Říka se, že řetěz je tak silný, jako jeho nejslabší článek. V počítačovém světě bývá nejslabším článkem právě uživatel a jeho neznalost (nebo v horším případě prostá lenost). Přitom není třeba znát jednotlivé součástky počítače, umět programovat nebo třeba vyznat se v instrukcích procesoru. Bohatě postačí zdravý selský rozum a tento článek – alespoň co se zabezpečení účtů na internetu týče.
Jak vlastně došlo k tomu, že se na internetu objevily nahé fotky mnoha celebrit? Zpočátku se vinil Apple a jeho služba iCloud, kam se fotografie automaticky zálohují z Apple produktů, jenže ve výsledku se ukázalo, že k prolomení účtů celebrit v rámci služby iCloud nedošlo. Útočníci měli platná hesla k účtům celebrit, takže stažení jejich fotek byla hračka.
Jak tedy došlo k tomu, že útočníci měli platná hesla k iCloud účtům celebrit? Existují 3 způsoby, jak prolomit heslo:
- Sociální inženýrství – vychází z předpokladu, že je mnohem jednodušší ošálit člověka (tedy nejslabší článek řetězu) než dobře zabezpečený počítačový systém. Příkladem jsou phishingové emaily, které se třeba tváří jako bankovní a snaží se z oběti vylákat heslo k účtu na podvržených stránkách.
- Slovníkový útok – vychází z předpokladu, že neexistuje až tak moc variací hesel, a proto existují databáze (v různých jazykových mutacích, včetně české), které obsahují miliony různých hesel. Útočník se zkouší dostat k účtu oběti postupným zkoušením hesel z databáze.
- Hrubá síla – dělá přesně to, co název napovídá. Program útočníka se snaží vlámat do účtu oběti zkoušením všech možných kombinací písmen, čísel a speciálních symbolů. Je to tedy jen hra s časem.
Proti 1. typu útoku je obranou zdravý selský rozum a mírná nedůvěřivost, tzn. neklikám na každý odkaz v emailu, stejně tak neotevírám přílohu od neznámé osoby a rozhodně nevěřím všemu, co se na internetu píše, takže informace ověřuji (jestliže mi banka posílá email, že jim mám někam zadat PIN pro kontrolu, zavolám do banky a ověřím, zda takový email skutečně odeslali).
Obrana proti 2. a 3. útoku je taktéž vcelku jednoduchá – nepoužívám primitivní hesla! Není to tak dávno, co se útočníci dostali skrz zabezpečení stránek firmy Adobe a ukradli uživatelskou databázi včetně hesel (celkem 130 milionů údajů, což je více než reprezentativní vzorek). Následně byl zveřejněn seznam nejpoužívanějších hesel, který je z pohledu bezpečnostních expertů naprosto odstrašující. 10 nejpoužívanějších hesel:
123456
123456789
password
adobe123
12345678
qwerty
1234567
111111
photoshop
123123
Minimem zabezpečení každého počítačového uživatele by mělo být:
- používat pro každý účet jiné heslo
- tvořit dostatečně silné hesla
- používat selský rozum
Hezky popořadě. Používat pro každý účet jiné heslo je shodné s používáním jiných klíčů pro každé dveře. V případě, že by mi někdo ukradl klíč (aby fungovalo toto přiřovnání, je třeba přistoupit na to, že nemám klíče v jednom svazku, ale nosím každý klíč v jiné kapse), bude mít možnost otevřít jen jedny konkrétní dveře (v počítačovém světě přihlásit se k jen jednomu z mých účtů). Kdybych ale používal pouze jeden univerzální klíč ke všem mým dveřím, pak ztráta takového klíče znamená, že ten, kdo se klíče zmocní, bude mít přístup ke všem mým dveřím (účtům). To však není hezká představa, že?
Dalším zabezpečením je tvorba dostatečně silných hesel. Jako dostatečně silné heslo je takové, které má alespoň:
- jedno malé písmeno
- jedno velké písmeno
- jedno číslo
- jeden speciální znak
- 8 znaků celkem
Z výše uvedeného vyplývá, že ideální heslo je náhodná změť naprosto nesouvisejících znaků a čím delší je, tím déle bude trvat jeho prolomení. Jen pro představu, jak dlouho by mohlo trvat prolomení následujících hesel metodou hrubé síly (odhad času prolomení proveden na https://howsecureismypassword.net/):
heslo: méně než sekundu
Heslo: méně než sekundu
Heslo1: 14 sekund
Heslo11: 14 minut
Heslo111: 15 hodin
Heslo1234: 39 dnů
He$lo1234: 275 dnů
.
.
}:1k22Rv$1.a+qO: 4 triliony let
Tvořit změť náhodných znaků pro každý účet je sice řešením, ale samozřejmě není v lidských silách si tolik takových hesel pamatovat. A právě proto existují programy na generování dostatečně silných hesel a HLAVNĚ jejich uchování pro snadný přístup. Ve výsledku je tedy nutné znát pouze jedno hlavní heslo, které slouží pro přístup k dalším heslům.
Správci hesel se dělí na 2 kategorie: lokální (například KeePass) a cloudové (například LastPass). Stejně jako všechno v životě, obě varianty mají své pro i proti.
KeePass – instaluje se do počítače/telefonu/tabletu a veškerá vložená data jsou přístupná pouze na tom zařízení, kde je KeePass nainstalován a kde má svou databázi s uloženými hesly a dalšími citlivými údaji. Nevýhodou tedy je, že mám přístup ke svým údajům jen z jednoho zařízení. A to je i výhodou, protože tím, že mám své citlivé údaje v jednom zařízení, tak šance, že mi je zcizí nějaký útočník, je relativně menší (za předpokladu, že používám zdravý selský rozum), než když mám svá data uložena na internetu v cloudu.
LastPass – instaluje se jako doplněk prohlížeče a usnadňuje tak práci (generování hesel, vyplňování, změnu, vyplňování formulářů atp.). Data jsou uložena na serveru LastPass a zašifrována, takže přístup k nim má jen sám uživatel. Výhodou aplikace LastPass tedy je, že ať jsem, kde jsem (na jakémkoliv zařízení a kdekoliv na světě), mám neustále přístup ke svým datům. Někdo si však nepřeje uchovávat své citlivé údaje na cizím serveru (byť jsou šifrovaná), takže to je negativum LastPass.
Zpočátku jsem používal KeePass a i když jsem měl vyřešenou synchronizaci databáze s hesly mezi jednotlivými zařízeními (skrz službu Dropbox), neměl jsem pocit, že by práce s hesly byla komfortní. Pokaždé, když jsem potřeboval někam zadat své heslo, nebo nové vygenerovat, musel jsem se přepnout do aplikace KeePass a v ní heslo najít a zkopírovat nebo vygenerovat. Proto jsem později přešel na LastPass, protože díky tomu, že je instalován jako doplněk prohlížeče, tak je schopen mi automaticky vyplňovat přihlašovací formuláře a sám nabízí generování hesla, případně uložení údajů právě vyplněného formuláře.
Při používání některého správce hesel je tedy nutné znát už jen jedno heslo. Jelikož je toto heslo klíčem ke všem dalším heslům, určitě nebude překvapením, že by mělo být více než dostatečně silné. Buď si můžu nechat takové heslo vygenerovat nějakým nástrojem a následně zapamatovat, nebo si můžu vytvořit dostatečně silné heslo vlastními silami tak, abych si ho v případě, že bych zapomněl, mohl vygenerovat znovu. Metod na vygenerování hesel je mnoho, takže uvedu jen jednu jako příklad.
Vezmu oblíbenou hlášku z filmu „Co dál? Nic dál! Dva sifony“ a z ní utvořím své silné heslo. Z věty vyberu vždy jen první písmeno z každého slova, takže dostanu CdNdDs, čímž jsem splnil podmínku č. 1 a 2.
Dále jako číslo mi poslouží rok narození (ale může to být i číslo popisné, směrovací, datum, šťastné, …) 1950. Rozpůlím ho a první část dám před heslo a druhou část za, takže mé současné heslo je 19CdNdDs50. Tím mám splněnou podmínku č. 3.
Podmínku č. 4 splním tak, že do hesla zakomponuji interpunkci z věty. Výsledkem tedy je 19Cd?Nd!Ds.50. A pátou podmínku mám taky splněnou, neboť heslo má celkem 13 znaků.
Výsledné heslo si pochopitelně časem při častém zadávání zapamatuji, nicméně kdybych náhodou zapomněl, můžu ho velice rychle stvořit znovu, protože vím, že se skládalo z mé oblíbené hlášky a roku narození, přičemž rok narození jsem rozdělil na začátek a konec slova. Přidám interpunkci a jsem hotov. Čas potřebný k prolomení hrubou silou? 465 milionu let.
Jak už jsem zmiňoval v úvodu článku, digitální kriminality bude přibývat a počítačová bezpečnost bude čím dál propíranějším tématem. Zcizení dat či digitální identity (Facebook, email, Twitter atp.) je větším problémem, než si spousta lidí připouští. Proto doporučuji nepodceňovat alespoň základní bezpečnostní návyky, jakým je i tvorba a správa hesel.
Pro čtenářky tohoto webu jsem připravil speciální stránku, kde pomocí videí ukážu krok za krokem, jak co nejvíce zabezpečit svá data díky aplikaci LastPass, případně téměř eliminovat odcizení účtu díky dvoustupňové autentizaci. Zabezpečte si své účty tak, aby vám data nikdo neodcizil a nevystavil někde jinde na internetu – protože pak už bude na výměnu hesel pozdě…
Autorem článku je Zbyněk Filinger