Bezpieczeństwo w sieci to teraz bardzo nośny slogan. I nie ma się co dziwić, w końcu większość z nas przeniosła sporą część swojego życia do internetu. Zarabiamy w sieci, kupujemy w sieci i w sieci trzymamy swoje oszczędności. To duże uproszczenie, ale nie da się zaprzeczyć, że bez połączenia z internetem wielu z nas nie byłoby już w stanie normalnie funkcjonować. Ogromny skok technologiczny, który przyniósł nam masę udogodnień, ma również efekty uboczne. Jednym z nich jest łatwość, z jaką ludzie o nie do końca uczciwych zamiarach są w stanie odebrać nam niemal wszystko, na co tak ciężko latami pracowaliśmy. Jak się przed tym chronić? Pierwszym krokiem jest właściwe zabezpieczenie haseł używanych na stronach WWW i aplikacjach.
Mamy wiele do stracenia
Jesteśmy społeczeństwem zależnym od komputerów, smartfonów i internetu. Nawet osoby, które rzuciły wszystko i wyjechały w Bieszczady, zapewne potrzebują połączenia z siecią. Trudno funkcjonować bez nowych technologii, tym bardziej kiedy większość usługodawców powoli odchodzi od tradycyjnego modelu sprzedażowego i przenosi się do świata wirtualnego. Nawet urzędy wymuszają na nas zaprzyjaźnienie się z myszką i klawiaturą, bez tego nie będziemy bowiem w stanie załatwić wielu wymaganych od nas spraw.
Bankowość elektroniczna, portale społecznościowe, księgowość internetowa czy sklepy online to coś, co bezdyskusyjnie zwiększa nasz komfort życia i pozwala zaoszczędzić masę czasu. Jednocześnie, jeżeli będziemy działać nieodpowiedzialnie, możemy wiele stracić. Złodzieje i oszuści są przebiegli, ciągle wymyślają nowe sposoby na zarobienie szybkich pieniędzy w sieci. Nie trzeba być nawet hakerem, aby oszukać nieświadomą zagrożenia osobę i ukraść jej pieniądze. Przestępcy doszli już do takiego poziomu, że przestali korzystać ze sposobu „na wnuczka”, a zaczęli wprowadzać w życie sposób „na babcię”.
Będąc nieuważnym i łatwowiernym bardzo szybko możemy stracić środki zgromadzone na rachunku bankowym, dostęp do profili społecznościowych, administratora na naszych stronach internetowych czy nawet możliwość korzystania z mieszkania lub samochodu (tak, można teraz otwierać drzwi czy uruchamiać silnik samochodu za pomocą smartfona). Stąd też silne zabezpieczenie haseł jest tak ważne.
Zabezpieczenie haseł przed nami samymi
Mimo że atak hakerski jest czymś, co może przydarzyć się każdemu, to przyznać trzeba, że najczęściej powodem utraty pieniędzy czy dostępu do kont internetowych nie jest genialny umysł cyberprzestępcy, a nasze niedbałe, beztroskie i lekceważące postępowanie. Przy korzystaniu z sieci użytkownicy popełniają masę błędów, które niekiedy mogą nieść za sobą bardzo przykre konsekwencje.
Mimo że komputery w polskich urzędach, firmach i domach zagościły na stałe już w latach 90., to cały czas nasza świadomość cyberbezpieczeństwa stoi na niskim poziomie. Najczęściej popełnianym błędem jest zapisywanie haseł w ogólnodostępnych i widocznych miejscach. Notowanie haseł na samoprzylepnych karteczkach i przyczepianie ich do monitora, na biurku czy pod klawiaturą, jest praktyką nagminną. Trochę bardziej odpowiedzialnym, ale dalej niebezpiecznym, jest zapisywanie haseł w notatniku czy kalendarzu. Coraz częściej zapisujemy hasła cyfrowo w wiadomości email i przesyłamy ją na własną skrzynkę pocztową. Jak widać, kwestia zapamiętywania ważnych dla naszej pracy lub życia prywatnego danych nie jest naszą silną stroną.
Trzeba zwrócić uwagę, że również same hasła często stanowią problem. Użytkownicy ustanawiają je zbyt krótkie i łatwe do odgadnięcia, nie używając przy tym znaków specjalnych. Zabezpieczenie urządzenia hasłem typu „admin” czy „1234” to żadne zabezpieczenie. Duże ryzyko pojawia się również w przypadku, gdy jest ono używane przez bardzo długi czas lub gdy w przypadku konieczności jego zmiany modyfikowana jest jedynie cyferka na końcu, np. z „admin1” na „admin2”. Zagrożenie wzrasta, gdy to samo hasło (lub ze zmieniona cyfrą na końcu) używane jest w wielu aplikacjach.
Zabezpieczenie haseł – wszystko z umiarem
Wyobraźmy sobie taką sytuację: siadamy do komputera, włączamy aplikację, ta prosi nas o podanie hasła. Wpisujemy hasło składające się z dziesięciu znaków, w tym małe i duże litery, cyfry i znaki specjalne. Następnie prosi nas o potwierdzenie tożsamości w aplikacji na telefonie. A na sam koniec, dla pewności, przykładamy palec wskazujący do czytnika linii papilarnych. W końcu możemy wejść na serwer… tylko po to, aby po raz setny obejrzeć nasze zdjęcia z wakacji. Przesada i strata czasu.
Nie można popadać w skrajności. Zbyt rozbudowane hasła, inne dla każdej aplikacji, tworzą sytuację, kiedy po prostu je zapominamy lub mylimy je z innymi podobnymi. W konsekwencji tego możemy nie mieć możliwości, by skorzystać z aplikacji w czasie, kiedy tego najbardziej potrzebujemy, lub też nasze konto zostanie zablokowane.
Hasło powinno być dostosowane do zagrożenia i istotności informacji, jakie ma chronić. Do Facebooka nie musi być tak skomplikowane, jak to do systemu, na którym pracujemy i przechowujemy ważne dane. Czasami zupełnie wystarczające będzie 5-literowe hasło, w innym wypadku konieczne jest wprowadzenie o wiele bardziej zaawansowanego ciągu znaków.
Bezpieczne hasło – czyli jakie?
Bezpieczne hasło to takie, które jest niemal niemożliwe do odgadnięcia, a działania typu brute force (tj. siłowe łamanie haseł, czyli wypróbowywanie wszystkich możliwych kombinacji znaków do momentu wpisania tej właściwej) zajęłyby tak dużo czasu, że nie warto w ogóle tego próbować.
Większość portali czy aplikacji wskazuje, że bezpieczne hasło to takie, które ma minimum 8 znaków, w tym przynajmniej jedną wielką literę, cyfrę oraz znak specjalny (np. !, @, #). Ponadto hasło nie powinno wiązać się z osobą jego właściciela, dla przykładu „Magda321!” nie będzie dobrym rozwiązaniem dla kobiety o imieniu Magdalena (w zasadzie w ogóle nie będzie dobrym rozwiązaniem, pojawiło się ono bowiem 3-krotnie w bazie upublicznionych haseł).
Jeżeli nie mamy pewności, czy wymyślone przez nas hasło jest silne, warto użyć narzędzia, które to oceni za nas, do tego wskaże, ile czasu potrzeba na jego złamanie metodą brute force oraz czy nasze hasło znajduje się w bazie danych upublicznionych haseł. Takie darmowe rozwiązania oferuje między innymi Kaspersky (https://password.kaspersky.com/pl/) czy Tools43 (https://safepasswordtool.com/pl/check).
Zabezpieczenie haseł przy użyciu menedżera
Z bezpiecznym korzystaniem z komputera, smartfona i internetu jest ten problem, że hasła muszą być silne, długie, zróżnicowane i inne do każdego konta. To z kolei sprawia, że łatwo się pogubić, zapomnieć większości z nich, i w złości pozmieniać wszystkie hasła na swoje dawne „qwerty12345”. Tyle lat żaden cyberprzestępca nic nam nie ukradł, to czemu miałby to zrobić teraz? Rozumiemy takie postępowanie, jednak uważamy, iż jest ono błędne i nieodpowiedzialne.
Wyjściem z tej sytuacji jest menedżer haseł. To aplikacja czy też usługa online, którą można zainstalować na komputerze, telefonie lub dodać do przeglądarki w formie wtyczki. To program, który bezpiecznie przechowuje i generuje losowe, silne i unikatowe hasła do każdego z naszych kont. Większość rozwiązań daje możliwość synchronizowania ustawień menedżera między wszystkimi naszymi urządzeniami, np. hasło ustawione na komputerze menedżer wprowadzi również na naszym telefonie.
Bez wątpienia program komputerowy jest w stanie stworzyć dłuższe i bardziej skomplikowane hasło od człowieka i do tego je zapamiętać. Korzystając z tego rozwiązania, wystarczy wbić sobie w pamięć tylko jeden ciąg znaków – hasło do menedżera. Trzeba pamiętać jednak o jednej bardzo ważnej rzeczy – nie oferuje on możliwości odzyskania hasła do siebie samego. Jeżeli zatem zapomnimy tego jednego najważniejszego hasła do menedżera, stracimy dostęp do wszystkich pozostałych. Siłą takich programów jest właśnie to, że hasło jest ustanawiane jeden raz i nie można nic z tym zrobić.
W sieci znajdziemy mnóstwo takich menedżerów, każdy powinien znaleźć coś dla siebie. Cena takiego rozwiązania nie powinna stanowić bariery dla nikogo. Cena za miesiąc to około 10–20 zł. Są na rynku również darmowe aplikacje, ale z tego, co możemy wyczytać w sieci, nie są one tak efektywne. Jednakże nawet darmowy menedżer będzie gwarantował zabezpieczenie lepsze niż brak jakiejkolwiek cyberochrony.
Zabezpieczenie haseł – weryfikacja dwuetapowa
Dobrym rozwiązaniem jest również weryfikacja dwuetapowa. Niestety w tym wypadku nie pozbędziemy się problemu z koniecznością zapamiętania wielu różnorodnych haseł.
Weryfikacja dwuetapowa czy też logowanie dwuetapowe (two-factor authentication, 2FA) pozwala nam dodać drugą metodę logowania inną niż zwykłe hasło. Może to być zabezpieczenie PIN-em, tokenem, kartą dostępu, SMS-em, skanem palca lub twarzy czy też pytaniem, na które odpowiedź powinna znać tylko osoba zainteresowana.
Jest to proste, lecz skuteczne zabezpieczenie. Wprowadzenie dodatkowej ochrony w czasie uwierzytelniania swojej tożsamości w sieci gwarantuje nam, że nawet złamanie hasła do konta nie skończy się kradzieżą naszych danych czy pieniędzy.
Obecnie wiele firm, z których usług korzystamy na co dzień, oferuje aplikacje autoryzujące, działające właśnie na zasadzie dwuetapowego logowania. Najpopularniejsze z nich to Google Authenticator i Microsoft Authenticator.
Więcej na temat weryfikacji dwuetapowej pisaliśmy w artykule Logowanie dwuetapowe – czy warto je stosować?. Warto zapoznać się z tym artykułem i sprawdzić, która metoda będzie nam bardziej odpowiadała. Której z nich nie wybierzemy, i tak znacznie wzmocnimy nasze bezpieczeństwo w sieci.
