Amikor az adatainkról van szó – akár magánszemélyek vagyunk, akár a cégen belül kell a fájlok védelméről gondoskodni –, nem lehetünk elég körültekintőek. Bár tény, hogy a hackerek számos úton hozzáférhetnek a bizalmas információkhoz, például malware használatával, de az is fontos, hogy illetéktelenek a jelszó feltörésével ne juthassanak be a számítástechnikai eszközökbe, a céges hálózatokba, valamint a felhőalapú szolgáltatásokba sem.
Az azonosításnak ma már számtalan fajtája létezik a jelszón kívül is, mint például az ujjlenyomat-olvasó, vagy a biztonsági hardverkulcs, azonban mindegyik módozatnak van hátránya, vagyis egy kis hozzáértéssel kijátszhatóak.
A leggyakoribb jelszavak 2015-ben
Annak ellenére, hogy mennyi szó esik az erős jelszavakról, sokan nem fordítanak kellő figyelmet azok helyes megválasztására. A SplashData most már hosszú évek óta készíti el a leggyakoribb jelszavak listáját, amihez az ellopott és nyilvánosságra került jelszavakat használják fel.
Nagy meglepetés tavaly sem érhette az IT biztonság iránt érdeklődőket, hiszen az első helyet továbbra is az „123456” tartja, amit szorosan követ a „password”, de a „qwerty” is igen előkelő helyen szerepel. És hogy mi a baj ezekkel a jelszavakkal? Leginkább az, hogy meglehetősen sérülékenyek, azaz pillanatok alatt fel lehet őket törni.
Azt pedig, hogy ennek milyen negatív következményei lehetnek, nem kell ecsetelni. Persze, ha „csak” a Google fiókunkba jut be valaki, az talán nem olyan súlyos, mint az, ha a netbankos jelszavunk kerül egy kiberbűnöző birtokába, de azért az előbbi eset sem éppen kellemes.
Ha pedig egy vállalkozásról van szó, akkor még jobban oda kell figyelni arra, hogy az alkalmazottak milyen jelszavakat használnak a cég saját rendszerén belül, mert a túl gyenge jelszavak hatalmas biztonsági kockázatot jelenthetnek.
Milyen az erős jelszó?
Mivel a jelszó még mindig a leggyakoribb azonosítási mód, ezért lényeges, hogy olyat válasszunk, amit nem lesz egyszerű feltörni. Amikor ugyanis illetéktelenek ellopják egy-egy szolgáltatótól a felhasználói fiókok adatait, azzal még nem tudnak mit kezdeni. Hogy miért? Mert jó esetben – és ez a legtöbb szolgáltatónál ma már szerencsére így van – titkosítva tárolják őket.
Azaz, ha a jelszó elég hosszú és egyedi, nagy valószínűséggel nem is próbálkoznak a megfejtésével, helyette inkább a rövid, ismétlődő karaktereket tartalmazó jelszavak felé fordulnak, amiket pillanatok alatt fel tudnak törni. Ez egyben azt is jelenti, hogy a felhasználó maga is sokat tehet a biztonság érdekében.
Ha az IT biztonságról van szó, akkor egy vállalkozásnál arra is kell időt szánni, hogy az alkalmazottakat megtanítsák a helyes jelszóválasztásra. A kerülendő kombinációk köre igen széles: ne legyen a jelszó a gyerekünk, kutyánk és valamely családtagunk neve, de az évfordulókat, születései dátumokat is el kell felejteni.
Illetve a leggyakoribb jelszavak listáján szereplő kódokat is kerülni kell, amit szintén tudatosítani kell a munkavállalókban.
Az erős jelszó tehát nem egy értelmes szó, hanem egy olyan kód, ami minimum nyolc tagból áll, és számokat, kis- és nagybetűket, illetve speciális karaktereket is tartalmaz. Sok esetben találkozhatunk azzal a jelenséggel, hogy amikor egy-egy regisztráció alkalmával megadjuk a jelszót, a rendszer figyelmeztet minket a fenti szabályokra, sokan ennek ellenére nem követik az utasításokat.
Sőt, kifejezetten idegesítőnek is találják, ha nem fogadják el a beírt jelszót, pedig mindez csak a felhasználó érdekeit szolgálja, amit nem árt észben tartani.
A kétlépcsős azonosítás
Az azonosítás egy haladóbb formája, amikor két lépcsőben történik a hozzáférés jogosultságának az ellenőrzése.
Maga a módszer egyáltalán nem bonyolult, és rengeteg helyen használják már ma is, így a Google fiókoknál, de a bankok is előszeretettel alkalmazzák. Ebben az esetben a felhasználói adatok – név vagy e-mail cím és jelszó – önmagukban nem elegendőek a belépéshez, ahhoz ugyanis még egy külön kódra is szükség van, amit a telefonunkra küld el a rendszer SMS-ben, vagy elektronikus levélben kapjuk meg.
Vagyis, ha csak a hacker nem szerzi meg az okostelefonunkat, nem tud belépni a felhasználói fiókunkba vagy a céges hálózatra akkor sem, ha ellopja a jelszavunkat, azaz sokkal nagyobb biztonságban érezhetjük magunkat.
A biometrikus azonosítók
Bár a különféle felhasználói fiókjainkba a biometrikus azonosítókkal nem léphetünk be, de az okoseszközeinket, és a rajtuk tárolt bizalmas adatokat már megvédhetjük ezen a módon.
Különösen egy céges laptop vagy okostelefon esetén fontos, hogy ha ellopják vagy elveszítjük, akkor illetéktelenek ne férjenek hozzá a fájlokhoz, vagy az elmentett jelszavakhoz, amikkel azután kedvük szerint garázdálkodhatnak – csatlakozhatnak akár a céges hálózathoz is.
Sajnos, sokan még csak jelszóval sem védik az okoseszközeiket, illetve azoknál is a már említett gyakori kódokat használják, ami nagy könnyelműség. Ráadásul ma már olyan notebookokat is lehet kapni, amiken ujjlenyomat-olvasó található, így nincs is szükség rá, hogy megjegyezzünk egy újabb betű- és számsort.
És ha már a vállalatok is szóba kerültek, ott a biometrikus azonosításnak egyéb alkalmazási területei is léteznek – a régi kártyás beléptetőrendszert lehet a modernebb és biztonságosabb biometrikus azonosítókkal helyettesíteni.
Az ujjlenyomat-olvasó, a retinaszkenner és a többiek
A biometrikus azonosítás során olyan, minden embernél egyedi fizikai tulajdonságot használnak, ami csak rá jellemző. Ilyen lehet az ujjlenyomat, az írisz, vagy éppen a vénatérkép.
Talán a legismertebb ezek közül az ujjlenyomat, ami mindenkinél más és más, ezért elviekben jól használható azonosításra. Legyen az egy beléptetőrendszer, vagy egy okoseszköz, nincs is annál praktikusabb és gyorsabb, mint egyszerűen rátenni a kezünket egy érzékelőre, és már nyílik is az ajtó, vagy bent vagyunk a laptopban.
Csakhogy egy ujjlenyomatot megszerezni nem túl nehéz, ezért ezt a módszert sok biztonsági szakértő tartja kockázatosnak.
A retinaszkenner nagy hátránya, hogy a méretei miatt nem alkalmazható például okostelefonokban. Igaz, itt is történt már némi előrelépés, hiszen elkészült az első hordozható retinaszkenner, ami azonban még így is túl nagy ahhoz, hogy egy okoseszközbe beépítsék.
A biometrikus azonosítás kockázatai
Az ujjlenyomathoz hasonlóan a többi biometrikus azonosításra alkalmas fizikai jellemzővel kapcsolatban is felmerülnek a biztonsági kételyek. Ha például az azonosítás arcfelismeréssel történik, akkor elég egy viszonylag jó minőségű fényképet szerezni a felhasználóról, és a rendszer máris átverhető.
Hasonló a helyzet a hangazonosítókkal is, amiknek a kicselezéséhez nem kell más, csak egy hangminta, azaz bármennyire is egyediek ezek a tulajdonságaink, sajnos, nem a legmegbízhatóbbak, ha az azonosításról van szó.
Hogy ezeket a kockázatokat kiiktassák, a fejlesztők folyamatosan dolgoznak az olyan rendszereken, amik 100%-ban megbízható eredményt nyújtanak az azonosításban. Amíg azonban ezek a módszerek nem terjednek el a mindennapi életben, addig a jelszó marad a legfontosabb azonosítási eszköz, akár szeretjük, akár nem.
