- Присилне периодичне промене лозинки подстичу слабе кључеве и предвидљиве обрасце, смањујући стварну безбедност.
- Лозинке треба да буду дугачке, јединствене и јаке, и мењају се само када постоји сумња или докази о компромитацији.
- Вишефакторска аутентификација и менаџери лозинки су сада кључни алати за заштиту налога од цурења информација и напада.
- Будућност лежи у системима попут лозинки, који смањују зависност од традиционалних лозинки и њихове проблеме крађе и поновне употребе.
Годинама смо слушали да је одговорна ствар често мењати лозинке , готово као подношење пореске пријаве: то је било обавезно. Али последњих година, водеће организације за сајбер безбедност, попут Националног института за стандарде и технологију САД (NIST) , потпуно су ревидирале ову препоруку и дошле до запањујућег закључка: присиљавање на честе промене лозинки обично погоршава безбедност уместо да је побољшава.
Ову промену у приступу поткрепљују подаци из масовних кршења акредитива, студије понашања корисника и практично искуство компанија и универзитета. Данас је преовлађујућа препорука да се одржавају јаке, дуге и јединствене лозинке , да се мењају само када постоји сумња или доказ о компромитовању и да се ослањају на алате као што су вишефакторска аутентификација (MFA) и менаџери лозинки како би се избегла фрустрација памћења немогућих лозинки.
НИСТ, који поставља техничке стандарде за агенције владе САД и служи као референтна тачка за компаније широм света, појаснио је у свом водичу SP 800-63-4 да корисници не би требало да буду обавезни да периодично обнављају своје лозинке ако нема доказа о кршењу безбедности. Ово је радикална промена у односу на традиционалну политику „мењајте је сваких 30/60/90 дана“.
Јавни нацрт ових смерница објашњава да, када је лозинка правилно изабрана (дугачка је, насумична и јединствена), присиљавање на промене сваких један или три месеца смањује безбедност : терет памћења нових лозинки тера људе да их поједностављују, поново користе или примењују предвидљиве обрасце, што је управо оно што нападачи искоришћавају.
Тренутне препоруке наводе да добављачи услуга и верификатори идентитета не би требало да намећу периодичне рокове важења лозинки . Уместо тога, они су обавезни да спроведу тренутну промену када постоје знаци да је аутентификатор угрожен, на пример, након кршења безбедности података, сумњивог приступа или присуства лозинке у процурелим базама података.
Штавише, NIST доводи у питање и друге традиционалне захтеве, као што су ригидна правила састављања (наметање комбинације великих слова, бројева и симбола) или озлоглашена безбедносна питања попут „име вашег првог кућног љубимца“. Докази показују да ова правила узрокују да се корисници понашају на веома предвидљив начин, генеришући лозинке попут Лозинка2023, Лозинка2024 или Лозинка1!, које су поклон за нападаче.
Анализа огромних база података украдених лозинки открива да је стварна корист од ових класичних правила далеко мања него што се раније мислило , док је негативан утицај на употребљивост и памтљивост огроман. Укратко: људи на крају траже једноставне пречице, а те пречице се скоро увек поклапају.
Како су ваше лозинке данас заиста угрожене
Без обзира да ли мењате лозинку свака три месеца или не, ваши налози су рањиви због начина на који их сајбер криминалци добијају . Крађа се обично не дешава чудотворним погађањем ваше лозинке, већ кроз неколико веома специфичних и добро познатих метода.
Једна од најчешћих метода је масовно цурење података са онлајн сервиса. Друштвене мреже, форуми, платформе за игре, сајтови за електронску трговину и добављачи услуга у облаку трпе безбедносне пропусте који откривају милионе комбинација корисничког имена и лозинке, понекад чак и нешифрованих или са поквареним алгоритмима. Ове базе података се на крају препродају на хакерским форумима и дарк вебу.
Још један класичан разлог је тај што је ваша лозинка слаба или превише уобичајена . Листе најчешће коришћених лозинки у земљама попут Шпаније показују заиста ужасне лозинке попут „admin“, „123456“, „000000“, „password“ или очигледна имена и градове попут „carl0s“ или „barcelona“. Ове врсте комбинација могу се дешифровати за мање од секунде помоћу аутоматизованих алата за грубу силу.
Постоје и фишинг и напади социјалног инжењеринга , у којима вас нападач превари да унесете лозинку на лажној веб страници која имитира вашу банку, имејл или страницу друштвене мреже. Понекад се ово комбинује са злонамерним софтвером за бележење притиска на тастатури како би забележио све акредитиве које унесете.
Коначно, не смемо заборавити софтверске и хардверске рањивости . Застарели системи, рутери са старим фирмвером, апликације са безбедносним пропустима – све то може омогућити трећој страни да приступи вашим сачуваним лозинкама или чак да их промени и блокира ваш легитимни приступ. Отуда инсистирање стручњака на ажурирању система и уређаја.
Зашто би промена „за сваки случај“ могла бити лоша идеја
У овом контексту, многи корисници претпостављају да је честа промена лозинке нека врста универзалне безбедносне мере. Међутим, и NIST и студије универзитета попут Карнеги Мелона слажу се да честе, неразумне промене лозинки повећавају ризик од злонамерних активности.
Када вас систем приморава да стално мењате лозинке, већина људи престаје превише да размишља о томе и примењује мале, тривијалне трансформације : додавање или повећање броја на крају, промену године, наизменично мењање очигледног симбола... управо оне обрасце које нападачи већ имају у својим речницима.
Штавише, непријатност ових промена тера људе да користе све краће и једноставније лозинке , или чак да поново користе исту лозинку на различитим сервисима са малим варијацијама. Ако нападач угрози један од ових налога, имаће веома јасне трагове за остале, што ће умножити потенцијалну штету.
Многи стручњаци истичу да би стварно побољшање безбедности било много веће ако би компаније посветиле време и новац потрошен на принудно мењање лозинки на кварталној обуци корисника о томе како да креирају јаке и јединствене лозинке , као и примени менаџера лозинки и двостепене верификације.
Чак и безбедносне компаније признају да, без доказа о кршењу безбедности података , рутинска промена лозинке не чини је безбеднијом. У ствари, може створити лажни осећај сигурности док друге, озбиљније слабости и даље постоје, као што је поновно коришћење исте лозинке на више сајтова или неомогућавање вишеструке офсајдерске аутентификације (MFA).
Када треба да промените лозинку без оклевања?
Иако присилна ротација лозинке више није добра пракса, то не значи да треба да се држите исте лозинке без обзира на све. Постоје ситуације када је њена тренутна промена неопходна да би се смањио ризик.
Ако компанија код које имате налог објави кршење безбедности података , паметно је да што пре ажурирате лозинку за ту услугу, као и за све друге налоге где је можда поново користите (ако сте то урадили). Понекад је потребно неколико недеља да се ови пропусти пријаве, па алати или услуге за праћење мрачног веба попут „Have I Been Pwned“ могу вам помоћи да брже откријете да ли се ваша имејл адреса налази на листи процурелих података.
Још један јасан знак упозорења су нежељени покушаји пријављивања или промене лозинке . Ако примате легитимне имејлове са питањем „Да ли сте захтевали ресетовање лозинке?“ или упозорења о пријављивању са непознатих локација или уређаја, требало би одмах да промените лозинку тако што ћете се сами пријавити на услугу (без кликања на сумњиве линкове) и омогућити вишеструку офсајдерску проверу ако већ нисте.
Ако сумњате да је ваш уређај заражен злонамерним софтвером , требало би да промените и лозинке, али тек након чишћења уређаја. Промена лозинки је бесмислена ако нападач и даље може да види све што куцате. Након што је систем дезинфикован, морате ажурирати акредитиве за критичне сервисе (е-пошту, банкарство, друштвене мреже, складиштење у облаку итд.).
Ако је један од ваших налога очигледно хакован (појављују се поруке које нисте послали, куповине које нисте обавили, чудне промене профила), све налоге који деле исту лозинку или сличне варијације треба сматрати угроженим, а њихове лозинке треба одмах променити.
У корпоративним окружењима, за администраторске налоге или посебно осетљиве системе, многе организације и даље бирају да ротирају привилеговане акредитиве са одређеном учесталошћу, али то раде аутоматизовано и генерисањем јаких насумичних лозинки, управо како би избегле људске грешке повезане са ручним променама.
Шта је данас сигурна лозинка (а шта није)
Лозинка је једноставно скуп знакова који вам омогућава приступ приватним информацијама или вредним ресурсима: имејлу, друштвеним мрежама, онлајн банкарству, контролној табли вашег веб-сајта, VPN-у ваше компаније, мобилним уређајима итд. Чињеница да је то једина баријера између вашег дигиталног живота и нападача требало би да буде довољан разлог да је схватите озбиљно.
Стручњаци већ дуго тврде да добра лозинка треба да буде дугачка, сложена и јединствена . Традиционално, то је значило најмање осам знакова, комбинујући велика и мала слова, бројеве и симболе, и избегавајући речи из речника или личне податке (датуме, имена, регистарске таблице итд.).
Најновије NIST смернице стављају још већи нагласак на дужину: препоручују да се захтева најмање 8 карактера , али сматрају да је пожељно подићи границу на 15 или више , дозвољавајући највише 64 карактера. Што је фраза дужа, то ју је теже дешифровати аутоматизованим нападима, под условом да није предвидљива.
Добра стратегија за људе је коришћење лозинки : низова насумичних речи помешаних са симболима и великим словима, које је лако запамтити вама, али веома тешко рачунару да их пробије. Примери попут „Mars-Whale-Near4-Melted“ или „Minute.Truck.Where2.Attempt“ нуде веома високу ентропију без ослањања на типичне обрасце.
Оно што би требало да избегавате су лозинке које се из године у годину појављују међу најчешће коришћеним: „123456“, „password“, „qwerty“, „111111“, „admin“ , очигледне комбинације тастатуре, појединачне речи, низови бројева или тастера засновани на информацијама које би било ко могао да извуче са ваших друштвених мрежа (име партнера, фудбалски тим, датум рођења...).
Подједнако важно је да свака услуга користи другачију лозинку . Поновно коришћење исте лозинке за имејл, друштвене мреже, банкарство и куповину је као да користите исти кључ за кућу, аутомобил и сеф, а затим оставите копију на отирачу. Ако се један од тих веб-сајтова наруши, нападач би једноставно могао да испроба ту комбинацију на свим осталим популарним услугама.
Вишефакторска аутентификација, менаџери лозинки и приступни кључеви
Други важан аспект ове промене парадигме је удаљавање од ослањања искључиво на једну лозинку, без обзира на то колико она била јака. Данас се сматра неопходним допунити лозинке вишефакторском аутентификацијом (MFA) кад год услуга то дозвољава.
MFA додаје други доказ идентитета, што може бити нешто што знате (ваша лозинка), нешто што имате (мобилни телефон, физички токен, апликација за кодове) или нешто што јесте (отисак прста, лице, ирис). На овај начин, чак и ако неко украде вашу лозинку, биће му много теже да добије приступ без овог другог фактора.
Омогућавање вишеструке офсајдерске провере (MFA) за имејл, друштвене мреже, онлајн банкарство, услуге у облаку или приступ удаљеном раду спречава многе аутоматизоване нападе који се ослањају на украдене или слабе лозинке. Чак и ако се ваша лозинка појави у кршењу података, нападач ће наићи на додатну, тешко превазиђену препреку.
Да бисте се решили проблема памћења десетина дугих, јединствених лозинки, стручњаци препоручују коришћење менаџера лозинки . Ови алати генеришу веома сложене, насумичне лозинке, чувају их шифроване у безбедном трезору и попуњавају их уместо вас када се пријавите. Све што треба да урадите је да заштитите једну јаку главну лозинку и, ако је могуће, омогућите MFA (вишефакторску аутентификацију).
Добар менаџер лозинки спречава ризичне праксе попут записивања лозинки на папиру, у нешифрованим табелама или у белешкама на телефону, или једноставно дозвољавање прегледачу да их сачува. Такође вас подстиче да користите много дуже лозинке него што бисте могли сами да запамтите, што побољшава вашу отпорност на нападе.
У међувремену, лозинке, или приступни кључеви , постају све популарније. Ове модерне алтернативе традиционалним лозинкама засноване су на криптографији јавног кључа. Лозинке се чувају на уређају или компатибилном менаџеру и омогућавају корисницима да се пријаве помоћу отиска прста, препознавања лица или локалног ПИН-а, без слања лозинке за вишекратну употребу на сервер.
Гиганти попут Гугла, Епла, Мајкрософта, Амазона, Пајпала и ГитХаба већ подржавају лозинке, а преко стотину веб-сајтова и апликација се придружује. Иако лозинке неће нестати преко ноћи, будућност указује на системе без лозинки који ће ублажити многе тренутне проблеме крађе и поновне употребе.
Добре праксе заштите лозинки за свакодневни живот
Поред дебате о истеку рока важења, ваш циљ би требало да буде минимизирање површине за напад коју ваше лозинке представљају. То подразумева комбиновање неколико једноставних најбољих пракси које је лако применити ако се раде пажљиво.
Прво, обавезајте се да нећете поново користити исту лозинку за више од једног налога , посебно за критичне услуге попут имејла, банкарства, онлајн продавница са сачуваним кредитним картицама и пословних налога. Ако је већ поново користите, дајте приоритет промени тих лозинки и држите их одвојено помоћу менаџера лозинки.
Приликом ажурирања лозинке, избегавајте „варање“ модификовањем само једног карактера (додавањем броја на крај, заменом слова сличним симболом итд.). Сајбер криминалци су добро упознати са овим обрасцима, а алати за нападе их подразумевано укључују.
Размислите о коришћењу дугачких лозинки за налоге које желите да запамтите (на пример, ваша главна лозинка за менаџера налога). Комбинујте неколико наизглед неповезаних речи, уметните велика слова на мање очигледне позиције и додајте број или симбол између да бисте повећали сложеност.
Када не морате да памтите лозинку јер користите менаџер лозинки, искористите његове генераторе лозинки и лозинки . Они аутоматски креирају насумичне низове попут „3>ZfrT61(9#X;?Kdk4FQ“ или сложене фразе и чувају их у вашем трезору. Важно је овде не толико да можете да их изговорите напамет колико да осигурате да их нико други не може погодити.
На практичном нивоу, избегавајте по сваку цену чување лозинки у обичном тексту на рачунару или мобилном уређају, било да су то белешке, документи, фотографије лепљивих белешки или имејлови које шаљете себи. Било који злонамерни софтвер, крађа уређаја или неовлашћени физички приступ претворили би све то у мапу блага за нападача.
Коначно, стекните навику да редовно проверавате да ли су се ваши налози појавили у познатим кршењима података, користећи сервисе за откривање кршења или безбедносне функције вашег менаџера лозинки или прегледача. Ако откријете да је лозинка откривена, онда би требало да је промените без оклевања.
У свету где се кршења података броје у милијардама и појављују се алтернативе попут вишефакторске аутентификације (MFA) и лозинки, победничка стратегија више није стална промена лозинки, већ изградња робусног и управљивог екосистема приступа : дуге и јединствене лозинке, вишефакторска аутентификација, алати који поједностављују управљање и пажња на знаке стварног компромитовања. Ако прилагодите своје навике у овом правцу, ваши налози ће бити много боље заштићени чак и ако се не сећате када сте последњи пут променили лозинку „на календарској основи“.
