Pasvorta sekureco

Ĉi tiu artikolo diskutos kiel krei sekuran pasvorton, kiujn principojn devus sekvi krei ilin, kiel konservi pasvortojn kaj minimumigi la eblecon de entruduloj aliri viajn informojn kaj kontojn.

Ĉi tiu materialo estas daŭrigo de la artikolo "Kiel via pasvorto povas esti piratita" kaj implicas, ke vi konas la materialon prezentitan tie, kaj sen tio, vi scias ĉiujn bazajn manierojn per kiuj pasvortoj estas kompromititaj.

Krei pasvortojn

Hodiaŭ, kiam vi registras iun interretan konton, kreante pasvorton, vi kutime vidas la indikilon pri forto de pasvorto. Preskaŭ ĉie ĝi funkcias surbaze de takso de la sekvaj du faktoroj: la longo de la pasvorto; la ĉeesto de specialaj signoj, majuskloj kaj nombroj en la pasvorto.

Malgraŭ tio, ke ĉi tiuj estas vere gravaj parametroj de pasvorta rezisto al krakado de bruta forto, pasvorto, kiu ŝajnas al la sistemo fidinda, ne ĉiam estas tiel. Ekzemple, pasvorto kiel "Pa $$ w0rd" (kaj jen specialaj signoj kaj numeroj) verŝajne estos rompita tre rapide - pro tio, ke (kiel priskribita en la antaŭa artikolo) homoj malofte kreas unikajn pasvortojn. (malpli ol 50% de pasvortoj estas unikaj) kaj ĉi tiu opcio verŝajne jam ekzistas en la filtritaj datumbazoj, kiujn entruduloj havas.

Kiel esti? La plej bona elekto estas uzi generilojn de pasvorto (disponeblaj en la interreto sub la formo de interretaj iloj, kaj ankaŭ en la plej multaj komputilaj pasvortoj), kreante longajn hazardajn pasvortojn per specialaj signoj. Plejofte, pasvorto de 10 aŭ pli da tiaj karakteroj simple ne interesos la hacker (te, lia programaro ne estos agordita por elekti tiajn opciojn) pro la fakto, ke tempaj kostoj ne pagas. Us, enmetita pasvorta generilo aperis en la retumilo de Google Chrome.

En ĉi tiu metodo, la ĉefa malavantaĝo estas, ke tiaj pasvortoj malfacile memoras. Se necesas konservi pasvorton en via kapo, ekzistas alia opcio, bazita sur la fakto, ke pasvorto de 10 signoj, enhavanta majusklojn kaj specialajn signojn, estas fendita de bruta forto de miloj aŭ pli (specifaj numeroj dependas de la permesita signaro), ol pasvorto de 20 signoj, enhavanta nur minusklajn latinajn literojn (eĉ se la atakanto scias pri tio).

Do pasvorto konsistanta el 3-5 simplaj hazardaj anglaj vortoj estos facile memorebla kaj preskaŭ neeble fendi. Kaj skribinte ĉiun vorton per majusklo, ni altigas la nombron da ebloj al la dua grado. Se ĉi tiuj estas 3-5 rusaj vortoj (denove, hazarda, sed ne nomoj kaj datoj) skribitaj en la angla aranĝo, ankaŭ la hipoteza eblo de sofistikaj metodoj uzi vortarojn por elekti pasvorton ankaŭ foriĝas.

Sendube ne ekzistas ĝusta alproksimiĝo por krei pasvortojn: estas avantaĝoj kaj malavantaĝoj laŭ diversaj manieroj (rilataj al la kapablo memori ĝin, fidindeco kaj aliaj parametroj), sed la bazaj principoj estas jene:

• La pasvorto devas konsisti el signifa nombro de signoj. La plej ofta limo hodiaŭ estas 8 karakteroj. Kaj ĉi tio ne sufiĉas se vi bezonas sekuran pasvorton.
• Se eblas, inkluzivi specialajn signojn, majusklojn kaj minusklojn, nombrojn en la pasvorto.
• Neniam enmetu personajn datumojn en via pasvorto, eĉ se ĝi estis skribita laŭ ŝajne lertaj manieroj. Sen datoj, nomoj kaj familinomoj. Ekzemple, rompado de pasvorto reprezentanta ajnan daton de la moderna julia kalendaro de 0-a jaro al la nuna tago (kiel 18/07/2015 aŭ 18072015, ktp.) Daŭros de sekundoj al horoj (kaj la horloĝo estos akirita nur pro prokrastoj. inter provoj por iuj kazoj).

Vi povas kontroli, kiel forta estas via pasvorto en la retejo (kvankam enmeti pasvortojn en iuj retejoj, precipe sen https, ne estas la plej sekura praktiko) //rumkin.com/tools/password/passchk.php. Se vi ne volas kontroli vian veran pasvorton, enmetu similan (de la sama nombro da signoj kaj kun la sama aro de signoj) por havi ideon pri ĝia fidindeco.

Dum la enigo de karakteroj, la servo kalkulas la entropion (kondiĉe, la nombro da opcioj, por entropio estas 10 bitoj, la nombro da opcioj estas 2 ĝis la deka potenco) por donita pasvorto kaj provizas informojn pri la fidindeco de diversaj valoroj. Pasvortoj kun entropio de pli ol 60 estas preskaŭ maleblaj eĉ dum celita selektado.

Ne uzu la samajn pasvortojn por diversaj kontoj.

Se vi havas grandan kompleksan pasvorton, sed vi uzas ĝin ĉiam, ĝi aŭtomate fariĝas tute nefidinda. Tuj kiam hackers eniras iun ajn retejon, kie vi uzas tian pasvorton kaj atingas ĝin, vi povas esti certa, ke ĝi tuj estos provita (aŭtomate, uzante specialan programon) sur ĉiuj aliaj popularaj retpoŝtoj, ludoj, sociaj servoj, kaj eble eĉ retaj bankoj (Manieroj vidi ĉu via pasvorto jam estis likita estas listigita ĉe la fino de la antaŭa artikolo).

Unika pasvorto por ĉiu konto estas malfacila, ĝi ne taŭgas, sed ĝi estas necesa se ĉi tiuj raportoj estas gravaj por vi. Kvankam por iuj registriĝoj, kiuj ne havas valoron por vi (tio estas, vi pretas perdi ilin kaj ne maltrankviliĝos) kaj ne enhavas personajn informojn, vi eble ne streĉos vin per unikaj pasvortoj.

Du-faktoraj aŭtentokontrolo

Eĉ fortaj pasvortoj ne garantias, ke neniu povas eniri vian konton. Vi povas ŝteli pasvorton laŭ iu maniero (phishing, ekzemple, kiel la plej ofta elekto) aŭ akiri ĝin de vi.

Preskaŭ ĉiuj gravaj interretaj kompanioj inkluzive de Google, Yandex, Mail.ru, Facebook, Vkontakte, Mikrosofto, Dropbox, LastPass, Steam kaj aliaj ĵus aldonis la kapablon ebligi du-faktoran (aŭ du-paŝon) aŭtentokontrolon en iliaj kontoj. Kaj se sekureco gravas al vi, mi forte rekomendas ĝian inkludon.

La efektivigo de du-faktora aŭtentokontrolo estas iomete malsama por malsamaj servoj, sed la baza principo estas jene:

1. Kiam vi eniras la konton de nekonata aparato, post enigi la ĝustan pasvorton, vi petas aldonan testadon.
2. La konfirmo okazas helpe de SMS-kodo, speciala apliko en poŝtelefono, per antaŭe preparitaj presitaj kodoj, retpoŝta mesaĝo, ŝlosila aparataro (la lasta opcio aperis ĉe Google, ĉi tiu kompanio estas ĝenerale la plej bona laŭ du-faktoraj aŭtentokontrolo).

Tiel, eĉ se la atakanto lernis vian pasvorton, li ne povos ensaluti al via konto sen aliro al viaj aparatoj, telefono aŭ retpoŝto.

Se vi ne plene komprenas kiel funkcias du-faktora aŭtentokontrolo, mi rekomendas legi artikolojn en la interreto dediĉitaj al ĉi tiu temo aŭ priskriboj kaj gvidlinioj por agado en la retejoj, kie ĝi estas efektivigita (mi ne povos inkluzivi detalajn instrukciojn en ĉi tiu artikolo).

Pasvorta stokado

Malfacilaj unikaj pasvortoj por ĉiu retejo - bonege, sed kiel konservi ilin? Estas malverŝajne, ke ĉiuj ĉi pasvortoj estas memoreblaj. Stokado de konservitaj pasvortoj en la retumilo estas riska entrepreno: ili ne nur fariĝas pli vundeblaj kontraŭ malpermesata aliro, sed ili povas simple esti perditaj en la kazo, ke sistemo falas kaj kiam sinkronigo estas malebligita.

La plej bona solvo estas konsiderata kiel administrantoj de pasvortoj, ĝenerale reprezentantaj programojn, kiuj konservas ĉiujn viajn sekretajn datumojn en ĉifrita sekura deponejo (nekonute kaj interrete), alirebla per unu majstra pasvorto (vi ankaŭ povas ebligi du-faktoran aŭtentigon). Ankaŭ la plej multaj el ĉi tiuj programoj havas ilojn por generi kaj taksi la fidindecon de pasvortoj.

Antaŭ kelkaj jaroj, mi verkis apartan artikolon pri la Plej Bonaj Pasvorta Manaĝeroj (ĝi valoras reverki, sed vi povas fari ideon pri kio ĝi estas kaj kiuj programoj estas popularaj de la artikolo). Iuj preferas simplajn elireblajn solvojn, kiel KeePass aŭ 1Password, kiuj konservas ĉiujn pasvortojn en via aparato, aliaj - pli funkciaj iloj, kiuj ankaŭ reprezentas sinkronigajn kapablojn (LastPass, Dashlane).

Bonkonataj pasvortoj estas ĝenerale konsiderataj kiel tre sekura kaj fidinda maniero konservi ilin. Tamen valoras konsideri kelkajn detalojn:

• Por aliri ĉiujn viajn pasvortojn, vi bezonas nur unu ĉefan pasvorton.
• En la kazo de piratado de interreta stokado (laŭlitere antaŭ unu monato, la plej populara servo de pasvorta administrado, LastPass, estis hakita), vi devos ŝanĝi ĉiujn viajn pasvortojn.

Kiel alie vi povas konservi viajn gravajn pasvortojn? Jen kelkaj ebloj:

• Sur papero en sekura aliro al kiu vi kaj viaj familianoj havos (ne taŭgas por pasvortoj, kiujn vi ofte bezonas uzi).
• Senkulpa pasvorto datumbazo (ekzemple, KeePass) stokita en fortika datuma stokado aparato kaj duobligita ie en kazo de perdo.

Laŭ mi, la plej bona kombino de ĉio supre priskribita estas la sekva aliro: la plej gravaj pasvortoj (la ĉefa retpoŝto, per kiu vi povas reakiri aliajn kontojn, bankon ktp.) Estas konservitaj en la kapo kaj (aŭ) sur papero en sekura loko. Malpli grava kaj samtempe ofte uzataj estu atribuitaj al pasvorta manaĝeroj.

Pliaj informoj

Mi esperas ke la kombino de du artikoloj pri pasvortoj al iuj el vi helpis atentigi kelkajn aspektojn de sekureco, pri kiuj vi ne pensis. Kompreneble, mi ne konsideris ĉiujn eblajn eblojn, sed simpla logiko kaj iom da kompreno de la principoj helpos min mem decidi kiom sekure, kion vi faras en speciala momento. Denove iuj menciitaj kaj kelkaj aldonaj punktoj:

• Uzu malsamajn pasvortojn por diversaj retejoj.
• Pasvortoj devus esti komplika, la plej malfacila estas pliigi la kompleksecon per pliigo de la pasvorta longo.
• Ne uzu personajn datumojn (kiujn vi povas malkovri) kiam vi kreas la pasvorton mem, ĝiajn sugestojn, testu demandojn por resaniĝo.
• Uzu du-paŝan aŭtentigon, kiam ĝi eblas.
• Trovu la plej bonan manieron sekurigi viajn pasvortojn.
• Estu singarda pri phishing (kontrolu la adresojn de retejoj, la ĉeeston de ĉifrado) kaj spionoj. Kie ajn oni petas ilin enigi pasvorton, kontrolu ĉu vi vere eniras ĝin sur la ĝusta retejo. Certigu, ke ne ekzistas malware ĉe la komputilo.
• Se eble, ne uzu viajn pasvortojn ĉe iu alia komputilo (se necese, faru ĝin en la pasvorta moduso de la foliumilo, aŭ eĉ pli bone, uzu la ekranan klavaron), en publikaj malfermitaj retoj de Wi-Fi, precipe se vi ne havas https-kodita kiam vi konektas al la retejo .
• Eble vi ne konservu la plej gravajn, vere valorajn pasvortojn en komputilo aŭ interrete.

Io tiel. Mi pensas, ke mi sukcesis levi la gradon de paranoio. Mi komprenas, ke granda parto de ĉi tio ŝajnas maloportuna, pensoj kiel "bone, ĝi preterpasos min" povas ekesti, sed la sola ekskuzo por esti pigra sekvinte simplajn sekurecajn regulojn por konservi konfidencajn informojn povas esti nur ĝia manko de graveco kaj via preteco ke ĝi fariĝos proprieto de triaj partioj.