalt: inimesed otsivad lõpuks lihtsaid otseteid ja need otseteed peaaegu alati sobivad.
Kuidas teie paroole tänapäeval tegelikult ohtu satub
Olenemata sellest, kas vahetate oma parooli iga kolme kuu tagant või mitte, on teie kontod haavatavad tänu sellele, kuidas küberkurjategijad need kätte saavad . Vargus ei toimu tavaliselt parooli imelise äraarvamise teel, vaid pigem mitme väga spetsiifilise ja tuntud meetodi abil.
Üks levinumaid meetodeid on massilised andmelekked veebiteenustest. Sotsiaalvõrgustikud, foorumid, mänguplatvormid, e-kaubanduse saidid ja pilveteenuse pakkujad kannatavad turvarikkumiste all, mis paljastavad miljoneid kasutajanime ja parooli kombinatsioone, mõnikord isegi krüpteerimata või vigaste algoritmidega. Neid andmebaase müüakse edasi häkkimisfoorumites ja tumeveebis.
Teine klassikaline põhjus on see, et teie parool on nõrk või liiga levinud . Selliste riikide nagu Hispaania enimkasutatavate paroolide nimekirjad näitavad tõeliselt kohutavaid paroole nagu "admin", "123456", "000000", "password" või ilmseid nimesid ja linnu nagu "carl0s" või "barcelona". Selliseid kombinatsioone saab automatiseeritud jõhkra jõu tööriistade abil lahti murda vähem kui sekundiga.
Samuti on olemas andmepüügi- ja sotsiaalse manipuleerimise rünnakud , mille puhul ründaja meelitab teid sisestama parooli võltsitud veebisaidil, mis jäljendab teie pangakontot, e-posti või sotsiaalmeedia saiti. Mõnikord on see kombineeritud klahvilogija pahavaraga, mis salvestab klahvivajutusi, et jäädvustada kõik teie sisestatud volitused.
Lõpuks ei tohi me unustada tarkvara ja riistvara haavatavusi . Vananenud süsteemid, vana püsivaraga ruuterid, turvaaukude tõttu vigadega rakendused – kõik see võib lubada kolmandatel osapooltel teie salvestatud paroolidele juurde pääseda või neid isegi muuta ja teie seadusliku juurdepääsu blokeerida. Seetõttu nõuavad eksperdid süsteemide ja seadmete ajakohasena hoidmist.
Miks selle muutmine "igaks juhuks" võib olla halb mõte
Selles kontekstis eeldavad paljud kasutajad, et parooli sagedane vahetamine on omamoodi universaalne turvameede. Nii NIST kui ka selliste ülikoolide nagu Carnegie Mellon uuringud on aga nõus, et sagedased ja ebamõistlikud paroolivahetused suurendavad pahatahtliku tegevuse riski.
Kui süsteem sunnib teid paroole pidevalt muutma, lõpetab enamik inimesi sellele liigse mõtlemise ja rakendab väikeseid, triviaalseid teisendusi : numbri lisamine või suurendamine lõpus, aasta muutmine, ilmselge sümboli vahetamine... täpselt need mustrid, mis ründajatel juba sõnaraamatutes olemas on.
Lisaks sunnib nende muudatuste ebamugavus inimesi kasutama üha lühemaid ja lihtsamaid paroole või isegi kasutama sama parooli väikeste erinevustega erinevates teenustes. Kui ründaja satub ühele neist kontodest ohtu, on tal väga selged vihjed teiste kohta, mis mitmekordistab potentsiaalset kahju.
Paljud eksperdid toovad välja, et kui ettevõtted pühendaksid kvartaliparoolide muutmisele kuluva aja ja raha kasutajate koolitamisele tugevate ja unikaalsete paroolide loomisel ning paroolihaldurite ja kaheastmelise kinnitamise juurutamisele, oleks turvalisuse tegelik paranemine palju suurem.
Isegi turvafirmad tunnistavad, et ilma andmetega seotud rikkumise tõenditeta ei muuda parooli regulaarne muutmine seda turvalisemaks. Tegelikult võib see luua vale turvatunde, samal ajal kui muud, tõsisemad nõrkused püsivad, näiteks sama parooli korduvkasutamine mitmel saidil või MFA lubamata jätmine.
Millal peaksite oma parooli kõhklemata muutma?
Kuigi sunnitud paroolivahetus pole enam hea tava, ei tähenda see, et peaksite sama parooli juurde jääma, ükskõik mis ka ei juhtuks. On olukordi, kus selle kohene muutmine on riski vähendamiseks hädavajalik.
Kui ettevõte, kus teil on konto, teatab andmetega seotud rikkumisest , on tark tegu oma parooli võimalikult kiiresti uuendada nii selle teenuse jaoks kui ka kõigi teiste kontode jaoks, kus te seda uuesti kasutate (kui olete seda teinud). Mõnikord võtab nende rikkumiste teatamine nädalaid aega, seega võivad tumeveebi jälgimistööriistad või teenused, näiteks „Kas mind on röövitud?”, aidata teil lekkinud e-posti aadressi varem tuvastada.
Teine selge hoiatusmärk on soovimatud sisselogimis- või parooli muutmiskatsed . Kui saate usaldusväärseid e-kirju küsimusega „Kas olete taotlenud parooli lähtestamist?“ või sisselogimishoiatusi tundmatutest kohtadest või seadmetest, peaksite viivitamatult oma parooli muutma, logides ise teenusesse sisse (ilma kahtlastele linkidele klõpsamata) ja lubama MFA, kui te pole seda veel teinud.
Kui kahtlustate, et teie seade on nakatunud pahavaraga , peaksite ka oma paroole vahetama, kuid alles pärast seadme puhastamist. Paroolide muutmine on mõttetu, kui ründaja näeb endiselt kõike, mida sisestate. Kui süsteem on desinfitseeritud, peate värskendama kriitiliste teenuste (e-post, pangandus, sotsiaalmeedia, pilvesalvestus jne) sisselogimisandmeid.
Kui üks teie kontodest on selgelt häkitud (ilmuvad sõnumid, mida te pole saatnud, ostud, mida te pole teinud, kummalised profiilimuudatused), tuleks kõiki sama parooli või sarnaseid variatsioone kasutavaid kontosid pidada ohustatuks ja nende paroole tuleks viivitamatult muuta.
Ettevõttekeskkondades, administraatori kontode või eriti tundlike süsteemide puhul, otsustavad paljud organisatsioonid endiselt privilegeeritud volitusi teatud sagedusega vahetada, kuid nad teevad seda automaatselt ja genereerides tugevaid juhuslikke paroole, just selleks, et vältida käsitsi muudatustega seotud inimlikke vigu.
Milline on tänapäeval turvaline parool (ja milline mitte)
Parool on lihtsalt märkide kogum, mis annab teile juurdepääsu privaatsele teabele või väärtuslikele ressurssidele: e-post, sotsiaalmeedia, internetipank, teie veebisaidi juhtpaneel, teie ettevõtte VPN, mobiilseadmed jne. Asjaolu, et see on ainus barjäär teie digitaalse elu ja ründaja vahel, peaks olema piisav põhjus, et seda tõsiselt võtta.
Eksperdid on pikka aega väitnud, et hea parool peaks olema pikk, keeruline ja unikaalne . Traditsiooniliselt tähendas see vähemalt kaheksat tähemärki, mis sisaldasid suuri ja väikeseid tähti, numbreid ja sümboleid ning vältisid sõnastikusõnu või isiklikku teavet (kuupäevad, nimed, numbrimärgid jne).
NISTi uusimad juhised panevad veelgi suuremat rõhku pikkusele: nad soovitavad nõuda vähemalt 8 tähemärki , kuid peavad soovitavaks tõsta lati 15-ni või rohkema peale , lubades maksimaalselt 64 tähemärki. Mida pikem on fraas, seda raskem on seda automatiseeritud rünnakutega murda, eeldusel, et tegemist pole etteaimatava fraasiga.
Hea strateegia inimestele on kasutada paroole : juhuslike sõnade jadasid, mis on segatud sümbolite ja suurtähtedega, mida on teil lihtne meelde jätta, kuid arvutil väga raske lahti murda. Näited nagu "Mars-Whale-Near4-Melted" või "Minute.Truck.Where2.Attempt" pakuvad väga kõrget entroopiat ilma tüüpilistele mustritele tuginemata.
Vältida tuleks paroole, mis ilmuvad aasta-aastalt enimkasutatavate hulka: "123456", "password", "qwerty", "111111", "admin" , ilmselged klahvikombinatsioonid, üksikud sõnad, numbri- või klahvijadad, mis põhinevad teabel, mida igaüks võiks teie sotsiaalvõrgustikest hankida (partneri nimi, jalgpallimeeskond, sünnikuupäev...).
Sama oluline on see, et iga teenus kasutab erinevat parooli . Sama parooli uuesti kasutamine e-posti, sotsiaalmeedia, panganduse ja ostlemise jaoks on nagu sama võtme kasutamine maja, auto ja seifi jaoks ning koopia jätmine uksemati peale. Kui üks neist veebisaitidest peaks sisse murdma, saab ründaja seda kombinatsiooni lihtsalt proovida kõigis teistes populaarsetes teenustes.
Mitmefaktoriline autentimine, paroolihaldurid ja pääsukoodid
Selle paradigma muutuse teine oluline aspekt on loobumine ainult ühe parooli kasutamisest, olenemata sellest, kui tugev see on. Tänapäeval peetakse oluliseks paroolide täiendamist mitmefaktorilise autentimisega (MFA) alati, kui teenus seda võimaldab.
MFA lisab teise isikut tõendava dokumendi, mis võib olla midagi, mida te teate (teie parool), midagi, mis teil on (mobiiltelefon, füüsiline žetoon, koodirakendus) või midagi, mis te olete (sõrmejälg, nägu, iirise). Nii on neil ilma selle teise tegurita palju raskem ligi pääseda isegi siis, kui keegi teie parooli varastab.
MFA lubamine e-posti, sotsiaalmeedia, internetipanganduse, pilveteenuste või kaugtöö juurdepääsu jaoks nurjab paljud automatiseeritud rünnakud , mis tuginevad varastatud või nõrkadele paroolidele. Isegi kui teie parool ilmub andmetega seotud rikkumise tagajärjel, seisab ründaja silmitsi täiendava, raskesti ületatava takistusega.
Kümnete pikkade ja unikaalsete paroolide meeldejätmise probleemi lahendamiseks soovitavad eksperdid kasutada paroolihaldurit . Need tööriistad genereerivad väga keerulisi ja juhuslikke paroole, salvestavad need krüpteeritult turvalisse hoidlasse ja täidavad need teie eest sisselogimisel. Kõik, mida peate tegema, on kaitsta ühte tugevat peaparooli ja võimaluse korral lubada MFA (mitmefaktoriline autentimine).
Hea paroolihaldur hoiab ära riskantsed tegevused, nagu paroolide paberile, krüpteerimata arvutustabelitesse või telefoni märkmetesse kirjutamine või lihtsalt brauserile salvestamise lubamine. See julgustab teid kasutama palju pikemaid paroole , kui te ise mäletada suudaksite, mis parandab teie vastupanuvõimet rünnakutele.
Samal ajal on pääsukoodid ehk juurdepääsuvõtmed muutumas üha populaarsemaks. Need traditsiooniliste paroolide kaasaegsed alternatiivid põhinevad avaliku võtme krüptograafial. Pääsukoodid salvestatakse seadmesse või ühilduvasse haldurisse ja võimaldavad kasutajatel sisse logida sõrmejälje, näotuvastuse või kohaliku PIN-koodi abil, ilma et serverisse korduvkasutatavat parooli saadetaks.
Sellised hiiglased nagu Google, Apple, Microsoft, Amazon, PayPal ja GitHub toetavad juba paroole ning üle saja veebisaidi ja rakenduse liitub sellega. Kuigi paroolid ei kao üleöö, viitab tulevik paroolivabadele süsteemidele , mis leevendavad paljusid praeguseid varguste ja taaskasutamise probleeme.
Head parooliturvalisuse tavad igapäevaelus
Lisaks aegumise teemalisele vaidlusele peaks teie eesmärk olema minimeerida rünnakupinda, mille teie paroolid endast kujutavad. See hõlmab mitme lihtsa parima tava kombineerimist, mida on läbimõeldult lihtne rakendada.
Esiteks kohustu mitte kasutama sama parooli rohkem kui ühe konto jaoks , eriti kriitiliste teenuste, näiteks e-posti, panganduse, salvestatud krediitkaartidega veebipoodide ja töökontode jaoks. Kui sa juba kasutad parooli mitu korda, siis sea prioriteediks nende paroolide vahetamine ja nende eraldi hoidmine paroolihalduri abil.
Parooli uuendamisel tuleks vältida "petmist", muutes ainult ühte tähemärki (lisades lõppu numbri, asendades tähe sarnase sümboliga jne). Küberkurjategijad on neist mustritest hästi teadlikud ja rünnakutööriistad lisavad need vaikimisi.
Kaalu pikkade paroolifraaside kasutamist kontode jaoks, mida soovid meeles pidada (näiteks oma kontohalduri peaparool). Kombineeri mitu pealtnäha omavahel mitteseotud sõna, lisa vähem nähtavatesse kohtadesse suurtähed ja keerukuse suurendamiseks lisa nende vahele number või sümbol.
Kui te ei pea parooli pähe õppima, kuna kasutate paroolihaldurit, kasutage ära selle parooli- ja paroolifraasigeneraatoreid . Need loovad automaatselt juhuslikke stringe, näiteks "3>ZfrT61(9#X;?Kdk4FQ" või keerulisi fraase, ja salvestavad need teie seifi. Oluline pole niivõrd see, kas saate neid peast korrata, kuivõrd see, et keegi teine neid ära ei arva.
Praktilisel tasandil tuleks iga hinna eest vältida paroolide salvestamist lihttekstina arvutis või mobiilseadmes, olgu see siis märkmetes, lahtistes dokumentides, kleepmärkmete fotodel või endale saadetud meilides. Igasugune pahavara, seadme vargus või volitamata füüsiline juurdepääs muudaks selle kõik ründaja jaoks aardekaardiks.
Lõpuks harjutage regulaarselt kontrollima, kas teie kontosid on sattunud teadaolevatesse andmeleketesse, kasutades selleks rikkumiste tuvastamise teenuseid või oma paroolihalduri või brauseri turvafunktsioone. Kui märkate, et parool on avalikustatud, peaksite selle kõhklemata muutma.
Maailmas, kus andmelekkeid on miljardeid ja tekivad alternatiivid nagu mitmefaktoriline autentimine ja paroolid, ei seisne võidustrateegia enam paroolide pidevas muutmises, vaid tugeva ja hallatava juurdepääsu ökosüsteemi loomises : pikad ja unikaalsed paroolid, mitmefaktoriline autentimine, haldust lihtsustavad tööriistad ja tähelepanu pööramine tegeliku ohu märkidele. Kui muudate oma harjumusi selles suunas, on teie kontod palju paremini kaitstud isegi siis, kui te ei mäleta, millal viimati parooli "kalendripõhiselt" muutsite.
