- Ndryshimet periodike të fjalëkalimeve të detyruara inkurajojnë çelësa të dobët dhe modele të parashikueshme, duke zvogëluar sigurinë aktuale.
- Fjalëkalimet duhet të jenë të gjata, unike dhe të forta, dhe të ndryshohen vetëm kur ka dyshime ose prova për kompromentim.
- Autentifikimi shumëfaktorësh dhe menaxherët e fjalëkalimeve tani janë mjetet kryesore për mbrojtjen e llogarive nga rrjedhjet dhe sulmet.
- E ardhmja qëndron te sisteme si çelësat e kalimit, të cilat zvogëlojnë varësinë nga fjalëkalimet tradicionale dhe problemet e tyre të vjedhjes dhe ripërdorimit.
Për vite me radhë kemi dëgjuar se gjëja më e përgjegjshme për të bërë ishte të ndryshonim fjalëkalimet shpesh , pothuajse njësoj si të deklaronim taksat: ishte e detyrueshme. Por vitet e fundit, organizatat kryesore të sigurisë kibernetike, siç është Instituti Kombëtar i Standardeve dhe Teknologjisë i SHBA-së (NIST) , e kanë rishikuar plotësisht këtë rekomandim dhe kanë arritur në një përfundim të habitshëm: ndryshimi i detyruar i shpeshtë i fjalëkalimeve zakonisht e përkeqëson sigurinë në vend që ta përmirësojë atë.
Ky ndryshim në qasje mbështetet nga të dhënat nga shkeljet masive të kredencialeve, studimet e sjelljes së përdoruesve dhe përvoja praktike e kompanive dhe universiteteve. Sot, rekomandimi mbizotërues është të ruhen fjalëkalime të forta, të gjata dhe unike , të ndryshohen ato vetëm kur ka dyshime ose prova komprometimi dhe të mbështeten në mjete të tilla si vërtetimi shumëfaktorësh (MFA) dhe menaxherët e fjalëkalimeve për të shmangur zhgënjimin e memorizimit të fjalëkalimeve të pamundura.
NIST, i cili përcakton standardet teknike për agjencitë qeveritare të SHBA-së dhe shërben si pikë referimi për kompanitë në mbarë botën, ka sqaruar në udhëzuesin e tij SP 800-63-4 se përdoruesve nuk duhet t'u kërkohet të rinovojnë fjalëkalimet e tyre periodikisht nëse nuk ka prova për një shkelje të sigurisë. Ky është një ndryshim rrënjësor nga politika tradicionale "ndryshojeni çdo 30/60/90 ditë".
Drafti publik i këtyre udhëzimeve shpjegon se, kur një fjalëkalim është zgjedhur saktë (është i gjatë, i rastësishëm dhe unik), ndryshimi i detyruar çdo një ose tre muaj zvogëlon sigurinë : barra e mbajtjes mend të fjalëkalimeve të reja i shtyn njerëzit t'i thjeshtojnë ato, t'i ripërdorin ose të aplikojnë modele të parashikueshme, gjë që është pikërisht ajo nga e cila përfitojnë sulmuesit.
Rekomandimet aktuale përcaktojnë se ofruesit e shërbimeve dhe verifikuesit e identitetit nuk duhet të imponojnë skadime periodike të fjalëkalimeve . Në vend të kësaj, ata janë të detyruar të zbatojnë një ndryshim të menjëhershëm kur ka shenja se autentifikuesi është kompromentuar, për shembull, pas një shkeljeje të të dhënave, aksesit të dyshimtë ose pranisë së fjalëkalimit në bazat e të dhënave të rrjedhura.
Për më tepër, NIST vë në pikëpyetje kërkesa të tjera tradicionale, të tilla si rregullat e ngurta të përbërjes (që detyrojnë një përzierje shkronjash të mëdha, numrash dhe simbolesh) ose pyetjet famëkeqe të sigurisë si "emri i kafshës suaj të parë shtëpiake". Provat tregojnë se këto rregulla bëjnë që përdoruesit të sillen në mënyra shumë të parashikueshme, duke gjeneruar fjalëkalime si Password2023, Password2024 ose Password1!, të cilat janë një dhuratë për sulmuesit.
Analiza e bazave të të dhënave masive të fjalëkalimeve të vjedhura zbulon se përfitimi aktual i këtyre rregullave klasike është shumë më i vogël nga sa mendohej më parë , ndërsa ndikimi negativ në përdorshmëri dhe mbajtjen mend është i madh. Shkurt: njerëzit përfundojnë duke kërkuar shkurtesa të lehta, dhe ato shkurtesa pothuajse gjithmonë përputhen.
Si po kompromentohen fjalëkalimet tuaja sot
Pavarësisht nëse e ndryshoni fjalëkalimin çdo tre muaj apo jo, llogaritë tuaja janë të cenueshme për shkak të mënyrës se si kriminelët kibernetikë i marrin ato . Vjedhja zakonisht nuk ndodh nëpërmjet një hamendjeje të mrekullueshme të fjalëkalimit tuaj, por nëpërmjet disa metodave shumë specifike dhe të njohura.
Një nga metodat më të zakonshme është përmes rrjedhjeve masive të të dhënave nga shërbimet online. Rrjetet sociale, forumet, platformat e lojërave, faqet e tregtisë elektronike dhe ofruesit e shërbimeve cloud vuajnë nga shkelje të sigurisë që ekspozojnë miliona kombinime emri përdoruesi-fjalëkalimi, ndonjëherë edhe të paenkriptuara ose me algoritme të prishura. Këto baza të dhënash përfundojnë duke u rishitur në forume hakerimi dhe në rrjetin e errët.
Një arsye tjetër klasike është se fjalëkalimi juaj është i dobët ose shumë i zakonshëm . Listat e fjalëkalimeve më të përdorura në vende si Spanja tregojnë fjalëkalime vërtet të tmerrshme si "admin", "123456", "000000", "password" ose emra dhe qytete të dukshme si "carl0s" ose "barcelona". Këto lloj kombinimesh mund të zbulohen në më pak se një sekondë me mjete automatike brute-force.
Ekzistojnë gjithashtu sulme phishing dhe inxhinierie sociale , në të cilat një sulmues ju mashtron që të futni fjalëkalimin tuaj në një faqe interneti të rreme që imiton bankën, emailin ose faqen tuaj të mediave sociale. Ndonjëherë kjo kombinohet me program keqdashës keylogger, i cili regjistron shtypjen e tasteve për të kapur çdo kredencial që futni.
Së fundmi, nuk duhet të harrojmë dobësitë e softuerit dhe harduerit . Sisteme të vjetruara, ruterë me firmware të vjetër, aplikacione me të meta sigurie - të gjitha këto mund t'i lejojnë një pale të tretë të hyjë në fjalëkalimet tuaja të ruajtura ose madje t'i ndryshojë ato dhe të bllokojë qasjen tuaj legjitime. Prandaj këmbëngulja e ekspertëve për të mbajtur sistemet dhe pajisjet të përditësuara.
Pse ndryshimi i saj "për çdo rast" mund të jetë një ide e keqe
Në këtë kontekst, shumë përdorues supozojnë se ndryshimi i shpeshtë i fjalëkalimit është një lloj mase universale sigurie. Megjithatë, si NIST ashtu edhe studimet nga universitete si Carnegie Mellon bien dakord se ndryshimet e shpeshta dhe të paarsyeshme të fjalëkalimit rrisin rrezikun e aktivitetit keqdashës.
Kur një sistem ju detyron të ndryshoni fjalëkalimet vazhdimisht, shumica e njerëzve ndalojnë së menduari shumë për këtë dhe zbatojnë transformime të vogla e të parëndësishme : shtimin ose rritjen e një numri në fund, ndryshimin e vitit, alternimin e një simboli të dukshëm... pikërisht modelet që sulmuesit kanë tashmë në fjalorët e tyre.
Për më tepër, shqetësimi i këtyre ndryshimeve po i shtyn njerëzit të përdorin fjalëkalime gjithnjë e më të shkurtra dhe më të thjeshta , ose edhe të ripërdorin të njëjtin fjalëkalim në shërbime të ndryshme me ndryshime të vogla. Nëse një sulmues kompromenton njërën nga këto llogari, ai do të ketë të dhëna shumë të qarta për të tjerat, duke shumëfishuar dëmin e mundshëm.
Shumë ekspertë theksojnë se nëse kompanitë do t’ia kushtonin kohën dhe paratë e shpenzuara për të detyruar ndryshimet tremujore të fjalëkalimeve trajnimit të përdoruesve se si të krijojnë fjalëkalime të forta dhe unike , si dhe vendosjes së menaxherëve të fjalëkalimeve dhe verifikimit me dy hapa, përmirësimi i vërtetë në siguri do të ishte shumë më i madh.
Edhe kompanitë e sigurisë e pranojnë se, pa prova të një shkeljeje të të dhënave , ndryshimi rutinor i fjalëkalimit tuaj nuk e bën atë më të sigurt. Në fakt, kjo mund të krijojë një ndjenjë të rreme sigurie, ndërsa dobësi të tjera, më serioze, vazhdojnë të ekzistojnë, siç është ripërdorimi i të njëjtit fjalëkalim në faqe të shumta ose mosaktivizimi i MFA-së.
Kur duhet ta ndryshoni fjalëkalimin pa hezitim?
Edhe pse ndërrimi i detyruar i fjalëkalimeve nuk është më një praktikë e mirë, kjo nuk do të thotë që duhet të përdorni të njëjtin fjalëkalim sido që të jetë. Ka situata kur ndryshimi i menjëhershëm i tij është thelbësor për të zvogëluar rrezikun.
Nëse një kompani ku keni një llogari njofton një shkelje të të dhënave , gjëja e mençur që duhet të bëni është të përditësoni fjalëkalimin tuaj për atë shërbim sa më shpejt të jetë e mundur, si dhe për çdo llogari tjetër ku mund ta ripërdorni atë (nëse e keni bërë këtë). Ndonjëherë këto shkelje duhen javë për t'u raportuar, kështu që mjetet ose shërbimet e monitorimit të uebit të errët si "A jam pwned" mund t'ju ndihmojnë të zbuloni më shpejt nëse adresa juaj e emailit shfaqet në një listë të rrjedhur.
Një tjetër shenjë e qartë paralajmëruese janë përpjekjet e padëshiruara për hyrje ose ndryshim fjalëkalimi . Nëse merrni email-e të ligjshme që pyesin "A keni kërkuar një rivendosje fjalëkalimi?" ose njoftime hyrjeje nga vende ose pajisje të panjohura, duhet të ndryshoni menjëherë fjalëkalimin tuaj duke u kyçur vetë në shërbim (pa klikuar në lidhje të dyshimta) dhe të aktivizoni MFA nëse nuk e keni bërë tashmë.
Nëse dyshoni se pajisja juaj është infektuar me programe keqdashëse , duhet të ndryshoni edhe fjalëkalimet, por vetëm pasi ta keni pastruar pajisjen. Ndryshimi i fjalëkalimeve është i pakuptimtë nëse sulmuesi ende mund të shohë gjithçka që shkruani. Pasi sistemi të dezinfektohet, duhet të përditësoni kredencialet për shërbimet kritike (email, banka, media sociale, ruajtje në cloud, etj.).
Nëse një nga llogaritë tuaja është hakuar qartë (duken mesazhe që nuk i keni dërguar, blerje që nuk i keni bërë, ndryshime të çuditshme në profil), të gjitha llogaritë që ndajnë të njëjtin fjalëkalim ose variacione të ngjashme duhet të konsiderohen të kompromentuara dhe fjalëkalimet e tyre duhet të ndryshohen menjëherë.
Në mjediset e korporatave, për llogaritë e administratorit ose sisteme veçanërisht të ndjeshme, shumë organizata ende zgjedhin të rrotullojnë kredencialet e privilegjuara me një farë frekuence, por e bëjnë këtë në një mënyrë automatike dhe duke gjeneruar fjalëkalime të forta të rastësishme, pikërisht për të shmangur gabimet njerëzore që lidhen me ndryshimet manuale.
Çfarë është një fjalëkalim i sigurt sot (dhe çfarë nuk është)
Një fjalëkalim është thjesht një grup karakteresh që ju jep akses në informacione private ose burime të vlefshme: email, media sociale, shërbime bankare online, panelin e kontrollit të faqes suaj të internetit, VPN-në e kompanisë suaj, pajisjet mobile etj. Fakti që është e vetmja pengesë midis jetës suaj dixhitale dhe një sulmuesi duhet të jetë arsye e mjaftueshme për ta marrë seriozisht.
Ekspertët kanë pohuar prej kohësh se një fjalëkalim i mirë duhet të jetë i gjatë, kompleks dhe unik . Tradicionalisht, kjo nënkuptonte një minimum prej tetë karakteresh, duke kombinuar shkronja të mëdha dhe të vogla, numra dhe simbole, dhe duke shmangur fjalët e fjalorit ose informacionin personal (datat, emrat, targat, etj.).
Udhëzimet më të fundit të NIST i kushtojnë edhe më shumë rëndësi gjatësisë: ato rekomandojnë që të kërkohen të paktën 8 karaktere , por e konsiderojnë të dëshirueshme që të rritet niveli në 15 ose më shumë , duke lejuar deri në një maksimum prej 64 karakteresh. Sa më e gjatë të jetë fraza, aq më e vështirë është të deshifrohet me sulme automatike, me kusht që të mos jetë një frazë e parashikueshme.
Një strategji e mirë për njerëzit është përdorimi i fjalëkalimeve : sekuenca fjalësh të rastësishme të përziera me simbole dhe shkronja të mëdha, të cilat janë të lehta për t'u mbajtur mend, por shumë të vështira për t'u deshifruar nga një kompjuter. Shembuj si "Mars-Whale-Near4-Melted" ose "Minute.Truck.Where2.Attempt" ofrojnë entropi shumë të lartë pa u mbështetur në modele tipike.
Ajo që duhet të shmangni janë fjalëkalimet që shfaqen vit pas viti ndër më të përdorurat: "123456", "password", "qwerty", "111111", "admin" , kombinime të dukshme të tastierës, fjalë të vetme, sekuenca numrash ose tastesh bazuar në informacione që kushdo mund të nxjerrë nga rrjetet tuaja sociale (emri i partnerit, ekipi i futbollit, data e lindjes...).
Po aq e rëndësishme është që çdo shërbim të përdorë një fjalëkalim të ndryshëm . Ripërdorimi i të njëjtit fjalëkalim për email, media sociale, shërbime bankare dhe blerje është si të përdorësh të njëjtin çelës për shtëpinë, makinën dhe kasafortën tënde, dhe pastaj të lësh një kopje në tapetin e derës. Nëse një nga këto faqe interneti shkelet, një sulmues mund ta provojë thjesht atë kombinim në të gjitha shërbimet e tjera të njohura.
Autentifikim shumëfaktorësh, menaxherë fjalëkalimesh dhe çelësa kalimi
Aspekti tjetër i rëndësishëm i këtij ndryshimi paradigme është largimi nga mbështetja vetëm në një fjalëkalim të vetëm, pavarësisht se sa i fortë mund të jetë. Sot, konsiderohet thelbësore të plotësohen fjalëkalimet me autentifikim shumëfaktorësh (MFA) sa herë që shërbimi e lejon këtë.
MFA shton një provë të dytë identiteti, e cila mund të jetë diçka që ju e dini (fjalëkalimi juaj), diçka që keni (telefon celular, token fizik, aplikacion kodi) ose diçka që ju jeni (gjurmë gishti, fytyrë, iris). Në këtë mënyrë, edhe nëse dikush vjedh fjalëkalimin tuaj, do të jetë shumë më e vështirë për ta që të fitojnë akses pa këtë faktor të dytë.
Aktivizimi i MFA-së për email-in, mediat sociale, bankat online, shërbimet cloud ose aksesin në punë në distancë pengon shumë sulme të automatizuara që mbështeten në fjalëkalime të vjedhura ose të dobëta. Edhe nëse fjalëkalimi juaj shfaqet në një shkelje të të dhënave, sulmuesi do të hasë një pengesë shtesë, të vështirë për t'u kapërcyer.
Për t'u marrë me problemin e mbajtjes mend të dhjetëra fjalëkalimeve të gjata dhe unike, ekspertët rekomandojnë përdorimin e një menaxheri fjalëkalimesh . Këto mjete gjenerojnë fjalëkalime shumë komplekse dhe të rastësishme, i ruajnë ato të koduara në një kasafortë të sigurt dhe i plotësojnë ato kur identifikoheni. E tëra çfarë duhet të bëni është të mbroni një fjalëkalim të fortë kryesor dhe, nëse është e mundur, të aktivizoni MFA (Autentifikimi Shumëfaktorësh).
Një menaxher i mirë fjalëkalimesh parandalon praktikat e rrezikshme si shkrimi i fjalëkalimeve në letër, në fletëllogaritëse të pakriptuara ose në shënime në telefonin tuaj, ose thjesht lejimi i shfletuesit tuaj t'i ruajë ato. Gjithashtu ju inkurajon të përdorni fjalëkalime shumë më të gjata nga sa mund t'i mbani mend vetë, gjë që përmirëson rezistencën tuaj ndaj sulmeve.
Ndërkohë, çelësat e kalimit, ose çelësat e aksesit , po bëhen gjithnjë e më të popullarizuar. Këto alternativa moderne ndaj fjalëkalimeve tradicionale bazohen në kriptografinë me çelës publik. Çelësat e kalimit ruhen në pajisje ose në një menaxher të pajtueshëm dhe u lejojnë përdoruesve të identifikohen duke përdorur një gjurmë gishtash, njohje të fytyrës ose një PIN lokal, pa dërguar një fjalëkalim të ripërdorshëm në server.
Gjigantë si Google, Apple, Microsoft, Amazon, PayPal dhe GitHub tashmë mbështesin fjalëkalimet, dhe mbi njëqind faqe interneti dhe aplikacione po i bashkohen kësaj teknologjie. Ndërsa fjalëkalimet nuk do të zhduken brenda natës, e ardhmja tregon sisteme pa fjalëkalim që do të zbutin shumë nga problemet aktuale të vjedhjes dhe ripërdorimit.
Praktika të mira sigurie me fjalëkalime për jetën e përditshme
Përtej debatit rreth skadimit, qëllimi juaj duhet të jetë minimizimi i sipërfaqes së sulmit që paraqesin fjalëkalimet tuaja. Kjo përfshin kombinimin e disa praktikave më të mira të thjeshta që janë të lehta për t'u zbatuar nëse bëhen me kujdes.
Së pari, zotohuni të mos e ripërdorni të njëjtin fjalëkalim për më shumë se një llogari , veçanërisht për shërbime kritike si email-i, shërbimet bankare, dyqanet online me karta krediti të ruajtura dhe llogaritë e punës. Nëse tashmë po e ripërdorni, bëjeni përparësi ndryshimin e këtyre fjalëkalimeve dhe mbajtjen e tyre të ndara duke përdorur një menaxher fjalëkalimesh.
Kur përditësoni një fjalëkalim, shmangni "mashtrimin" duke modifikuar vetëm një karakter (duke shtuar një numër në fund, duke zëvendësuar një shkronjë me një simbol të ngjashëm, etj.). Kriminelët kibernetikë janë të vetëdijshëm për këto modele dhe mjetet e sulmit i përfshijnë ato si parazgjedhje.
Konsideroni përdorimin e frazave të gjata për llogaritë që doni të mbani mend (për shembull, fjalëkalimin tuaj kryesor për menaxherin e llogarisë suaj). Kombinoni disa fjalë në dukje të palidhura, futni shkronja të mëdha në pozicione më pak të dukshme dhe shtoni një numër ose simbol midis tyre për të rritur kompleksitetin.
Kur nuk keni nevojë ta mësoni përmendësh fjalëkalimin tuaj sepse po përdorni një menaxher fjalëkalimesh, përfitoni nga gjeneratorët e tij të fjalëkalimeve dhe frazave të kalimit . Këto krijojnë automatikisht vargje të rastësishme si "3>ZfrT61(9#X;?Kdk4FQ" ose fraza komplekse dhe i ruajnë ato në kasafortën tuaj. Gjëja e rëndësishme këtu nuk është aq shumë të jesh në gjendje t'i recitosh ato përmendësh, por të sigurohesh që askush tjetër nuk mund t'i hamendësojë.
Në një nivel praktik, shmangni me çdo kusht ruajtjen e fjalëkalimeve në tekst të thjeshtë në kompjuterin ose pajisjen tuaj mobile, qoftë në shënime, dokumente të lira, foto të shënimeve ngjitëse ose email-e që i dërgoni vetes. Çdo program keqdashës, vjedhje pajisjesh ose akses fizik i paautorizuar do ta shndërronte të gjithë këtë në një hartë thesari për një sulmues.
Së fundmi, bëhuni zakon të kontrolloni rregullisht nëse llogaritë tuaja janë shfaqur në shkelje të njohura të të dhënave, duke përdorur shërbimet e zbulimit të shkeljeve ose veçoritë e sigurisë së menaxherit ose shfletuesit tuaj të fjalëkalimeve. Nëse zbuloni se një fjalëkalim është ekspozuar, atëherë duhet ta ndryshoni atë pa hezitim.
Në një botë ku shkeljet e të dhënave arrijnë në miliarda dhe alternativa si MFA dhe fjalëkalimet po shfaqen, strategjia fituese nuk ka të bëjë më me ndryshimin e vazhdueshëm të fjalëkalimeve, por me ndërtimin e një ekosistemi aksesi të fuqishëm dhe të menaxhueshëm : fjalëkalime të gjata dhe unike, autentifikim shumëfaktorësh, mjete që thjeshtojnë menaxhimin dhe vëmendje ndaj shenjave të kompromentimit të vërtetë. Nëse i përshtatni zakonet tuaja në këtë drejtim, llogaritë tuaja do të jenë shumë më të mbrojtura edhe nëse nuk mund të mbani mend herën e fundit që e keni ndryshuar fjalëkalimin tuaj "në bazë kalendarike".
