Bezpečnost a anonymita na Internetu - 1. díl: Hesla a politika hesel
Vítáme vás u nového seriálu, který by měl ukázat, jak (ne)bezpečný je Internet a jak můžete čelit případným útokům nebo ohrožení vašeho soukromí.
Pohledy uživatelů na Internet z hlediska bezpečnosti jsou značně rozdílné a dají se sjednotit do dvou základních skupin: první se mylně domnívá, že Internet je bezpečný a že je zajištěna absolutní anonymita, druhá žije v místy až paranoidních představách o hackerech dobývajících jakýkoli počítač, který se připojí do celosvětové sítě.
Pravda není ani na jedné ani na druhé straně. Internet bezpečným médiem není a nebude už kvůli principu, na jakém funguje, ale stejně tak to není džungle plná podivných existencí. Je to síť, jež je v podstatě stejná jako kterákoli jiná (třeba ta vaše firemní) a bezpečnost jednotlivých uživatelů závisí na mnoha věcech. Jedno pravidlo říká, že řetěz je tak silný, jak silný je jeho nejslabší článek a v 99% případů bývá nejslabším článkem lidský faktor - uživatel. Uživatel, který si svou bezpečnost v realitě zajišťuje všelijakými zámky, klíči a bezpečnostními zařízeními, jež jsou v prostředí Internetu zastoupeny hesly. Podobně jako asi nenecháte klíčky v zámku svého automobilu byste měli být opatrní a důslední i co se hesel týká. V dnešním článku se podíváme na několik základních pravidel správné volby a nakládání s hesly.
Heslo nikomu nesdělujte
Svá heslo nesdělujte ani osobě, které důvěřujete, neboť důvěra může pominout a jak říkával Daniel Dočekal ze Světa Namodro nikdy nikomu nevěř!. S hesly byste měli zacházet podobně opatrně, jako s nejcitlivějšími osobními údaji - kreditní kartu s PINem asi také nikomu nepůjčíte (a pokud ano, jednou se možná budete divit zůstatku na účtu - v takovém případě ovšem můžete spílat jen sami sobě a své důvěřivosti).
Jestliže používáte například do firemní sítě stejné heslo, jako k nějaké internetové službě, nesdělujte toto heslo ani administrátorovi. Většina systémů sice neumožňuje administrátorovi heslo zjistit, nicméně dovoluje ho zrušit či změnit (takto jsou jištěny například sítě založené na MS Windows). Pokud se tedy administrátor potřebuje přihlásit pod vašim účtem, zadejte heslo sami, nebo ho nechejte, ať heslo zruší.
Správná volba hesla
Pro cracknutí hesla lze použít řadu technik, z nichž si některé stručně představíme a nastíníme způsob, kterak se bránit proti jejich použití:
- odhadnutí - pokud vás útočník zná a vy nemáte heslo splňující zásady správné volby hesla (viz souhrn na konci článku), může zkusit tipovat. Uživatelé totiž často používají jako heslo něco, co si pamatují a co je s nimi nějak blízce spojené - typicky například jména dětí, jména partnerů, domácích zvířat, měst, oblíbených postav z filmů či knížek atd.. Jak se bránit: volte heslo tak, aby nemělo žádnou souvislost s vaší osobou - tedy aby na něj nemohl přijít někdo, kdo vás zná.
- slovníkový atak - útočník použije například program, který obsahuje tzv. "slovník" - tedy databázi existujících slov (k dispozici jsou slovníky s anglickými slovy, nicméně předpokládám, že existují i databáze s českými slovy). Tento program se postupně pokouší přihlásit pod vašim účtem a zkouší zadat jako heslo slova ze slovníku. Jak se bránit: volte heslo tak, aby se nejednalo o slovo - ideální jsou samozřejmě zcela neexistující kombinace písmen a číslic, ale ty se obtížně pamatují. Můžete zkusit kombinovat - třeba přidat nějaké číslice nebo si pohrát s velkými a malými písmeny. Například heslo pamatnik vám útočník prolomí velice snadno, nicméně s heslem PaMaTnIk už by mohl mít problémy (v případě, že systém rozlišuje velká a malá písmena) a pokud například nápaditě využijete české klávesnice a zvolíte si heslo pam8tn9k, pak je toto heslo slovníkovým atakem nepřekonatelné, neboť takové slovo prostě neexistuje.
- brute force atak - principiálně se podobá slovníkovému ataku s tím rozdílem, že program nezkouší při průlomu existující slova, ale všechny eventuálně možné kombinace znaků. Zjednodušeně si můžete takový útok představit následovně: nejprve se zkouší jednoznaková hesla - a, b, c, d, e, ..., x, y, z. Pokud ani jedno nefunguje, začne program zkoušet dvouznaková hesla stylem aa, ab, ac, ad, ..., az, ba, bb, bc, bd..., bz, ... zz. Pokud neuspěje ani zde, začne zkoušet tříznaková hesla atd.
Budeme-li počítat jen se základními písmeny abecedy, tak pro jednoznaková hesla může existovat 26 kombinací, pro dvouznaková už 676 (proto je logicky k rozluštění dvojznakového hesla potřeba více pokusů), trojznakových hesel 17 576... atd. S počtem možných použitelných znaků (například velkých písmen, čísel, nealfanumerických znaků...) samozřejmě dále vzrůstá i počet kombinací.... Zůstaneme-li u základní abecedy se 26 znaky, tak při osmiznakovém heslu už bude muset program zkoušet 208 827 064 576 kombinací, takže čistě teoreticky při rychlosti 100 pokusů za minutu by takové heslo luštil 3973 let. Je tedy logické, že čím delší zvolíte heslo, tím bude obtížnější ho prolomit brute force atakem. Jak se bránit: volit co nejdelší hesla (jako minimum počítejte osm znaků), kombinujte velká a malá písmena (pokud to systém podporuje), číslice a případně i nealfanumerické znaky.
Hesla si nikam nepoznamenávejte
Hesla byste měli mít uložené pouze a jedině ve své hlavě - to je jediné místo, odkud vám je nikdo nemůže ukrást ani přečíst. Ač se toto pravidlo zdá samozřejmostí, stále ještě najdete místa, kde si uživatelé olepují monitory nebo desku pracovního stolu žlutými papírky s na první pohled záhadnou kombinací znaků a číslic. Pokud se útočník dostane fyzicky k počítači, nebude pro něj těžké poznat, co asi ona kombinace znamená a k čemu ji může použít.
Stejně tak není vhodné ukládat si hesla na disk počítače - existuje možnost, že se vám někdo do PC nabourá a dostane se tak k souboru s hesly. Pak je velice jednoduché, aby se hacker například dostal i do nejlépe zabezpečené e-mailové schránky.
Pokud máte děravou hlavu, používejte pro tyto účely nějaký program, který uložené informace šifruje bezpečným algoritmem a zajišťuje je heslem. Jako nejlepší se v tomto směru jeví KeyWallet, který jsme recenzovali ve článku KeyWallet 1.0: Užitečný pomocník pro správu hesel.
Samozřejmě i u tohoto programu je nutné dodržovat bezpečnostní politiku - například ho nenechávejte zapnutý, pokud zrovna nejste přítomni u počítače a pro jeho aktivaci zvolte heslo odpovídající všem výše i níže uvedeným pravidlům.
Měňte svá hesla
Samozřejmě i při dodržení všech pravidel je tu riziko, že vaše heslo někdo odhalí a získá tak například přístup k vaší e-mailové schránce, webovému projektu atd. Z tohoto důvodu je vhodné jednou za čas heslo měnit (čímž dotyčnému hackerovi "zatrhnete tipec," neboť se bude muset pokusit o průlom znovu).
Jako optimální se jeví perioda 14 dnů až jednoho měsíce. Častou chybou je střídání několika hesel (v nejhorším případě dvou) - pokud totiž hacker vaše druhé heslo neodhalí, stačí mu počkat, až si heslo změníte zpět a rázem může pokračovat ve své činnosti.
Volte pro každou službu jiné heslo
Toto pravidlo je patrně nejzásadnější a přitom nejčastěji porušované. Nejvyšší podíl tvoří uživatelé používající jedno heslo pro cokoli počínaje e-mailovou schránkou, přes webové projekty, přístup do firemní sítě atd. Toto heslo pak zadávají všude, kde je po nich požadováno. Kde ovšem máte záruku, že na někde nesedí zvídavý administrátor (pozor - ne všude jsou hesla ukládána v šifrované podobě!), který se rád rýpe v soukromí druhých a který po získání vašeho hesla nezačne například monitorovat váš e-mail? Stejně tak vám nikdo nezaručí, že se do systému, kterému jste svěřili své heslo, nenabourá hacker, který ukradne veškerá zde uložená hesla, jež následně zneužije dle svého uvážení. Bezpečnost zejména internetových projektů je velice ošemetná záležitost a je například znám případ, kdy se hackeři dostali do databází jednoho z největších českých chatů a s tím samozřejmě i ke všem heslům. Uživatelé, jež použili své heslo pouze pro zmíněný chat mohli v klidu spát, ovšem ti, kteří například použili stejné heslo i pro přístup k e-mailu, byli vystaveni riziku, že hackeři proniknou do jejich schránek. Nebylo by to obtížné, protože v oné databázi byly uloženy i e-mailové adresy a tak stačilo jen zkoušet, který uživatel používá jedno a to samé heslo pro obě služby. Stejně tak jsou známy případy, kdy hackeři zaútočili na internetový obchod a získali čísla kreditních karet zákazníků. Co se s takovým údajem dá provádět si asi domyslíte sami.
Jak se bránit: samozřejmě ideální je používat pro každý účel jiné heslo, neboť pokud se k jednomu z hesel dostane hacker, neznamená to automaticky že získal přístup ke všemu.
Souhrn
Správně zvolené heslo by tedy mělo odpovídat těmto kritériím:
- nemělo by mít souvislost s vaší osobou.
- nemělo by se jednat o existující slovo.
- měli byste používat kombinace velkých/malých písmen (je-li podporováno systémem), číslic a případně alfanumerických znaků.
Co byste určitě neměli:
- poznamenávat si své heslo v jakékoli formě. Jediným bezpečným způsobem je uložení hesla v zašifrované podobě.
- používat jedno heslo pro všechny účely.
Na další díl našeho seriálu se můžete těšit příští týden.
|
