O bezpečnosti hesla

Tento článek bude hovořit o tom, jak vytvořit bezpečné heslo, jaké zásady by se měly při vytváření dodržovat, jak ukládat hesla a minimalizovat pravděpodobnost přístupu k vašim informacím a účtům útočníky.

Tento materiál je pokračováním článku „Jak může vaše heslo hacknout“ a znamená, že znáte materiál, který je zde prezentován, nebo již znáte všechny hlavní cesty, s nimiž mohou být ohrožena hesla.

Vytváření hesel

Při registraci jakéhokoli internetového účtu, vytvoření hesla, obvykle vidíte indikátor indikátoru spolehlivosti hesla. Téměř všude to funguje na základě posouzení následujících dvou faktorů: délka hesla; přítomnost speciálních znaků, kapitálových dopisů a čísel v hesle.

Navzdory skutečnosti, že se jedná o opravdu důležité parametry stability hesla na hackerskou metodu prosazování, heslo, které se zdá být spolehlivé pro systém, není vždy stejné. Například heslo jako „PA $ $ W0rd“ (a zde existují speciální symboly a čísla), bude s největší pravděpodobností napadeno velmi rychle - vzhledem k tomu, že (jak je popsáno v předchozím článku), lidé zřídka vytvářejí jedinečné Hesla (méně než 50% hesel je jedinečná) a zadaná možnost s vysokou pravděpodobností je již v tekoucích základnách, které útočníkům jsou k dispozici.

Jak být? Nejlepší možností je používat generátory hesel (na internetu jsou online nástroje, stejně jako ve většině správců hesel pro počítač) a vytvářet dlouhá náhodná hesla pomocí speciálních znaků. Ve většině případů nebude heslo 10 nebo více takových symbolů jednoduše zajímavé pro cracker (t.E. Jeho software nebude nakonfigurován pro výběr takových možností) kvůli skutečnosti, že strávený čas se nevyplatí. Nedávno vytvořený generátor hesel se objevil v prohlížeči Google Chrome.

V této metodě je hlavní nevýhodou, že taková hesla je obtížné zapamatovat. Pokud je potřeba držet heslo v hlavě, existuje jiná možnost založená na skutečnosti, že heslo 10 znaků obsahujících kapitálová písmena a speciální symboly je hacknuto o tisíce nebo více (konkrétní čísla závisí na přípustné sadě symboly) časy snadnější, je to snazší, je to jednodušší.

Heslo sestávající z 3-5 jednoduchých náhodných anglických slov se tedy snadno zapamatuje a téměř nemožné hacknout. A po psaní každého slova s ​​titulním dopisem postavíme počet možností druhého stupně. Pokud se jedná o 3-5 ruských slov (opět náhodně, a ne jména a data) napsaná v anglickém rozvržení, je také odstraněna hypotetická možnost sofistikovaných metod používání slovníků pro výběr hesel.

Možná pravděpodobně neexistuje žádný správný přístup k vytváření hesel: různými způsoby existují výhody a nevýhody (související se schopností si to pamatovat, spolehlivost a další parametry), ale základní principy vypadají následovně:

• Heslo by se mělo skládat z významného počtu znaků. Nejběžnějším omezením je dnes 8 znaků. A to nestačí, pokud potřebujete zabezpečené heslo.
• Pokud je to možné, měli byste zahrnout speciální symboly do hesla, kapitálu a kapitálových dopisů, čísla.
• Nikdy nezahrnujte osobní údaje do hesla, dokonce zaznamenané zdánlivě „mazaný“ způsoby. Žádná data, jména a příjmení. Například hackerské heslo je jakékoli datum moderního kalendáře Julian od 0. roku a dodnes (typ 18.07.2015 nebo 18072015 a t.Str.) bude trvat od sekund na hodiny (a pak se hodiny ukáže pouze kvůli zpožděním mezi pokusy o některé případy).

Můžete zkontrolovat, jak spolehlivé je vaše heslo na webu (i když zadávání hesel na některých webech, zejména bez HTTPS, není nejbezpečnější praxí) http: // rumkin.Com/nástroje/heslo/passchk.PHP. Pokud nechcete zkontrolovat své skutečné heslo, zadejte podobné (ze stejného počtu znaků a se stejnou sadou), abyste získali představu o jeho spolehlivosti.

V průběhu vstupních symbolů tato služba vypočítá entropii (podmíněně počet možností, pro entropii 10 bitů, počet možností je 2 v desátém stupni) pro dané heslo a dává certifikát o spolehlivosti různých hodnot. Hesla s entropií více než 60 je téměř nemožné hackovat i během cíleného výběru.

Nepoužívejte stejná hesla pro různé účty

Pokud máte skvělé obtížné heslo, ale používáte jej, kdekoli je to možné, automaticky se to stane zcela spolehlivým. Jakmile hackeři hackují na některý z webů, kde používáte takové heslo a získáte přístup k němu, ujistěte se, že bude bezprostředně testován (automaticky pomocí speciálního softwaru) na všech ostatních populárních poštovních, herních, sociálních službách a možná i v Online banky (způsoby, jak zjistit, zda je vaše heslo již vedeno na konci předchozího článku).

Jedinečné heslo pro každý účet je obtížné, je to nepohodlné, ale je nutné, pokud jsou tyto účty pro vás alespoň nějaký význam. Ačkoli pro některé registrace, které pro vás nemají žádnou hodnotu (to znamená, jste připraveni je ztratit a nebudete se bát) a neobsahujte osobní údaje, nemůžete namáhat jedinečnými heslami.

Ověřování dvou faktorů

Ani spolehlivá hesla nezaručují, že nikdo nemůže zadat váš účet. Heslo může být ukradeno tak či onak (phishing, například jako nejběžnější možnost) nebo to od vás zjistit.

Téměř všechny vážné online společnosti včetně Google, Yandex, Mail.RU, v kontaktu, Microsoft, Dropbox, Lastpass, Steam a další přidali schopnost zahrnout do účtů dva -faktorní (nebo dva -fázové) autentizace. A pokud je pro vás bezpečnost důležitá, důrazně doporučuji, aby ji zahrnul.

Implementace ověřování dvou faktorů se pro různé služby mírně liší, ale základní princip vypadá následujícím:

1. U vchodu na účet z neznámého zařízení se po zadání správného hesla požádá o další kontrolu.
2. Kontrola probíhá pomocí kódu SMS, speciální aplikace na smartphonu, prostřednictvím předem připravených tištěných kódů, e-mailu, hardwarového klíče (poslední možnost se objevila v Googlu, tato společnost je obecně výhodou, která se týká dvoufaktorového ověřování).

Takže i když útočník vaše heslo rozpoznal, nebude schopen jít na váš účet bez přístupu k vašim zařízením, telefonu, e -e -mailu.

Pokud plně nechápete, jak funguje dva -factor autentizace, doporučuji čtení článků na internetu věnované tomuto tématu nebo popisům a pokynům akci na samotných stránkách, kde je implementováno (v tomto článku nemůžu zahrnout podrobné pokyny ).

Ukládání hesel

Složitá jedinečná hesla pro každý web je vynikající, ale jak je uložit? Je nepravděpodobné, že by byla mít na paměti všechna tato hesla. Skladování uložených hesel v prohlížeči je riskantní závazek: nejen zranitelnější vůči neoprávněnému přístupu, ale mohou být jednoduše ztraceny v případě selhání systému a pokud je synchronizace vypnuta.

Správci hesel jsou obecně považováni za nejlepší řešení, což představuje programy, které ukládají všechna vaše tajná data do šifrovaného zabezpečeného úložiště (offline i online), které je přístupné pomocí jednoho hlavního propuštění (můžete navíc zahrnovat dvoufaktorovou ověřování). Většina z těchto programů je také vybavena generováním nástrojů a hodnocením spolehlivosti hesla.

Před několika lety jsem napsal samostatný článek o nejlepších správcích hesel (měl by být přepsán, ale získejte představu o tom, co to je a jaké programy mohou být z článku populární). Někteří dávají přednost jednoduchým offline řešení, jako je KeepASS nebo 1Password, ukládání všech hesel do vašeho zařízení, jiná jsou funkčnější nástroje, které také představují schopnosti synchronizace (lastpass, Dashlane).

Slavní správci hesel jsou obecně považováni za velmi bezpečný a spolehlivý způsob, jak je uložit. Stojí za to zvážit některé podrobnosti:

• Chcete -li získat přístup ke všem vašim heslem, musíte vědět pouze jeden hlavní propuštění.
• V případě hackování online úložiště (právě před měsícem, nejpopulárnější službou správy hesel LastPass na světě) budete muset změnit všechna svá hesla.

Jak jinak můžete uložit vaše důležitá hesla? Zde je několik možností:

• Na papíře v bezpečí, přístup, ke kterému budete mít vy a vaše rodina (není vhodné pro hesla, která musí často používat).
• Databáze hesel offline (například KeepASS), uložená na odolném akumulátoru informací a někde duplikována v případě ztráty.

Optimální kombinace všech výše uvedených je následující přístup: nejdůležitější hesla (hlavní e-mail, s nimiž můžete obnovit další účty, banku atd.Str.) uloženo v hlavě a (nebo) na papíře na spolehlivém místě. Méně důležité a zároveň často používané by měly být svěřeny programům - správci hesel.

dodatečné informace

Doufám, že kombinace dvou článků na téma hesel pro některé z vás pomohla věnovat pozornost některým aspektům zabezpečení, o kterých jste nemysleli. Samozřejmě jsem nezohlednil všechny možné možnosti, ale jednoduchá logika a určité porozumění principům pomůže samostatně rozhodnout, jak bezpečné, co děláte v určitém okamžiku. Ještě jednou, některé z uvedených a několik dalších bodů:

• Používejte různá hesla pro různé weby.
• Hesla by měla být obtížná, můžete obtížnost silně zvýšit zvýšením délky hesla.
• Při vytváření samotného hesla nepoužívejte osobní údaje (které můžete zjistit), naznačuje to, kontrolujte otázky pro obnovení.
• Použijte ověřování dvou fází, kde je to možné.
• Najděte optimální způsob bezpečného ukládání hesel.
• Bojte se phishingu (zkontrolujte adresy stránek, dostupnost šifrování) a špionážní programy. Kdekoli požádají o zadání hesla, zkontrolujte, zda jej skutečně zadáte na správném webu. Ujistěte se, že v počítači není žádné škodlivé.
• Pokud je to možné, nepoužívejte svá hesla na počítačích jiných lidí (pokud je to nutné, udělejte to v režimu prohlížeče „inkognito“ a získejte ji z klávesnice obrazovky ještě lépe), ve veřejných otevřených Wi-Fi sítích, zejména pokud neexistuje žádné Šifrování HTTPS Při připojení k webu.
• Možná byste neměli ukládat nejdůležitější, skutečně reprezentovat životní hodnotu, hesla na počítači nebo online.

Něco takového. Myslím, že se mi podařilo zvýšit stupeň paranoie. Chápu, že většina popsaných se zdá být nepohodlná, myšlenky mohou vzniknout jako „dobře, obejde mě“, ale jediné ospravedlnění lenivosti při dodržování jednoduchých bezpečnostních pravidel při ukládání důvěrných informací může být pouze absence jeho důležitosti a vaší připravenosti za skutečnost, že se stane majetkem třetích stran.