למה לא כדאי לשנות את הסיסמה שלך לעתים קרובות כל כך

חדשות דיגיטליות » משאבים » למה לא כדאי לשנות את הסיסמה שלך לעתים קרובות

במשך שנים שמענו שהדבר האחראי לעשות הוא לשנות את הסיסמאות שלנו לעתים קרובות , כמעט כמו להגיש את דוחות המס שלנו: זה היה חובה. אבל בשנים האחרונות, ארגוני סייבר מובילים, כמו המכון הלאומי לתקנים וטכנולוגיה של ארה"ב (NIST) , שינו לחלוטין את ההמלצה הזו והגיעו למסקנה מרשימה: כפיית שינויי סיסמאות תכופים בדרך כלל מחמירה את האבטחה במקום לשפר אותה.

שינוי גישה זה נתמך על ידי נתונים מפריצות אימות נרחבות, מחקרי התנהגות משתמשים וניסיון מעשי של חברות ואוניברסיטאות. כיום, ההמלצה הרווחת היא לשמור על סיסמאות חזקות, ארוכות וייחודיות , לשנות אותן רק כאשר יש חשד או ראיות לפריצה, ולהסתמך על כלים כמו אימות רב-גורמי (MFA) ומנהלי סיסמאות כדי להימנע מתסכול של שינון סיסמאות בלתי אפשריות.

למה כבר לא מומלץ לשנות את הסיסמה לעתים קרובות כל כך

NIST, אשר קובע סטנדרטים טכניים עבור סוכנויות ממשלתיות בארה"ב ומשמש כמדד לחברות ברחבי העולם, הבהיר במדריך SP 800-63-4 כי אין לדרוש ממשתמשים לחדש את הסיסמאות שלהם מעת לעת אם אין ראיות לפריצת אבטחה. זהו שינוי רדיקלי מהמדיניות המסורתית של "לשנות אותה כל 30/60/90 יום".

הטיוטה הציבורית של הנחיות אלו מסבירה שכאשר סיסמה נבחרה בצורה נכונה (היא ארוכה, אקראית וייחודית), כפיית שינויים כל חודש או שלושה חודשים מפחיתה את האבטחה : נטל זכירת סיסמאות חדשות דוחף אנשים לפשט אותן, לעשות בהן שימוש חוזר או ליישם דפוסים צפויים, וזה בדיוק מה שתוקפים מנצלים.

ההמלצות הנוכחיות קובעות כי ספקי שירותים ומאמתי זהויות לא צריכים לכפות תפוגת סיסמה תקופתית . במקום זאת, הם מחויבים לאכוף שינוי מיידי כאשר ישנם סימנים לכך שהמאמת נפרץ, למשל, בעקבות פרצת נתונים, גישה חשודה או נוכחות הסיסמה במאגרי מידע שדלפו.

יתר על כן, NIST מטיל ספק בדרישות מסורתיות אחרות, כגון כללי הרכב נוקשים (הכפיית שילוב של אותיות גדולות, מספרים וסמלים) או שאלות אבטחה ידועות לשמצה כמו "שם חיית המחמד הראשונה שלך". עדויות מראות שכללים אלה גורמים למשתמשים להתנהג בדרכים צפויות מאוד, וליצור סיסמאות כמו Password2023, Password2024 או Password1!, שהן מתנה לתוקפים.

ניתוח של מאגרי מידע עצומים של סיסמאות גנובות מגלה שהתועלת בפועל של כללים קלאסיים אלה קטנה בהרבה ממה שחשבו בעבר , בעוד שההשפעה השלילית על השימושיות והזכירות היא עצומה. בקיצור: אנשים בסופו של דבר מחפשים קיצורי דרך קלים, וקיצורי דרך אלה כמעט תמיד תואמים.

איך באמת הסיסמאות שלך נפגעות היום

בין אם תשנו את הסיסמה שלכם כל שלושה חודשים ובין אם לאו, החשבונות שלכם פגיעים עקב האופן שבו פושעי סייבר משיגים אותם . גניבה בדרך כלל לא מתרחשת באמצעות ניחוש פלאי של הסיסמה שלכם, אלא באמצעות מספר שיטות ספציפיות וידועות מאוד.

אחת השיטות הנפוצות ביותר היא באמצעות דליפות נתונים מסיביות משירותים מקוונים. רשתות חברתיות, פורומים, פלטפורמות משחקים, אתרי מסחר אלקטרוני וספקי ענן סובלים מפריצות אבטחה שחושפות מיליוני צירופי שם משתמש-סיסמה, לפעמים אפילו לא מוצפנים או עם אלגוריתמים שבורים. מסדי נתונים אלה נמכרים בסופו של דבר בפורומי פריצה וברשת האפלה.

סיבה קלאסית נוספת היא שהסיסמה שלך חלשה או נפוצה מדי . רשימות של הסיסמאות הנפוצות ביותר במדינות כמו ספרד מציגות סיסמאות נוראיות באמת כמו "admin", "123456", "000000", "password", או שמות וערים ברורים כמו "carl0s" או "barcelona". ניתן לפצח צירופים מסוג זה בפחות משנייה בעזרת כלי Brute-Force אוטומטיים.

ישנן גם התקפות פישינג והנדסה חברתית , שבהן תוקף מרמה אותך להזין את הסיסמה שלך באתר מזויף המחקה את הבנק, האימייל או אתר המדיה החברתית שלך. לפעמים זה משולב עם תוכנה זדונית של keylogger, אשר רושמת הקשות מקלדת כדי ללכוד כל אישור שאתה מזין.

לבסוף, אסור לנו לשכוח פגיעויות תוכנה וחומרה . מערכות מיושנות, נתבים עם קושחה ישנה, ​​יישומים עם פגמי אבטחה - כל אלה יכולים לאפשר לצד שלישי גישה לסיסמאות המאוחסנות שלך או אפילו לשנות אותן ולחסום את הגישה הלגיטימית שלך. מכאן התעקשותם של המומחים לשמור על מערכות ומכשירים מעודכנים.

למה לשנות את זה "ליתר ביטחון" יכול להיות רעיון גרוע

בהקשר זה, משתמשים רבים מניחים ששינוי תכוף של הסיסמה שלהם הוא סוג של אמצעי אבטחה אוניברסלי. עם זאת, גם NIST וגם מחקרים מאוניברסיטאות כמו קרנגי מלון מסכימים ששינויי סיסמה תכופים ולא סבירים מגבירים את הסיכון לפעילות זדונית.

כאשר מערכת כופה עליך לשנות את הסיסמאות שלך ברציפות, רוב האנשים מפסיקים לחשוב על זה יותר מדי ומיישמים טרנספורמציות קטנות וטריוויאליות : הוספה או הגדלה של מספר בסוף, שינוי השנה, החלפת סמל ברור... בדיוק הדפוסים שכבר יש לתוקפים במילונים שלהם.

יתר על כן, אי הנוחות של שינויים אלה גורמת לאנשים להשתמש בסיסמאות קצרות ופשוטות יותר ויותר , או אפילו לעשות שימוש חוזר באותה סיסמה בשירותים שונים עם שינויים קלים. אם תוקף יפגע באחד החשבונות הללו, יהיו לו רמזים ברורים מאוד לגבי האחרים, מה שמכפיל את הנזק הפוטנציאלי.

מומחים רבים מציינים שאם חברות היו מקדישות את הזמן והכסף המושקעים בכפיית שינויי סיסמאות רבעוניים להכשרת משתמשים כיצד ליצור סיסמאות חזקות וייחודיות , ולפרוס מנהלי סיסמאות ואימות דו-שלבי, השיפור האמיתי באבטחה היה גדול בהרבה.

אפילו חברות אבטחה מכירות בכך שללא ראיות לדליפת נתונים , שינוי סיסמה באופן שגרתי אינו הופך אותה לבטוחה יותר. למעשה, שינוי זה יכול ליצור תחושת ביטחון כוזבת בעוד שחולשות חמורות יותר נמשכות, כגון שימוש חוזר באותה סיסמה באתרים מרובים או אי-הפעלה של MFA.

מתי כדאי לשנות את הסיסמה שלך בלי היסוס?

למרות שהחלפת סיסמאות בכפייה כבר אינה נוהג טוב, אין זה אומר שעליכם להישאר עם אותה סיסמה בכל מקרה. ישנם מצבים שבהם שינוי מיידי שלה חיוני כדי להפחית את הסיכון.

אם חברה שבה יש לך חשבון מודיעה על פרצת נתונים , הדבר הנבון לעשות הוא לעדכן את הסיסמה שלך עבור שירות זה בהקדם האפשרי, וגם עבור כל חשבון אחר שבו אתה עשוי להשתמש בו שוב (אם עשית זאת). לפעמים מדווחים על פרצות אלו תוך שבועות, כך שכלי ניטור או שירותים של רשת אפלה כמו "האם הושמדתי" יכולים לעזור לך לזהות מוקדם יותר אם כתובת הדוא"ל שלך מופיעה ברשימה שדלפה.

סימן אזהרה ברור נוסף הוא ניסיונות התחברות או שינוי סיסמה לא רצויים . אם אתם מקבלים מיילים לגיטימיים ששואלים "האם ביקשתם איפוס סיסמה?" או התראות התחברות ממיקומים או מכשירים לא מוכרים, עליכם לשנות את הסיסמה שלכם מיד על ידי כניסה לשירות בעצמכם (מבלי ללחוץ על קישורים חשודים) ולהפעיל את MFA אם עדיין לא עשיתם זאת.

אם אתם חושדים שהמכשיר שלכם נדבק בתוכנה זדונית , עליכם גם לשנות את הסיסמאות שלכם, אך רק לאחר ניקוי המכשיר. שינוי סיסמאות הוא חסר טעם אם התוקף עדיין יכול לראות את כל מה שאתם מקלידים. לאחר חיטוי המערכת, עליכם לעדכן את פרטי הגישה לשירותים קריטיים (דוא"ל, בנקאות, מדיה חברתית, אחסון ענן וכו').

אם אחד החשבונות שלך נפרץ בבירור ( מופיעות הודעות שלא שלחת, רכישות שלא ביצעת, שינויים מוזרים בפרופיל), יש להתייחס לכל החשבונות שחולקים את אותה סיסמה או וריאציות דומות כאל חשבונות שנחשפו, ויש לשנות את הסיסמאות שלהם באופן מיידי.

בסביבות ארגוניות, עבור חשבונות מנהל או מערכות רגישות במיוחד, ארגונים רבים עדיין בוחרים לסובב אישורים פריבילגיים בתדירות מסוימת, אך הם עושים זאת באופן אוטומטי ועל ידי יצירת סיסמאות אקראיות חזקות, דווקא כדי להימנע מטעויות אנוש הקשורות לשינויים ידניים.

מהי סיסמה מאובטחת כיום (ומהי לא)

סיסמה היא פשוט קבוצת תווים המעניקה לך גישה למידע פרטי או למשאבים יקרי ערך: דוא"ל, מדיה חברתית, בנקאות מקוונת, לוח הבקרה של אתר האינטרנט שלך, ה-VPN של החברה שלך, מכשירים ניידים וכו'. העובדה שזו המחסום היחיד בין חייך הדיגיטליים לבין תוקף צריכה להיות סיבה מספקת להתייחס אליה ברצינות.

מומחים טוענים זה מכבר שסיסמה טובה צריכה להיות ארוכה, מורכבת וייחודית . באופן מסורתי, משמעות הדבר הייתה מינימום של שמונה תווים, שילוב של אותיות גדולות וקטנות, מספרים וסמלים, והימנעות ממילים מהמילון או מידע אישי (תאריכים, שמות, לוחיות רישוי וכו').

ההנחיות האחרונות של NIST שמות דגש רב עוד יותר על אורך: הן ממליצות לדרוש לפחות 8 תווים , אך רואות רצוי להעלות את הרף ל -15 או יותר , ולאפשר עד 64 תווים לכל היותר. ככל שהביטוי ארוך יותר, כך קשה יותר לפצח אותו באמצעות התקפות אוטומטיות, בתנאי שאינו ביטוי צפוי.

אסטרטגיה טובה עבור בני אדם היא להשתמש בסיסמאות : רצפים של מילים אקראיות מעורבבות עם סמלים ואותיות גדולות, שקל לזכור אך קשה מאוד למחשב לפצח. דוגמאות כמו "Mars-Whale-Near4-Melted" או "Minute.Truck.Where2.Attempt" מציעות אנטרופיה גבוהה מאוד מבלי להסתמך על דפוסים אופייניים.

מה שכדאי להימנע ממנו הן הסיסמאות שמופיעות שנה אחר שנה בין הסיסמאות הנפוצות ביותר: "123456", "password", "qwerty", "111111", "admin" , צירופי מקלדת ברורים מאליהם, מילים בודדות, רצפי מספרים או מקשים המבוססים על מידע שכל אחד יכול לחלץ מהרשתות החברתיות שלכם (שם בן/בת הזוג, קבוצת כדורגל, תאריך לידה...).

חשוב לא פחות הוא שכל שירות משתמש בסיסמה שונה . שימוש חוזר באותה סיסמה עבור דוא"ל, מדיה חברתית, בנקאות וקניות זה כמו שימוש באותו מפתח עבור הבית, המכונית והכספת, ולאחר מכן השארת עותק על שטיחון הכניסה. אם אחד מאתרי האינטרנט הללו נפרץ, תוקף יכול פשוט לנסות את השילוב הזה על כל שאר השירותים הפופולריים.

אימות רב-גורמי, מנהלי סיסמאות ומפתחות סיסמה

ההיבט העיקרי השני של שינוי פרדיגמה זה הוא התרחקות מהסתמכות אך ורק על סיסמה אחת, לא משנה כמה חזקה היא. כיום, נחשב חיוני להוסיף סיסמאות לאימות רב-גורמי (MFA) בכל פעם שהשירות מאפשר זאת.

MFA מוסיף הוכחת זהות שנייה, שיכולה להיות משהו שאתם יודעים (הסיסמה שלכם), משהו שיש לכם (טלפון נייד, אסימון פיזי, אפליקציית קוד), או משהו שאתם (טביעת אצבע, פנים, קשתית). בדרך זו, גם אם מישהו יגנוב את הסיסמה שלכם, יהיה לו הרבה יותר קשה לקבל גישה ללא גורם שני זה.

הפעלת MFA עבור דוא"ל, מדיה חברתית, בנקאות מקוונת, שירותי ענן או גישה לעבודה מרחוק מסכלת התקפות אוטומטיות רבות המסתמכות על סיסמאות גנובות או חלשות. גם אם הסיסמה שלך מופיעה בדליפת נתונים, התוקף ייתקל במכשול נוסף שקשה להתגבר עליו.

כדי להתמודד עם בעיית זכירת עשרות סיסמאות ארוכות וייחודיות, מומחים ממליצים להשתמש במנהל סיסמאות . כלים אלה יוצרים סיסמאות מורכבות ואקראיות, מאחסנים אותן מוצפנות בכספת מאובטחת וממלאים אותן עבורכם כשאתם מתחברים. כל שעליכם לעשות הוא להגן על סיסמת אב חזקה אחת, ואם אפשר, להפעיל MFA (אימות רב-גורמי).

מנהל סיסמאות טוב מונע שיטות עבודה מסוכנות כמו כתיבת סיסמאות על נייר, בגיליונות אלקטרוניים לא מוצפנים, או בהערות בטלפון, או פשוט מתן אפשרות לדפדפן לשמור אותן. הוא גם מעודד אותך להשתמש בסיסמאות ארוכות בהרבה ממה שאתה יכול לזכור בעצמך, מה שמשפר את העמידות שלך בפני התקפות.

בינתיים, מפתחות גישה הופכים פופולריים יותר ויותר. חלופות מודרניות אלו לסיסמאות מסורתיות מבוססות על קריפטוגרפיה של מפתח ציבורי. מפתחות מאוחסנים במכשיר או במנהל תואם ומאפשרים למשתמשים להתחבר באמצעות טביעת אצבע, זיהוי פנים או קוד סודי מקומי, מבלי לשלוח סיסמה לשימוש חוזר לשרת.

ענקיות כמו גוגל, אפל, מיקרוסופט, אמזון, פייפאל וגיטהאב כבר תומכות בסיסמאות, ויותר ממאה אתרים ואפליקציות מצטרפים. בעוד שסיסמאות לא ייעלמו בן לילה, העתיד מצביע על מערכות ללא סיסמאות שיקלו על רבות מהבעיות הנוכחיות של גניבה ושימוש חוזר.

שיטות אבטחת סיסמאות טובות לחיי היומיום

מעבר לוויכוח על תפוגת תוקף, המטרה שלכם צריכה להיות למזער את משטח התקיפה שהסיסמאות שלכם מציגות. זה כרוך בשילוב של מספר שיטות עבודה מומלצות פשוטות שקל ליישם אם נעשות בתבונה.

ראשית, התחייבו לא להשתמש שוב ושוב באותה סיסמה עבור יותר מחשבון אחד , במיוחד עבור שירותים קריטיים כמו דוא"ל, בנקאות, חנויות מקוונות עם כרטיסי אשראי שמורים וחשבונות עבודה. אם אתם כבר משתמשים בה שוב ושוב, הקפידו לשנות את הסיסמאות הללו ולשמור אותן בנפרד באמצעות מנהל סיסמאות.

בעת עדכון סיסמה, הימנעו מ"רמאות" על ידי שינוי תו אחד בלבד (הוספת מספר לסוף, החלפת אות בסמל דומה וכו'). פושעי סייבר מודעים היטב לדפוסים אלה, וכלי תקיפה משלבים אותם כברירת מחדל.

שקלו להשתמש בביטויי סיסמה ארוכים עבור חשבונות שתרצו לזכור (לדוגמה, סיסמת המאסטר שלכם עבור מנהל החשבון). שלבו מספר מילים שנראות לא קשורות, הוסיפו אותיות גדולות במיקומים פחות ברורים, והוסיפו מספר או סמל ביניהן כדי להגביר את המורכבות.

כאשר אינך צריך לשנן את הסיסמה שלך מכיוון שאתה משתמש במנהל סיסמאות, נצלו את מחוללי הסיסמאות וביטויי הסיסמה שלו . אלה יוצרים אוטומטית מחרוזות אקראיות כמו "3>ZfrT61(9#X;?Kdk4FQ" או ביטויים מורכבים ומאחסנים אותם בכספת שלך. הדבר החשוב כאן הוא לא כל כך היכולת לדקלם אותם מהזיכרון, אלא להבטיח שאף אחד אחר לא יוכל לנחש אותם.

ברמה המעשית, הימנעו בכל מחיר מאחסון סיסמאות בטקסט רגיל במחשב או במכשיר הנייד שלכם, בין אם בפתקים, מסמכים רופפים, תמונות של פתקים דביקים או מיילים שאתם שולחים לעצמכם. כל תוכנה זדונית, גניבת מכשירים או גישה פיזית לא מורשית יהפכו את כל זה למפת אוצר עבור תוקף.

לבסוף, התאמנו להרגל לבדוק באופן קבוע אם החשבונות שלכם הופיעו בדליפות אבטחה ידועות, באמצעות שירותי גילוי דליפות או תכונות האבטחה של מנהל הסיסמאות או הדפדפן שלכם. אם אתם מזהים שסיסמה נחשפה, עליכם לשנות אותה ללא היסוס.

בעולם שבו מספר הפרות הנתונים מגיע למיליארדים, וחלופות כמו MFA וסיסמות צצות, האסטרטגיה המנצחת אינה עוד שינוי מתמיד של סיסמאות, אלא בניית מערכת אקולוגית חזקה וניתנת לניהול : סיסמאות ארוכות וייחודיות, אימות רב-גורמי, כלים המפשטים את הניהול ותשומת לב לסימני פגיעה אמיתית. אם תתאימו את ההרגלים שלכם בכיוון זה, החשבונות שלכם יהיו מוגנים הרבה יותר טוב, גם אם אינכם זוכרים מתי שיניתם את הסיסמה האחרונה "על בסיס לוח שנה".