Ĉi tiu artikolo diskutos kiel krei sekuran pasvorton, kiajn principojn devas sekvi kreinte ilin, kiel stoki pasvortojn kaj minimumigi la verŝajnecon, ke malicaj uzantoj akiras aliron al viaj informoj kaj kontoj.
Ĉi tiu materialo estas daŭrigo de la artikolo "Kiel vi povas pasigi vian pasvorton" kaj implicas, ke vi estas konata kun la materialo prezentita tie aŭ vi jam scias ĉiujn ĉefajn manierojn kiel enirigi pasvortojn.
Krei pasvortojn
Hodiaŭ, registrante interretan konton, kreante pasvorton, vi kutime vidas indikilon de pasvorta forto. Preskaŭ ĉie ĝi funkcias surbaze de takso de la jenaj du faktoroj: pasvorto-longo; la ĉeesto de specialaj signoj, majuskloj kaj numeroj en la pasvorto.
Malgraŭ la fakto, ke ĉi tiuj estas vere gravaj parametroj de pasvorta rezisto al hakado per malpura forto, pasvorto, kiu ŝajnas fidinda al la sistemo, ne ĉiam tia. Ekzemple, pasvorto kiel "Pa $$ w0rd" (kaj ekzistas specialaj signoj kaj nombroj ĉi tie) tre probable estos rompita tre rapide - pro la fakto, ke (kiel priskribite en la antaŭa artikolo) homoj malofte kreas unikajn pasvortojn. (malpli ol 50% de la pasvortoj estas unikaj) kaj la indikita opcio estas plej verŝajne jam en la filtritaj datumbazoj disponeblaj por la atakantoj.
Kiel esti La plej bona eblo estas uzi pasvortajn generatorojn (disponeblajn interrete en la formo de interretaj servoj, same kiel en plej multaj pasvortaj administrantoj por komputiloj), kreante longajn hazardajn pasvortojn per specialaj signoj. Plejofte, pasvorto de 10 aŭ pli el ĉi tiuj signoj simple ne interesos la kraketon (t.e., lia programaro ne agordiĝos por elekti tiajn opciojn) pro la fakto, ke la tempo pasigita ne pagos. Lastatempe enigita retumilo-generatoro aperis en la retumilo Google Chrome.
En ĉi tiu metodo, la ĉefa malavantaĝo estas, ke malfacilas memori tiajn pasvortojn. Se necesas konservi la pasvorton, ekzistas alia eblo bazita en tio, ke 10-karaktera pasvorto, kiu enhavas majusklojn kaj specialajn signojn, estas fendita per serĉado de miloj aŭ pli (specifaj nombroj dependas de la valida karaktero aro), la tempoj pli facilas, ol 20-karaktera pasvorto enhavanta nur minusklajn latinajn signojn (eĉ se la kraketisto scias pri ĝi).
Tiel, pasvorto konsistanta el 3-5 simplaj hazardaj anglaj vortoj estos facile memorebla kaj preskaŭ neeble fendi. Kaj skribinte ĉiun vorton per majusklo, ni altigas la nombron da ebloj al la dua grado. Se estos 3-5 rusaj vortoj (denove hazardaj, prefere ol nomoj kaj datoj) skribitaj en la angla aranĝo, la hipoteza ebleco de sofistikaj metodoj uzi vortarojn por pasvorta elekto ankaŭ estos forigita.
Eble ne ekzistas certe ĝusta alproksimiĝo por krei pasvortojn: ekzistas avantaĝoj kaj malavantaĝoj en diversaj metodoj (asociitaj kun la kapablo memori ĝin, fidindeco kaj aliaj parametroj), sed la bazaj principoj estas jenaj:
- La pasvorto devas konsisti el signifa nombro da signoj. La plej ofta limigo hodiaŭ estas 8 signoj. Kaj ĉi tio ne sufiĉas, se vi bezonas sekuran pasvorton.
- Se eblas, specialaj signoj, majuskloj, minuskloj, numeroj estu inkluzivitaj en la pasvorto.
- Neniu inkluzivas personajn datumojn en la pasvorton, eĉ registritajn per ŝajne "trompaj" metodoj. Neniuj datoj, nomoj kaj familinomoj. Ekzemple, rompi pasvorton reprezentantan ajnan daton de la moderna julia kalendaro de la 0-a jaro ĝis la nuna tago (de la tipo 18 julio 2015 aŭ 18072015 ktp) daŭros de sekundoj al horoj (kaj eĉ tiam, la horloĝo rezultos nur pro malfruoj. inter provoj por iuj kazoj).
Vi povas kontroli kiom forta estas via pasvorto en la retejo (kvankam enigi pasvortojn sur iuj retejoj, precipe sen https ne estas la plej sekura praktiko) //rumkin.com/tools/password/passchk.php. Se vi ne volas kontroli vian realan pasvorton, enigu similan (el la sama nombro da signoj kaj kun la sama aro da signoj) por ekkoni ideon pri ĝia forto.
En la procezo de enmetado de signoj, la servo kalkulas la entropion (kondiĉe, la nombro de opcioj por entropio estas 10 bitoj, la nombro de ebloj estas de 2 ĝis la deka potenco) por donita pasvorto kaj donas informojn pri la fidindeco de diversaj valoroj. Pasvortoj kun entropio de pli ol 60 preskaŭ ne eblas fendi eĉ dum celata selektado.
Ne uzu la samajn pasvortojn por malsamaj kontoj
Se vi havas bonegan, kompleksan pasvorton, sed vi uzas ĝin kie ajn vi povas, ĝi aŭtomate fariĝas tute nefidinda. Tuj kiam hackers eniras iun ajn el la lokoj, kie vi uzas tian pasvorton kaj atingos aliron al ĝi, certigu, ke ĝi estos tuj testita (aŭtomate, uzante specialan programaron) sur ĉiuj aliaj popularaj retpoŝto, videoludado, sociaj servoj, kaj eble eĉ interretaj bankoj (Manieroj vidi ĉu via pasvorto jam filtris estas donitaj al la fino de la antaŭa artikolo).
La unika pasvorto por ĉiu konto estas malfacila, sed ĝi estas malfacila, sed estas tute necese, se ĉi tiuj kontoj almenaŭ iom gravas por vi. Kvankam, por iuj registroj, kiuj ne valoras por vi (tio estas preta perdi ilin kaj ne zorgos) kaj ne enhavas personajn informojn, vi ne povas streĉi per unikaj pasvortoj.
Dufakta aŭtentikado
Eĉ fortaj pasvortoj ne garantias, ke neniu povas ensaluti vian konton. La pasvorto povas esti ŝtelita de unu maniero aŭ alia (phishing, ekzemple, kiel la plej ofta opcio) aŭ akirita de vi.
Preskaŭ ĉiuj ĉefaj interretaj kompanioj inkluzive de Google, Yandex, Mail.ru, Facebook, VKontakte, Microsoft, Dropbox, LastPass, Steam kaj aliaj aldonis la eblon ebligi du-faktan (aŭ dupaŝan) aŭtentikadon en kontoj ekde relative antaŭnelonge. Kaj se sekureco gravas al vi, mi tre rekomendas ŝalti ĝin.
La efektivigo de dufakta aŭtentikeco funkcias iomete malsame por malsamaj servoj, sed la baza principo estas jena:
- Kiam vi ensalutas vian konton de nekonata aparato, post enigi la ĝustan pasvorton, oni petas vin fari aldonan ĉekon.
- La ĉeko okazas per la SMS-kodo, speciala aplikaĵo en la poŝtelefono, uzante antaŭpreparitajn presitajn kodojn, retpoŝtan mesaĝon, aparatan ŝlosilon (la lasta opcio venis de Google; ĉi tiu kompanio ĝenerale estas estro rilate al dufakta aŭtentikado).
Tiel, eĉ se atakanto ekscius vian pasvorton, li ne povus ensaluti vian konton sen aliro al viaj aparatoj, telefono, retpoŝto.
Se vi ne tute komprenas kiel funkcias du-faktaj aŭtentigoj, mi rekomendas legi artikolojn en la interreto pri ĉi tiu temo aŭ priskribojn kaj gvidliniojn por agado en la retejoj mem, kie ĝi estas efektivigita (mi nur ne povos inkludi detalajn instrukciojn en ĉi tiu artikolo).
Stokado de pasvorto
Sofistikaj unikaj pasvortoj por ĉiu retejo estas bonegaj, sed kiel mi konservas ilin? Estas malverŝajne, ke ĉiuj ĉi pasvortoj konserviĝu. Stokado de konservitaj pasvortoj en retumilo estas riska entrepreno: ili ne nur fariĝas pli vundeblaj al ne rajtigita aliro, sed simple povas perdiĝi en kazo de kraŝoj de sistemo kaj kiam sinkronigado estas malebligita.
La plej bona solvo estas konsiderata kiel pasvortaj administrantoj, kiuj ĝenerale temas pri programoj, kiuj stokas ĉiujn viajn sekretajn datumojn en ĉifrita sekura butiko (ambaŭ eksterrete kaj interrete), alirebla per unu majstra pasvorto (vi ankaŭ povas ebligi aŭtentikan dufaktoron). Plej multaj el ĉi tiuj programoj estas ankaŭ ekipitaj per iloj por generi kaj taksi pasvortan forton.
Antaŭ kelkaj jaroj mi verkis apartan artikolon pri Plej bonaj Pasvortoj (indas reskribi ĝin, sed vi povas fari ideon pri tio, kio estas kaj kiaj programoj estas popularaj en la artikolo). Iuj preferas simplajn senkonektajn solvojn, kiel KeePass aŭ 1Password, kiuj stokas ĉiujn pasvortojn en via aparato, aliaj preferas pli funkciajn utilecojn, kiuj ankaŭ provizas sinkronigajn kapablojn (LastPass, Dashlane).
Konataj pasvortaj administrantoj estas ĝenerale rigardataj kiel tre sekura kaj fidinda maniero stoki ilin. Tamen indas konsideri iujn detalojn:
- Por aliri ĉiujn viajn pasvortojn vi bezonas scii nur unu majstran pasvorton.
- En la kazo de hakanta interreta stokado (laŭlitere antaŭ unu monato, la plej populara servo de pasvorta administrado de LastPass en la mondo estis hakita), vi devos ŝanĝi ĉiujn viajn pasvortojn.
Kiel alie mi povas savi miajn gravajn pasvortojn? Jen kelkaj ebloj:
- Sur papero sendanĝere, al kiu vi kaj viaj familianoj havos aliron (ne taŭga por pasvortoj, kiujn vi devas ofte uzi).
- Senkonektita pasvorta datumbazo (ekzemple, KeePass) stokita sur longtempa stokada aparato kaj duobligita ie en kazo de perdo.
La optimuma kombino de ĉi-supra, laŭ mia opinio, estas la sekva aliro: la plej gravaj pasvortoj (la ĉefa retpoŝto, kun kiu vi povas restarigi aliajn kontojn, bankon, ktp.) Estas konservitaj en la kapo kaj (aŭ) sur papero en sekura loko. Malpli gravaj kaj samtempe ofte uzataj devas esti asignitaj al programoj pri pasvortoj.
Pliaj Informoj
Mi esperas, ke kombinaĵo de du artikoloj pri la pasvorto helpis iujn el vi atenti iujn aspektojn de sekureco, pri kiuj vi ne pensis. Kompreneble mi ne enkalkulis ĉiujn eblajn eblojn, sed simpla logiko kaj iom da kompreno de la principoj helpos min decidi kiom sekura kion vi faras en aparta momento. Denove kelkaj menciitaj kaj kelkaj pliaj punktoj:
- Uzu malsamajn pasvortojn por malsamaj retejoj.
- Pasvortoj devas esti kompleksaj, kaj vi povas pliigi kompleksecon plej multe pliigante la longecon de la pasvorto.
- Ne uzu personajn datumojn (troveblajn) kreante la pasvorton mem, donas al ĝi, sekurecajn demandojn por reakiro.
- Uzu 2-paŝan kontroladon, kiam eblas.
- Trovu la plej bonan manieron por vi sekure stoki pasvortojn.
- Gardu vin pri phishing (kontrolu retejajn adresojn, ĉifradojn) kaj spionservojn. Kie ajn oni petas vin enigi pasvorton, kontrolu ĉu vi vere enigas ĝin en la ĝusta retejo. Tenu vian komputilon libera de malware.
- Se eblas, ne uzu viajn pasvortojn ĉe komputiloj de aliaj homoj (se necese, faru ĝin en la "nekonata" reĝimo de la retumilo, kaj eĉ pli bone tajpu de la sur-ekrana klavaro), en publike malfermitaj retoj, precipe se ne ekzistas https-ĉifrado kiam vi konektas al la retejo. .
- Eble vi ne devas stoki la plej gravajn pasvortojn en komputilo aŭ rete, kiuj vere valoras.
Io tia. Mi pensas, ke mi sukcesis altigi la gradon de paranoia. Mi komprenas, ke multe el la priskribitaj ŝajnas maloportunaj, pensoj kiel "bone, ĝi min preterpasos", sed la sola ekskuzo por pigreco sekvante simplajn sekurecajn regulojn kiam stokado de konfidenca informo nur povas esti la manko de ĝia graveco kaj via preteco al ke ĝi fariĝos posedaĵo de triaj.
