Strona korzysta z plików cookies w celu realizacji usług i zgodnie z Polityką Plików Cookies.



26.08.2021

Firma Fortinet rozszerzyła...

Firma Fortinet rozszerzyła ofertę o usługę FortiTrust, która dołączyła do innych usług...
26.08.2021

Aplikacje biznesowe

Ready_™ AppStore
26.08.2021

Automatyzacja chmur...

Integracja z Red Hat Ansible
26.08.2021

Backup kodu źródłowego

GitProtect.io dostępny na Github
26.08.2021

Wsparcie pracy hybrydowej

Zdalny SD WAN
26.08.2021

Nowy monitor Philips 498P9Z

Nowy monitor Philips 498P9Z to model wyposażony w 49-calowy, zakrzywiony panel VA o...
26.08.2021

Wytrzymały punkt dostępowy

D-Link DIS-2650AP
26.08.2021

Ekonomiczne dyski

SSD bez DRAM
26.08.2021

Petabajty pojemności

Serwery QNAP

Nowa higiena haseł

Data publikacji: 14-07-2021 Autor: Grzegorz Wieczorek

Przez lata utrzymywało się przekonanie, że im bardziej skomplikowane hasło, im częściej jest zmieniane, tym ochrona jest skuteczniejsza. W rezultacie firmy stosowały polityki wymagające od użytkowników nie lada kreatywności. To z kolei sprawiło, że dziś potrzebujemy zupełnie nowej higieny haseł, która przywróci im odporność i skuteczność m.in. na coraz bardziej zaawansowane ataki słownikowe.

 

Hasła i tradycyjne metody logowania oparte na dwóch składnikach to gorący kartofel przerzucany z rąk do rąk dostawców usług IT – wiemy, że taki mechanizm nie zapewnia już dziś wystarczającej ochrony, ale wciąż brakuje solidnego zamiennika. Zamiast całkowitej eliminacji haseł, o czym zresztą przebąkuje się coraz częściej, o czym za moment, dodawane są jedynie kolejne warstwy zabezpieczeń, jak biometria czy inne metody uwierzytelniania wieloskładnikowego. Nadal jednak nawet najnowocześniejsze alternatywne metody uwierzytelniania dalekie są od całkowitego wybawienia nas od haseł. Ba, nie brakuje nawet głosów, że w dużej mierze innowacje w obszarze wdrażania biometrii to przerost formy nad treścią. W lwiej części wdrożeń biometrię dodaje się bowiem nie jako dodatkowy poziom zabezpieczeń, lecz jako wygodny i szybki w obsłudze zamiennik dla dwóch oddzielnych składników – loginu i hasła. W takim scenariuszu mamy więc do czynienia de facto z obniżeniem poziomu bezpieczeństwa. To skłania do twierdzenia, że jeszcze wiele wody upłynie, zanim biometria ze świetnie sprzedającego się produktu stanie się faktycznym zabezpieczeniem.

> Polityki do wymiany

Skoro zatem nadal nie jesteśmy w stanie pozbyć się haseł, to stajemy przed koniecznością rewizji dotychczasowych polityk bezpieczeństwa w celu dostosowania ich do szybko zmieniających się realiów. Potrzebę zmian naszych wieloletnich nawyków, które zachęcały nas do stosowania wielu różnych złożonych haseł w wielu usługach (jak największa entropia każdego hasła, hasła nie powtarzają się), sygnalizowali w pracy „Password Portfolios and the Finite-Effort Use” Dinei Florencio i Cormac Herley z Microsoft Research (artykuł dostępny pod adresem bit.ly/3cZOVvb). Celem badań było ustalenie optymalnej zasady zarządzania portfolio haseł. Badacze zauważyli, że zasada utrzymywania stałej, wysokiej entropii niepowtarzających się haseł przy ciągłej konieczności tworzenia nowych – zarówno dla nowych usług, jak też dla zmian haseł w usługach wykorzystywanych już wcześniej – obniża zdolność użytkowników do ich zapamiętywania, a co za tym idzie – obniża poziom bezpieczeństwa. Pracownicy Microsoft Research pozwalają sobie nawet na tezy, które zapewne zjeżą włos na głowie wielu konserwatywnych administratorów – stwierdzają na przykład, że konieczne jest rozróżnienie kont, w przypadku których należy stosować zróżnicowane hasła o wysokiej entropi, od tych, w których można stosować słabe hasła wielorazowego użytku.

 

[...]

Pełna treść artykułu jest dostępna w papierowym wydaniu pisma.

.

Transmisje online zapewnia: StreamOnline

All rights reserved © 2019 Presscom / Miesięcznik "IT Professional"