Valóban biztonságos a jelszavad? Amit a legtöbben rosszul csinálnak

Kezdjük egy kényelmetlenebb kérdéssel: hány online fiókodhoz használod ugyanazt a jelszót?

Ha a válasz egynél több, nem vagy egyedül. Tanulmányok következetesen azt mutatják, hogy az átlagos felhasználó legalább öt fiókhoz használja ugyanazt a jelszót. Sokan ugyanazt, vagy annak kis változatát tucatnyi szolgáltatásnál alkalmazzák. Ez az online biztonság egyik legnagyobb kockázata, és teljes mértékben megelőzhető.

A valódi veszély: adatszivárgások és hitelesítő adatokkal való visszaélés

A legtöbben úgy képzelik el a hackelést, hogy valaki személyesen céloz meg minket, kitalálja a jelszavunkat, vagy brute-force módszerrel töri fel a fiókot. A valóság egészen más.

A fiókok kompromittálásának óriási többsége adatszivárgásokon keresztül történik. Egy olyan vállalatot, ahol fiókod van, feltörnek a hackerek. A felhasználónevekből és jelszavakból álló adatbázisukat ellopják és közzéteszik az interneten, vagy eladják a sötét weben. Ez megdöbbentő rendszerességgel történik még a legnagyobb cégekkel is.

És itt válik katasztrofálissá a jelszóújrahasználás. A támadók a kiszivárgott email-és-jelszó kombinációkat automatikusan kipróbálják több száz más szolgáltatásnál: Gmail, Amazon, banki oldalak, közösségi média. Ezt hitelesítő adatokkal való visszaélésnek (credential stuffing) nevezik, és azért működik, mert annyian használják ugyanazt a jelszót mindenhol.

A leggyakoribb jelszóhibák

1. Jelszavak újrahasználása

Ez a jelszóbiztonság alaptörvényének megszegése. Ha újrahasználod a jelszót, az egyik szolgáltatásnál bekövetkező adatszivárgás kompromittálja az összes többi helyet, ahol ezt a jelszót használtad.

2. Gyenge jelszavak használata

Az évek óta tartó tudatosítási kampányok ellenére a legelterjedtebb jelszavak még mindig döbbenetesen egyszerűek. A „123456", a „password", a „qwerty" és az „admin" rendszeresen a listák élén szerepelnek. Ezeket kevesebb mint egy másodperc alatt fel lehet törni.

3. Kiszámítható minták

Sokan azt hiszik, okosak ezekkel a mintákkal:

• „1" vagy „!" hozzáadása egy szó végéhez
• Csak az első betű nagybetűsítése
• Alapjelszó kiegészítése az oldal nevével (pl. „JelszóFacebook")
• Betűk cseréje számokra („j3lsz0")

A támadók ismerik ezeket a mintákat. Eszközeik kifejezetten ezeket a változatokat próbálják ki. Egy ember szemében összetettnek tűnő jelszó triviális lehet egy automatizált feltörőeszköznek.

4. Személyes adatok használata

Háziállatok neve, születési dátumok, évfordulók, gyerekek neve, kedvenc sportcsapatok. Mindez az információ gyakran nyilvánosan elérhető a közösségi médiában. Ha a jelszavad „csokie2019", és az Instagram-profilodban tele van macskás fotóval a #CsokieACicával hashtaggel, nem vagy olyan biztonságban, mint gondolod.

5. Feltört jelszavak meg nem változtatása

Még adatszivárgásról szóló értesítés után sem változtatják meg sokan a jelszavukat. Ez hosszabb ablakot biztosít a támadóknak a kiszivárgott hitelesítő adatok kihasználására.

Mi tesz erőssé egy jelszót?

Egy erős jelszónak három kulcstulajdonsága van:

1. Hossz. Ez a legfontosabb tényező. Egy 16 karakteres jelszót exponenciálisan nehezebb feltörni, mint egy 8 karakterest, a bonyolultságtól függetlenül.
2. Véletlenszerűség. Nem tartalmazhat szótári szavakat, neveket, dátumokat vagy felismerhető mintákat.
3. Egyediség. Kizárólag egy fiókhoz szabad használni.

Így befolyásolja a jelszó hossza a feltörési időt egy véletlenszerű jelszónál:

A tanulság egyértelmű: a hossz fontosabb a bonyolultságnál. Egy 16 karakteres véletlenszerű jelszó csak kisbetűkkel sokkal erősebb, mint egy 8 karakteres nagybetűkkel, számokkal és szimbólumokkal.

A megoldás: jelszókezelők és egyedi jelszavak

Az egyedi, erős jelszavak használatának legtöbb gyakorlati módja egy jelszókezelő. A jelszókezelő titkosított tárcában tárolja az összes jelszavad, amelyet egy egyetlen mesterjelszó véd. Csak egy jelszót kell megjegyezned; a kezelő intéz mindent.

Népszerű jelszókezelők: Bitwarden (ingyenes és nyílt forráskódú), 1Password és KeePass. A legtöbb böngészőnek is van beépített jelszókezelője, amely megfelelően működik.

Hogyan működik a jelszókezelő?

1. Amikor fiókot hozol létre vagy jelszót változtatsz, a kezelő egy hosszú, véletlenszerű jelszót generál.
2. A jelszó a titkosított tárcába kerül.
3. Amikor felkeresed a weboldalt, a kezelő automatikusan kitölti a hitelesítő adatokat.
4. Soha nem kell megjegyezni, beírni vagy akár látni az egyes jelszavakat.

Cselekedj ma: két lépés, amit most megtehetsz

Nem kell egy ülésben felforgatni az egész digitális életed. Kezdd ezzel a két konkrét lépéssel.

1. lépés: Ellenőrizd, hogy kiszivárogtak-e a jelszavaid

Mielőtt bármit tennél, derítsd ki, hogy a meglévő jelszavaid már ki vannak-e téve ismert adatszivárgásokban. Ez megmutatja, melyik fiókod van közvetlen veszélyben.

2. lépés: Generálj erős jelszavakat a legfontosabb fiókjaidhoz

Kezdd a legfontosabb fiókokkal: az elsődleges emaileddel, a bankeddal és bármely fiókoddal, amely fizetési adatokat tárol. Cseréld le ezeket a jelszavakat erős, véletlenszerűen generáltakra.

A jelszavakon túl: engedélyezd a kétfaktoros hitelesítést

Még a legerősebb jelszó sem elegendő, ha a tároló szolgáltatást feltörik. A kétfaktoros hitelesítés (2FA) második védelmi réteget ad: a jelszó megadása után egy kódot is meg kell adnod a telefonodról, egy hitelesítő alkalmazásból vagy egy fizikai biztonsági kulcsból.

2FA bekapcsolásával egy kiszivárgott jelszó önmagában nem elég a támadónak a fiókodhoz való hozzáféréshez. Kapcsold be minden olyan fióknál, amely kínálja, különösen az email, a banki és a közösségi média fiókoknál.

Jobb szokások kialakítása

A jelszóbiztonság nem egyszeri feladat, hanem folyamatos gyakorlat:

1. Használj jelszókezelőt minden fiókhoz.
2. Generálj egyedi jelszót minden új fiókhoz.
3. Engedélyezd a 2FA-t ahol csak lehetséges.
4. Ellenőrizd a szivárgásokat rendszeresen, évente legalább egyszer-kétszer.
5. Változtasd meg azonnal a feltört jelszavakat, ha adatszivárgásról értesítöttek.

Kezdd el biztosítani fiókjaidat még ma:

• Ellenőrizd, hogy kiszivárgott-e a jelszavad
• Generálj biztonságos jelszót

Mindkét eszköz ingyenes, a böngésződben fut, és soha nem küldi el az adataidat sehova.