V tomto blogu nájdete svoju novú bezpečnostnú „kuchárku s receptami“, ktorá vám jednotlivými krokmi, odporúčaniami a konkrétnymi tipmi pomôže zvýšiť vašu bezpečnosť hesiel vo virtuálnom svete. Odmenou bude lepšia ochrana pred hackermi, vďaka ktorej si ušetríte čas a starosti v budúcnosti.
Krok po kroku si zrozumiteľnou rečou vysvetlíme bezpečnostné nástrahy na internete, ukážeme si štúdie v oblasti kyber bezpečnosti a uvedieme si zaujímavé príklady z praxe. Vďaka týmto krokom budú vaše webové účty ako Facebook, Gmail alebo Shoptet atď.,v bezpečí. V pracovnej oblasti tak predídete nielen strate financií, ale aj poškodeniu firemnej reputácie.
„Ako mi môžu hacknúť Facebook?“ Najjednoduchším krokom, ktorý urobí hacker je, že si nájde vaše heslo v uniknutej databáze. Táto databáza je súbor používateľských mien a hesiel, ktoré unikli počas hacknutia Adobe, LinkedIn, Yahoo a mnoho iných. Medzi najneznámejšie v našich končinách patri únik z údajov z Mallu. V tejto databáze je vyše trištvrte milióna mien, hesiel a telefónnych čísel v čitateľnej podobe.
Uniknutých databáz je viac. To, či sa práve vaše údaje nachádzajú v nejakej uniknutej databáze zistíte zadaním emailovej adresy na webe haveibeenpwned.com. Ako príklad tu máme klienta, ktorého údaje boli v 13 uniknutých databázach:
Tým, že nemáte vedomosť o tom, že vaše údaje sú v uniknutej databáze a používate rovnaké heslá na väčšinu služieb uľahčujete hackerovi prácu. Ak máte heslo „Matus1987“ pre Mall (uniknutá databáza) a rovnaké heslo „Matus1987“ pre Google, tak hacker vie cez údaje z uniknutej databázy zistiť heslo a prihlásiť sa do Google účtu (ak nepoužívate dvojstupňové overenie). Preto je potrebné využívať správcu hesiel a mať unikátne silné hesla pre každú online službu.
Zaujímavosť: V databázach* sa nachádzajú údaje z celkovo 12,465,184,194 (k 24.2.2023) účtov.
*jedná sa o počet naimportovaných záznamov v HIBP.
Hlavné heslo odporúčame používať iba na prihlásenie do správcu hesiel. Odporúčame frázu, tzv. passphrase, čo je kombinácia minimálne 4 náhodne vybraných slov. Zadanie frázy bude tak omnoho rýchlejšie, keďže slová sú pre človeka prirodzenejšie než 12 špeciálnych znakov, v kombinácií s písmenami.
Zaujímavosť: Na internete nájdete mnoho databáz najpoužívanejších hesiel/fráz. Typickým príkladom je databáza RockYou.
Ako vytvoriť dokonalú frázu?
Príklad: Panning-Situated-Roman4-Enrich
Ako vytvoriť dokonalé heslo?
1.) Alternatívou je použiť heslo namiesto frázy:
Príklad: s$8jM76Th&!FbX
Zaujímavosť: Frázu odporúča aj známy whistleblower Edward Snowden
Pre všetky online webové služby odporúčame používať správcu hesiel, ktorý umožní mať silné a unikátne heslá. Väčšina správcov hesiel je navyše synchronizovaný aj s inými zariadeniami (ak heslo uložím na mobile mám ho okamžite v PC).
Ďalšou dôležitou funkciou správcu hesiel je aj automatické upozornenie v prípade, keď sa niektorý z vašich emailov nachádza v uniknutej databáze.
Našim klientom odporúčame správcu hesiel Bitwarden (alternatívou je aj 1Password). Na rozdiel od 1Password je pre Bitwarden dostupná aj bezplatná verzia.
Tip: vyhnite sa LassPassu kvôli bezpečnostným problémom. Viac info.
Existuje zaužívané pravidlo, ktoré hovorí, že heslá by sa mali meniť každých 90 alebo 180 dní. Nie je to však pravda. Táto štúdia poukazuje, že pri tomto doporučení zlyháva ľudský faktor. Ak si musí užívateľ často meniť heslá, snaží si to uľahčovať, čím vytvára jednoduché a zraniteľné heslá. Namiesto pravidelného menenia hesiel odporúčame mať unikátne silné heslá, ktoré nám spravuje správca hesielameníte ich len v prípade, ak sa nachádzajú v uniknutej databáze.
Čo sme sa naučili ?
Dvojfaktorové overenie je v dnešnej dobe nevyhnutnosťou a slúži ako dodatočná ochrana webových účtov. Vlastnosťou je, že bezpečnosť jednotlivých metód dvojfaktorového overenia sa výrazne líši. V poslednej bezpečnostnej štúdii od Google, ochránilo SMS dvojfaktorové overenie (na rozdiel od hardvérových kľúčov, ktoré poskytli 100% ochranu) len 76% účtov pred cielenými útokmi.
Je najpoužívanejší a najmenej bezpečný spôsob dvojfaktorového overenia. Pri tomto spôsobe overenia sa často používajú techniky sociálneho inžinierstva. Typickým príkladom je phishingový útok, kedy hacker požiada o obsah SMS po tom, čo získal od obete heslo.
Výhody:
Nevýhody:
Sú aplikácie, ktoré generujú 6 ciferný kód. Pri jeho generovaní využíva kombináciu algoritmu tajného kódu tzv. „secret key“, aktuálneho času a dátumu. Medzi najznámejšie aplikácie patrí Google Authenticator alebo Microsoft Authenticator. Vo všeobecnosti sú TOTP aplikácie považované za bezpečnejšiu možnosť dvojfaktorového overenia (v porovnaní s SMS).
Výhody
Nevýhody:
TIP: Pre zvýšenú bezpečnosť si nastavte PIN alebo otlačkom prsta pre danú aplikáciu.
Najbezpečnejším spôsobom dvojfaktorového overenia služieb sú hardvérové FIDO kľúče, ktoré chránia pred phishingom. Medzi najznámejšie služby, ktoré podporujú FIDO Kľúče sú: Apple, Google, Facebook, Dropbox, Twitter a mnoho iných.
Väčšina kľučov spĺňa prísne bezpečnostné certifikácie EAL, FIPS – (AAL3) atď. Potrebné pre spĺňanie normy NIST800-63B*. FIDO kľúče začínajú na cene 20 EUR.
Výhody
Nevýhody:
*Čo je to NIST 800-63B?
NIST 800-63B je dokument, ktorý vydáva americký Národný inštitút pre štandardy a technológie (National Institute of Standards and Technology – NIST). Tento dokument obsahuje odporúčania pre riadenie identít a overovania pri prístupe k informačným systémom.
Konkrétne sa jedná o odporúčania pre procesy overovania identity používateľov v elektronickom prostredí, teda pri prihlasovaní do online služieb a systémov. NIST 800-63B stanovuje minimálne bezpečnostné požiadavky, ktoré musia byť splnené pri overovaní identity používateľov.
Čo sme sa naučili?
Veríme, že naše tipy vám pomôžu lepšie ochrániť webové účty pred hackermi. Ušetria vám tak starosti, financie a reputáciu. Bezpečná autentifikácia je komplexná problematika, ktorú mnoho firiem podceňuje a preto sú dôsledky často fatálne. V tomto blogu sme si prešli potrebným základom na ktorom viete stavať. Viac tipov nájdete na našom YouTube kanále. Ak vám niektoré veci neboli jasné alebo potrebujete pomôcť, neváhajte nás kontaktovať.
Napísať komentár