Najboljše prakse za ustvarjanje varnih gesel

Informatec Digital » Viri » Najboljše prakse za ustvarjanje varnih gesel

V današnjem digitalnem svetu vsak spletni račun, ki ga odpremo, shranjuje potencialno zelo občutljive podatke: osebne podatke, pogovore, fotografije, videoposnetke, bančne podatke ali službene dokumente. Zaščita vsega tega je v veliki meri odvisna od nečesa tako preprostega, kot je geslo; učenje ustvarjanja močnih gesel je bistvenega pomena, vendar lahko ustvarjanje šibkega gesla odpre vrata goljufijam, kraji identitete ali celo škodi našemu ugledu, če nekdo uporabi naše račune, da se izdaja za nas.

Poleg tega je veliko naših računov povezanih : za registracijo na družbenih omrežjih, v spletnih trgovinah, bankah ali storitvah v oblaku uporabljamo isti e-poštni naslov. Če napadalcu uspe dostopati samo do enega računa in isto geslo ponovno uporabite drugje, se lahko škoda pomnoži. Zato je pomembno, da ustvarjanje in uporabo močnih gesel jemljemo resno, četudi je to včasih nekoliko neprijetno.

Zakaj so gesla vaša prva obrambna linija

Močno geslo je prva obrambna linija med vašimi podatki in vsemi, ki poskušajo vdreti v vaše račune. Pomislite na vse, kar shranjujete: e-poštna sporočila z računi, zaupni dokumenti, zasebne fotografije, podatki o strankah ali podjetjih ... Če nekdo pridobi nepooblaščen dostop, ga lahko uporabi za goljufijo, izsiljevanje ali krajo identitete.

Pomembno je tudi vedeti, da škoda v primeru kraje računa ni omejena le na finančni vidik. Vlomilec lahko pošilja sporočila v vašem imenu, objavlja žaljivo vsebino na vaših družbenih omrežjih ali zahteva denar od vaših stikov, medtem ko se izdaja za vas. Popravilo škode je lahko zelo zamudno in zahteva veliko truda.

Gesla vam, če jih uporabljate pravilno, pomagajo zaščititi vaše osebne podatke na spletu in jih imeti pod nadzorom: samo vi odločate, kdo dostopa do česa, od kod in kdaj. Da pa bi to držalo, jih mora biti težko uganiti, ne smejo biti povezana z vami in morajo biti upravljana z minimalnimi zahtevami digitalne higiene.

Drug ključni vidik je, da mnogi napadi niso več ročni, temveč avtomatizirani. Kibernetski kriminalci uporabljajo programe, ki preizkušajo milijone kombinacij besed, številk in vzorcev tipkovnice ali pa ponovno uporabljajo podatke, ki so ušli z drugih spletnih mest (tako imenovani napadi s polnjenjem poverilnic). Če je vaše geslo preprosto ali ponavljajoče se, ste lahka tarča.

Kakšno naj bi bilo resnično varno geslo?

Da bi geslo veljalo za močno, preprosto dodajanje nekaj številk na koncu ni dovolj . Vodilne varnostne organizacije priporočajo minimalno dolžino 12 znakov, čeprav je 14 ali več še bolje, če storitev to dovoljuje.

Ključno je naključno kombiniranje velikih in malih črk, številk in simbolov . Niz, kot je »6MonkeysRLooking^« ali »B1gOte_289!«, dobro ponazarja to idejo: dovolj znakov, mešanica vrst in ne neposredna slovarska beseda. Izogibajte se temu, da bi bila beseda očitna fraza ali lahko izpeljan vzorec.

Prav tako pomembno je, da vaše geslo ne vsebuje osebnih podatkov : niti vašega imena, niti imen vašega partnerja, otrok ali hišnih ljubljenčkov, niti datumov rojstva, telefonskih številk, registrskih tablic, osebnih izkaznic, poštnih številk, zodiakalnih znamenj ali očitnih hobijev. Vse to je prva stvar, ki jo bo napadalec, ki je zbral podatke o vas, poskusil storiti.

Priporočljivo je tudi, da se izogibate besedam, ki se pojavljajo v slovarjih katerega koli jezika, tudi če jih črkujete obratno ali z rahlo spremembo. Programi za napade na slovarje preizkušajo ogromne sezname pogostih besed, žaljivk, tehničnih izrazov in tipičnih kombinacij, kot so »password«, »password123« ali podobno.

Nenazadnje nikoli ne uporabljajte svojega uporabniškega imena kot gesla ali gesla, ki je tako podobno, da ga je mogoče zlahka uganiti. In če sumite, da je vaše geslo ušlo v javnost ali da ga je kdo videl, ga takoj in brez oklevanja spremenite.

Praktične metode za ustvarjanje močnih in nepozabnih gesel

Ena največjih dilem je, da si je zelo zapletena gesla pogosto težko zapomniti. Če si jih morate zapisati na nezaščiten papir ali jih nenehno ponastavljati, izgubite del pridobljene varnosti. Na srečo obstajajo zelo preproste tehnike za ustvarjanje močnih gesel, ki jih vaš spomin brez težav obdela.

1. Ustvarite gesla iz fraze

Zelo uporaben trik je, da začnete s frazo, ki vam je znana in pomenljiva, vendar ni očitno povezana z vami, ali z dobro znanim pregovorom. Lahko je verz iz pesmi, verz iz pesmi, verz iz filma ali nekaj, kar ste si izmislili.

Če na primer pomislite na »V Juanovem baru vedno strežejo velike tapase za 3 evre«, lahko obdržite prvo črko vsake besede in številke: »EebdJspTga3€«. Nato lahko prilagodite simbole, če storitev ne sprejema znaka za evro, in ga nadomestite z drugim dovoljenim posebnim znakom.

Druga možnost je uporaba naslovov ali besednih zvez, ki jih s svojim delom povezujete le vi, na primer vaša najljubša pesem, anekdota, ki ste jo delili s prijatelji, ali pogost, a nekoliko spremenjen komentar. Pomembno je, da si osnovno besedno zvezo zlahka zapomnite in da končni rezultat vključuje različne znake.

2. Zamenjajte ali odstranite samoglasnike

Pogosta taktika je pretvorba nekaterih črk v številke ali simbole. Na primer, lahko se odločite, da je a = 4, e = 3, i = 1, o = 0 in zamenjate le nekaj samoglasnikov, da geslo še bolj zapletete: »Seguridad« bi postal »53gur1d4d«. Ta shema je napadalcem znana, vendar v kombinaciji z drugimi metodami postane še težja.

Druga možnost je, da preprosto odstranite vse (ali skoraj vse) samoglasnike iz izmišljene besede ali besedne zveze. Če začnete z nečim "čudnim", kar razumete samo vi, in odstranite samoglasnike, bo rezultat imel malo podobnosti z resničnimi besedami, zaradi česar bodo slovarski napadi težji. Le ne pozabite dodati številk in simbolov, da bo bolj robusten.

3. Zmešajte besedo in številko po vzorcu

Nekateri ljudje imajo raje bolj mehanske metode, kot je menjavanje črk besede s števkami številke, vedno v istem vrstnem redu. Predstavljajte si, da izberete besedo "Brki" in številko "28921" ter izmenjujete: eno črko, eno številko v obratnem vrstnem redu in tako naprej. Rezultat bi lahko bil nekaj takega kot "B1i2g9o8t2e".

Ta metoda gradnje gesel vas sili k igranju majhne miselne igre, ki okrepi spomin in se izogne ​​linearnim zaporedjem, kot je "mustache28921", ki bi jih bilo veliko lažje razvozlati. Spet preprosto dodajte simbol in, če želite, dodatno veliko začetnico, da še bolj zapletete enačbo.

4. Kocke, sudoku in druge "geekovske" tehnike

Če želite iti še korak dlje, obstajajo metode, kot je Diceware , ki uporablja metanje kock in sezname besed za ustvarjanje popolnoma naključnih kombinacij. Vsak met pristane na drugi besedi, in če jih več skupaj povežete, dobite zelo robustno zaporedje fraz.

Druga ustvarjalna ideja je, da narišete mrežo v slogu sudokuja (na primer 6x6), jo napolnite z naključnimi številkami in nato s prstom narišete vzorec, tako kot pri odklepanju telefona. Številke, ki jih sledi vaš prst, bodo osnova vašega gesla, ki mu lahko nato dodajate črke in simbole po sistemu, ki ga poznate samo vi.

Prednost teh pristopov je, da če spremenite številke v mreži ali uporabite že rešeno uganko Sudoku, isti vzorec ustvari nova gesla . Zapomniti si morate le miselno podobo in pravila, ki jih uporabite za pretvorbo številk v črke in simbole.

Dobre in slabe prakse pri izbiri gesel

Poleg načina ustvarjanja gesla obstajajo še nekatere značilnosti, ki opredeljujejo dobro geslo . Te vključujejo: da vsebuje mešanico velikih in malih črk, številk in simbolov; da ne temelji na očitnih besedah ​​ali datumih; da je zadostna dolžina (12–15 znakov je bolje kot 8); in da si ga je razmeroma enostavno zapomniti, ne da bi si ga bilo treba zapisati.

Po drugi strani pa najdemo primere "nevarnih" gesel , ki jih je izjemno enostavno uganiti. Sem spadajo vsa lastna imena (vaše, družinskih članov, partnerjev, prijateljev, hišnih ljubljenčkov), imena podjetij ali domen, preproste besede iz slovarja, zaporedja, kot sta "aaaaaa" ali "123456", telefonske številke, številke registrskih tablic, PIN-i kartic ali zaporedja na tipkovnici, kot sta "qwertyui" ali "asdf1234".

Priporočljivo je tudi, da se izogibate izrazom, povezanim z vašim okusom ali osebnimi podatki , ki jih običajno objavljate: najljubša nogometna ekipa, hobiji, ki so zelo vidni na družbenih omrežjih, domači kraj, vzdevek, po katerem ste znani itd. Napadalci lahko vse te podatke zberejo s socialnim inženiringom in na podlagi njih preizkusijo očitne kombinacije.

Po drugi strani pa ni dobra ideja, da je vaše geslo enako ali zelo podobno vašemu uporabniškemu imenu . Če je vaš e-poštni naslov » [email protected] «, je uporaba nečesa, kot je »juanperez2024«, darilo vsakomur, ki vas poskuša vdreti. Bolj ko konceptualno ločite svojo javno identiteto od gesla, tem bolje.

Nekatere storitve imajo tudi omejitve znakov : na primer sprejemajo samo znake ASCII in ne dovoljujejo naglasov, črk ñ ali nekaterih nenavadnih simbolov. V teh primerih boste morali prilagoditi svojo metodo (na primer, izogniti se znaku za evro, če ga sistem ne podpira), ne da bi pri tem žrtvovali kompleksnost.

Higiena gesel: kako jih upravljati vsakodnevno

Varnost gesel ni le ustvarjanje močnih gesel, temveč vključuje tudi to, kako jih vsakodnevno uporabljate in shranjujete . Ta niz navad se pogosto imenuje »higiena gesel« in vključuje vse od tega, da jih ne delite z drugimi, do rednega preverjanja njihove moči.

Prvič, vsak pomemben račun bi moral imeti edinstveno geslo . Ponovna uporaba istega gesla v več storitvah je ena najpogostejših napak: če pride do kršitve varnosti podatkov na spletnem mestu in vaše geslo uide, ga bodo napadalci poskusili uporabiti v bankah, e-pošti, družbenih omrežjih ali nakupovalnih platformah. Ta vrsta avtomatiziranega napada je znana kot »credential stuffing«.

Priporočljivo je tudi, da gesla spremenite, kadar obstajajo znaki tveganja : če vas storitev opozori na sumljiv dostop, če opazite nenavadno dejavnost ali če podjetje potrdi kršitev podatkov. Nekateri starejši pravilniki so zahtevali spreminjanje gesel vsake tri mesece, danes pa je pogosteje, da jih obnovite, ko obstajajo dokazi o ogrožanju ali če odkrijete šibko geslo.

Ključnega pomena je, da takoj zamenjate privzeta gesla na usmerjevalnikih, nadzornih ploščah, napravah interneta stvari ali novo ustvarjenih računih (na primer, če vam je bila poslana začasna številka pogodbe). Ta gesla so pogosto javna, kratka ali pa jih je zelo enostavno uganiti.

In seveda nikoli ne izberite možnosti »zapomni si geslo« v brskalnikih ali napravah, ki jih ne nadzorujete (skupni računalniki, internetne kavarne, službeni računalniki, odprti za več ljudi). Shranjevanje poverilnic v nezaščitenih okoljih pomeni, da kdorkoli vabi, da uporabi vašo identiteto.

Kje in kako shraniti gesla, ne da bi pri tem naredili napako

Mnogi ljudje si gesla zapišejo na list papirja, prilepljen na zaslon, v zvezek na mizi ali v datoteko z imenom »passwords.xlsx« na namizju. Te rešitve so zelo priročne, a z vidika varnosti grozne . Vsakdo s fizičnim ali oddaljenim dostopom do naprave lahko dostopa do vseh vaših računov.

Če se odločite, da jih boste zapisal na fizično lokacijo, poskusite izbrati varno in neopazno mesto , stran od računalnika, ki ga varujejo. Kljub temu to ni najboljša možnost za poslovna okolja ali za posebej občutljive račune (bančništvo, sistemska administracija, nadzorne plošče strank itd.).

Sodobna in varnejša alternativa je uporaba upravitelja gesel . Te aplikacije shranjujejo vaša šifrirana gesla, ustvarjajo kompleksne kombinacije in jih samodejno vnašajo, ko jih potrebujete. Zapomniti si morate le močno glavno geslo in v mnogih primerih omogočiti večfaktorsko preverjanje pristnosti za dostop do samega upravitelja.

Ugledni upravitelji gesel posodabljajo vaša gesla, vas opozorijo, če so katera šibka ali ogrožena, in jih varujejo, tudi če vam kdo ukrade napravo. Kombinacija močnega šifriranja in dvofaktorske avtentikacije (2FA) tretjim osebam izjemno otežuje dostop do vašega trezorja gesel.

Če še vedno ne želite uporabljati upravitelja gesel, se lahko odločite za mnemonične pripomočke, kot so tisti, omenjeni prej (fraze, vzorci, transformacije), pri čemer uporabite manjše različice glede na spletno mesto. Na primer, vstavite ime storitve na določeno mesto v geslu, spremenite določeno črko glede na vrsto računa itd. Pomembno je, da je sistem priročen za vas in vas ne vodi k poenostavljanju.

Zaščitite svoja gesla pred lažnim predstavljanjem in socialnim inženiringom

V mnogih primerih se napadalci ne trudijo tehnično vdreti v vaše geslo; namesto tega vas poskušajo z lažnim predstavljanjem prepričati, da jim ga zaupate . To se dogaja pri lažnem predstavljanju in drugih tehnikah socialnega inženiringa: e-poštna sporočila, besedilna sporočila ali klici, ki se izdajajo za vašo banko, priljubljeno spletno trgovino ali celo zaupanja vreden stik.

Če prejmete e-poštno sporočilo, ki se izdaja za sporočilo znanega podjetja in vas prosi , da potrdite geslo , ga vnesete prek sumljive povezave ali pošljete občutljive podatke »zaradi varnosti«, bodite takoj sumničavi. Enako velja, če prejmete telefonski klic, v katerem vas domnevno pozivajo iz vaše banke ali plačilne platforme, da poiščete geslo za »preverjanje« vaše identitete.

Te prevare pogosto posnemajo videz legitimnih spletnih mest, kopirajo logotipe, barve in besedilo, da bi izgledali pristno. Zato je pomembno, da do storitev vedno dostopate prek zaupanja vrednih zaznamkov ali tako, da naslov vnesete neposredno v brskalnik, namesto da sledite povezavam v nepričakovanih e-poštnih sporočilih ali sporočilih.

Če imate kakršne koli dvome, obiščite uradno spletno stran banke, trgovine ali storitve tako, da vnesete URL, ki ga že poznate, ali pokličite telefonsko številko, navedeno na njihovi uradni spletni strani. Nikoli ne delite svojega gesla po e-pošti, sporočilih ali telefonu, tudi če se zdi, da ga zahteva nekdo, ki mu zaupate, ali serviser.

Večfaktorska avtentikacija in dodatni zaščitni koraki

Kljub vsemu zgoraj navedenemu vedno obstaja možnost, da bi kdo lahko prišel do vašega gesla. Zato je zelo priporočljivo, da omogočite večfaktorsko preverjanje pristnosti (MFA ali 2FA), kadar koli je na voljo. Ta sistem zahteva več kot le vaše geslo: na primer začasno kodo, poslano prek SMS-a ali ustvarjeno z aplikacijo, fizični ključ ali biometrično preverjanje pristnosti.

Ideja je preprosta: tudi če napadalec pridobi vaše geslo, se brez tega drugega dejavnika ne bo mogel prijaviti . Številne večje platforme (Google, Microsoft, družbena omrežja, banke itd.) že ponujajo ta sistem, v poslovnih okoljih pa postaja nepogrešljiv standard.

Drug koristen ukrep je posodabljanje podatkov za obnovitev : nadomestni e-poštni naslov in rezervna telefonska številka (glejte, kako obnovim svoj Gmail račun ). Ti podatki vam omogočajo, da zaznate nepooblaščen dostop, obnovite svoj račun, če pozabite geslo ali če ga kdo poskuša spremeniti, in prejemate opozorila v primeru sumljive dejavnosti.

Vendar s temi podatki ravnajte previdno: občasno preverjajte, ali so še vedno posodobljeni (mobilni telefon, ki ga ne uporabljate več, vam ni več v pomoč) in se izogibajte njihovemu neprevidnemu deljenju na nezanesljivih obrazcih ali družbenih omrežjih.

Če sumite, da je bil eden od vaših računov ogrožen, ukrepajte hitro: spremenite prizadeto geslo , zaprite odprte seje v drugih napravah in preglejte nedavno dejavnost. Za kritične storitve (primarna e-pošta, bančništvo, poslovna orodja) je morda pametno spremeniti tudi druga povezana gesla.

Posebna priporočila v osebnem in poslovnem okolju

Na osebni ravni je cilj preprost: zaščititi svoje zasebne podatke in preprečiti uporabo svojih računov v zlonamerne namene. Da bi to dosegli, preprosto sledite zgoraj opisanim najboljšim praksam: dolga in edinstvena gesla , upravitelj gesel ali močna mnemonična orodja, dvofaktorsko preverjanje pristnosti (2FA), kadar koli je to mogoče, in se izogibajte deljenju gesel s prijatelji ali družino; če je to nujno potrebno, se naučite varno deliti gesla , »ker, no, ni konec sveta«.

V poslovnih okoljih so gesla še pomembnejša, saj lahko omogočajo dostop do poslovnih informacij , delovnih orodij, podatkovnih baz strank ali kritičnih sistemov. Bistveno je, da ima vsak zaposleni svoje edinstvene poverilnice, da se generični uporabniški računi ne delijo in da so datoteke ali sistemi, kjer so shranjena gesla, še posebej varni.

Organizacije bi morale opredeliti jasne politike glede gesel : minimalno dolžino, zahtevano kompleksnost, uporabo korporativnih menedžerjev, obveznost aktivacije večfaktorske autentifikacije (MFA) na kritičnih računih, prepoved pisanja ključev na samolepljive listke ali nešifrirane dokumente ter postopke za spreminjanje gesel, ko se nekdo pridruži ali odide.

Poleg tega je priporočljivo okrepiti osnovno usposabljanje o kibernetski varnosti za vse zaposlene: prepoznavanje lažnih e-poštnih sporočil, skrbno preverjanje spletnih naslovov pred vnosom poverilnic, takojšnje prijavljanje izgube naprave z dostopom do računa itd. Najboljše geslo na svetu je neuporabno, če ga uporabnik nenamerno posreduje prevarantu.

Skratka, gesla so kot digitalna zobna ščetka: ne delite jih z drugimi, skrbite zanje in jih po potrebi spremenite. Z združevanjem dolgih, edinstvenih in dobro sestavljenih gesel, dobrih navad upravljanja gesel, upraviteljev gesel po potrebi in večfaktorske avtentikacije v najpomembnejših storitvah lahko napadalcem močno otežite življenje in si zagotovite veliko večji mir v srcu.