NIST с предложение срещу „рециклирането“ на паролите

Сигурността на паролите днес е чувствителна тема, повече от всякога досега. Благодарение на изтекли от пробиви, като този в Yahoo данни, престъпниците разполагат с огромни по размер речници с пароли, а с постоянното увеличаване на изчислителната мощ и нейното поевтиняване, понякога разбиването на една сравнително сложна парола, може да отнеме секунди. Всяка година слушаме как именно настоящата ще е годината, в която ще изхвърлим паролите, като начин за пазене на нашите данни. И всяка година, паролата си остава единствения начин да запазим тайните си. Сайтовете пък почнаха да измъчват потребителите си по какви ли не начини. Букви в горен, долен регистър, специални знаци, цифри. Ако използвате активно двадесетина регистрации, върви, че ги запомни. И накрая някой хакне сървъра, който пази паролата ви и се оказва, че сайтът я е съхранявал в открит вид. Но това, разбира се е друга тема.

Има немалко съвети и изисквания за това как трябва да запазим тайните си. Най-лесният начин е безспорно използването на мениджъри на пароли. Мнозина обаче не желаят да дават достъп до всичките си тайни на онлайн услуга. А не, че не сме чували за инциденти, свързани с онлайн мениджърите на пароли. При офлайн програмите пък имаме проблема с преносимостта. Друг начин е да използваме двуфакторна защита на акаунта си, чрез изпращането на код за потвърждение на телефона, да речем. Но днес, ние нямаме просто телефони, а истински компютри – толкова уязвими на атаки, колкото и вашия лаптоп или десктоп компютър. Именно поради тази причина, преди време Националния институт за стандартизация и технологии на САЩ (United States National Institute for Standards and Technology, NIST) предложи този начин за допълнителна защита да се счита вече за ненадежден. Тази седмица, организацията публикува нови препоръки към администраторите на интернет ресурси, които пазят нашите тайни. За пореден път, NIST настоява да се свали голяма част от задължаващата отговорност на потребителя и тя да бъде поета от този, който се грижи за управлението на данните ни. Един от акцентите в препоръките е прекратяване на практиката потребителите да бъдат задължавани да променят паролите си на определен период от време. Всъщност, „рециклирането“ на паролите не е толкова лоша практика. Периодичната промяна на данните за вписване могат да ви послужат, като вид застраховка. Ако речем хакер е получил достъп до базата данни с паролите на сайта, а интернет ресурса не е разбрал или не ви е уведомил за това, както се е случило с много потребители на Yahoo, а вие междувременно сте променили своята парола, спазвайки определен график за смяна на паролите, хакерът няма да успее да влезе в акаунта ви. Разбира се това е хипотетичен сценарий. А какво, междувременно става в главата ви? Променили сте паролата си и не я помните. Може хакерът, откраднал данните ви да няма вече достъп до акаунта ви, но такъв няма да имате и вие.

„Когато потребителите създават и променят „запомнени тайни“ (фразата, която NIST използва за „пароли“), не изисквайте от тях да ги променят периодично, освен ако потребителят не заяви желание за това или е имало случай на компрометиране на достъпа“, пишат от организацията. Освен това, NIST съветва администраторите на ресурси да съобщават в ясна форма изискванията за съставяне на пароли (вероятно мнозина от вас са били връщани нееднократно при регистрация в сайт с: „не сте включили буква с долен/горен регистър/специален символ и т.н.“). Друг съвет е ресурсите да спрат да изискват от потребителите спазването на специални композиционни правила (споменатите вече комбинации, които нямат запомняне). NIST препоръчва на администраторите да дадат повече свобода на регистриращия се – възможност за парола с поне 64 символа. Нека потребителят използва тайна фраза, каквато поиска и да включва символи по свой избор – включително паузи. Нужно е да се обяснява надлежно защо изборът за парола е неподходящ – често използвана или лесна за отгатване парола, например.