Какими должны быть пароли для защиты эккаунтов

Чем разнообразнее и многофункциональнее становятся устройства, которыми мы пользуемся, тем изощреннее попытки мошенников нажиться на проникновении в них. Но мошенники — народ ленивый, и в этом наше спасение.

Один из самых распространенных видов мошенничества — взлом компьютера, эккаунта, доступа к электронным хранилищам, серверам, рабочим местам администратора и т. д. Есть различные методы, позволяющие выудить из наивного или тревожного пользователя пароль: написать письмо от сервисной службы о взломе системы с просьбой сообщить свой пароль для восстановления данных, подсунуть фальшивое окно регистрации и т. п. Здесь правило одно: не верьте, перепроверяйте и не ведитесь. Настоящая администрация серьезного ресурса никогда не будет спрашивать пароли. Второй способ проникнуть через регистрационный барьер — подобрать пароль с помощью технологии Брутфорс методом перебора различных комбинаций. Как вы думаете, за сколько времени можно подобрать ваш пароль?

Например, пароль, содержащий 8 цифр даты рождения (только цифры), подбирается за 1–2 секунды. Имя в качестве пароля — чуть дольше. Если используются строчные и заглавные буквы — это на порядок усложняет подбор, но все-таки речь идет о минутах. Если пароль содержит строчные буквы и цифры, то на его подбор уйдет несколько дней. Пароль типа «NK6-iSPNR» будет подбираться несколько лет. А пароль, в котором больше 10 символов разного типа, может потребовать для расшифровки нескольких миллионов лет.

Вывод прост: сложный пароль — защита от многих неприятностей такого рода. Какой пароль можно считать достаточно сложным?

Основные требования к паролям:

Сложные пароли трудно запоминать, и возникает искушение придумать один сложный пароль, выучить его и использовать во всех эккаунтах. Чем опасна такая ситуация? Если вы регистрируетесь на маленьком сайте, который не имеет ресурсов для защиты, ваш эккаунт легко взломать, а, следовательно, получить доступ к электронной почте и другим эккаунтам. Согласитесь, неприятно лишиться сразу всех электронных ресурсов и конфиденциальных данных и личной переписки, которые там имеются. Эти данные можно использовать, например, для оформления кредита на ваше имя.

Как запомнить длинный и случайный пароль?

Можно, например, придумать кодовую фразу и запомнить от нее первые буквы. При этом не брать дежурную фразу, которую легко подобрать. Но лучше всего, если пароль бессмысленный.

Наиболее современное решение — использовать менеджер паролей. Чаще всего они либо бесплатные, либо недорогие. Его функция заключается в генерации сложных паролей и хранении их под защитой главного пароля, который называется «мастер-пароль». То есть не нужно запоминать десятки паролей, а только пароль от менеджера паролей. Менеджер паролей и один пароль ко всем эккаунтам — это не одно и то же, поскольку это всего лишь пароль от места хранения. Выбор менеджера паролей — задача серьезная, изучите максимум информации о нем, прежде чем сделать выбор. Практика показывает, что взлом менеджера паролей происходит крайне редко. И даже после взлома менеджера паролей злоумышленник не получит доступ ко всем паролям, так как здесь применяется дополнительное шифрование.

В крупных организациях имеются регламенты, регулирующие действия по парольной защите. Они, как правило, включают следующие требования:

Компании устраивают проверки паролей путем учебной атаки. Также службы безопасности проводят контроль соответствия паролей требованиям (если это не проверяется автоматически при смене пароля): они просят сотрудника назвать пароль и вводят его. После такой процедуры пароль немедленно должен быть сменен.

Каким образом осуществляется защита от взлома? Настройки безопасности информационных систем должны быть таковы, что после 3–5 неверных попыток набрать пароль учетная запись должна блокироваться не менее, чем на 15 минут. В особо критичных случаях предусмотрена специальная процедура разблокирования. Пароль не должен отображаться на экране явно. Ну и, конечно, при первоначальном вводе пароля система должна запросить повторное его введение. Кроме того, принимаются меры, чтобы обратить внимание сотрудника на раскладку: пароли вводятся, как правило, латиницей.

Особо ответственно нужно подходить к паролям сервисных ученых записей. Они никогда не хранятся целиком. Их разбивают, как правило, на две части, каждая из которых составляет не менее 7 символов. Требования к сложности пароля такие же, как и для пользователей, администраторов и пр. Части пароля хранятся в сейфе в разных конвертах, защищенных от просвечивания. Ответственные лица регулярно проверяют, на месте ли конверты, и не повреждены ли они. Обновление пароля или его вскрытие фиксируются в специальном журнале. Определяются ответственные лица, которые имеют доступ к конвертам и имеют право их вскрывать.

Смена паролей в организации совершается по установленному регламенту. Это происходит периодически, согласно утвержденным срокам, или если есть подозрение, что пароль скомпрометирован. В таком случае нужно как можно быстрее поменять пароль, поставить в известность техподдержку и сообщить службе информационной безопасности. Если сотрудник увольняется или его переводят на другую должность, пароль меняют технические специалисты.

Пароли хранятся в запечатанном конверте в сейфе, к которому имеет доступ руководитель подразделения или сотрудник службы безопасности. Это единственный допустимый вариант хранения паролей в записанном виде. Делается это для того, чтобы в экстренных случаях можно было получить доступ к компьютеру сотрудника. Обычно устанавливается временной интервал, в течение которого нужно передать новые пароли на хранение. При этом старые пароли уничтожаются. Если сотрудник отсутствует на рабочем месте более 60 дней, его учетная запись блокируется. О наступлении необходимости такой блокировки службе безопасности сообщает кадровая служба. Учетные записи уволенных сотрудников удаляются.

Как система StaffCop Enterprise может помочь в непростом деле защиты паролей? Во-первых,гибкая настройка политик безопасности позволяет оградить внутреннюю сеть от проникновения вредоносных программ. Например, программа может просигнализировать в случае запуска программы, помещенной в черный список. А в случае возникновения инцидента StaffCop предоставляет все возможности для его расследования.

Для хищения данных, проникновения во внутренние сети и других неблаговидных действий злоумышленники склонны ходить проверенными путями, рассчитывая на наивность и доверчивость пользователей. Следуя несложным правилам безопасности и проявляя бдительность, вы защитите себя от большинства рисков.