Může to znít banálně, ale správná správa hesel je mnohdy tím nejúčinnějším bezpečnostním opatřením, které můžete pro ochranu osobních údajů využít. Jak s hesly bezpečně nakládat? A jaké jsou (ne)výhody služby správce hesel?
Implementace GDPR není úplně snadná a v oblasti bezpečnostních opatření to platí obzvlášť. Existuje tolik různých doporučení, pokynů a dalších návodů, že to může správce poměrně snadno zahltit a ve skutečnosti pak často pod návalem povinností neimplementuje nic. Existuje však jedna věc, kterou můžeme zavést relativně snadno a zabránit tak vážným následkům. Řeč je o politice řízení hesel (tzv. password management), která nám může velmi pomoci i v našem soukromém životě.
Správce hesel
Pokud používáte službu password manager (správce hesel), pravděpodobně jste loni zaznamenali zprávu o tom, že jedna z větších služeb tohoto typu byla napadena hackery. Fungování správce hesel je velmi triviální, ale zato účinné. Tato služba funguje v zásadě jako naše chytrá pokladnička, ve které si schováváme všechna svá hesla. Pro to, abychom mohli využít heslo do našeho profilu na Facebooku či firemního e-mailu, si tak nemusíme pamatovat všechna hesla, ale stačí nám jen jedno – k naší pokladničce, kde máme všechna hesla bezpečně uložena.
Výhodou správce hesel je totiž to, že pro každou službu si můžeme nechat vygenerovat vlastní heslo. V případě, že by došlo k úniku například přístupových údajů k našemu uživatelskému účtu na e-shopu, tak neulehčíme práci případnému útočníkovi, který by stejné přístupové údaje zkusil využít pro Facebook či jinou službu. Pokud často používáte stejné heslo, existuje naopak velké riziko, že toho útočník využije. Problém může nastat pouze v případě, že by naše hlavní heslo (tzv. master password, jak se správně heslu k „pokladničce“ říká) bylo kompromitováno, nebo by jej někdo úplně obešel. V takovém případě totiž můžeme útočníkovi naservírovat prakticky všechny naše přístupy jako na stříbrném podnose.
Správce hesel využijte pro méně významné služby
Ukradená hesla
Koncem minulého roku vydala nepříjemné oznámení služba LastPass, která v té době měla okolo 33 milionů uživatelů. V tomto oznámení služba přiznala, že došlo k odcizení záloh, a to prostřednictvím soukromého počítače jednoho ze čtyř lidí ve firmě, jenž měl přístup k zálohám. Samotný rozsah ukradených dat je poměrně velký, přičemž nejzávažnější je samotný trezor, který obsahoval klíčové údaje pro různé přístupy. Všechny tyto informace víme díky tomu, že na začátku března společnost LastPass rozšířila své prohlášení a popsala závažnost celého útoku. Pokud používáte tuto službu, měli byste zvážit změnu hlavního hesla a taktéž změnu všech ostatních hesel. Nicméně vám asi ani nikdo nebude mít za zlé, pokud se kvůli tomuto incidentu rozhodnete využívat služeb jiného správce hesel. Faktem totiž je, že služba správce hesel je do jisté míry založena na důvěře, jejíž narušení může být pro danou službu fatální.
Jak bezpečně nakládat s hesly
Rozhodně to ale neznamená, že nemá vůbec smysl používat službu správce hesel, protože útočník do něj může mít jednodušší přístup, či dokonce že je lepší psát si hesla do bločku na pracovním stole. Opak je pravdou – silné heslo a dobrý způsob nakládání s heslem je základem kybernetické bezpečnosti a zabezpečení osobních údajů. Na druhou stranu je rozumné zvážit, zda opravdu všechna hesla vložíme do svého správce hesel, nebo zda si některá významná hesla pro jistotu ponecháme pro sebe.
Rad, jak přistupovat k heslům, je poměrně mnoho. Níže najdete checklist s radami, které uvádí Národní úřad pro kybernetickou a informační bezpečnost ve svém doporučení s názvem Bezpečný pohyb v kybersvětě (viz zde).
DOPORUČENÍ NŮKIB, JAK BEZPEČNĚ NAKLÁDAT S HESLY |
1. Chraňte přístupy k pracovním i osobním údajům silným heslem. |
2. Nikdy si nepište hesla na papírky na monitoru, a to jak doma, tak v práci. |
3. Tvořte hesla, která obsahují alespoň 12 znaků, velká a malá písmena, číslice i speciální znaky a symboly. Heslo může být tvořeno i unikátní větou za využití všech výše uvedených prvků. |
4. Pro každou službu používejte jiné heslo – u pracovních účtů bez výjimek. |
5. Nepoužívejte online nástroje pro ověření síly hesla, mohou totiž heslo ukradnout a zneužít. |
6. Pro méně významné služby používejte správce hesel. |
7. Nesdílejte přihlašovací údaje s třetími osobami. |
8. Využívejte vícefaktorovou autentizaci (zejména u internetového bankovnictví a u soukromého a pracovního e-mailu). |
9. Oddělujte administrátorský účet od běžného. |
10. Nepoužívejte kontrolní otázky pro obnovení hesla, jsou totiž mnohdy velmi snadno uhodnutelné díky sociálnímu inženýrství. |
Tipy si můžete stáhnout jako checklist zde.
Pokud by všichni, včetně našich kolegů a zaměstnanců, dodržovali předmětná doporučení, určitě by bylo v rámci kybernetického prostoru o trochu bezpečněji – alespoň pro nás. Pro správce pochopitelně existuje ještě více doporučení, která se týkají řízení politik bezpečnosti, a zejména vynucování uvedených pravidel v rámci pracovního softwaru či obecně přístupů (například vynucování silného hesla, zákaz používání opakujících se hesel a podobně).
Někdy stačí málo
Někdy ta nejjednodušší opatření přinášejí největší účinek. Udělat si pořádek v heslech může být sice otravné, na druhou stranu vám to umožní zkontrolovat, jaké služby využíváte, některé z nich odstranit a postarat se tak o své bezpečí.
Pokud máte pocit, že se vás tento článek netýká, zkuste si zadat svůj e-mail (pracovní, soukromý – včetně vašich starých, již nepoužívaných e-mailů) či e-mail kohokoliv z vaší rodiny do služby haveibeenpwned.com. Uvidíte, zda se váš e-mail objevil v rámci nějakého hackerského útoku, při němž mohlo dojít k úniku přístupových údajů včetně hesla. Jestliže takové heslo stále používáte, měli byste mít na paměti, že uniklá databáze stále koluje po internetu a jedinou účinnou obranou je pravděpodobně změna hesla.
Níže najdete užitečné tipy, jak si vytvořit a zapamatovat silné heslo. Další doporučení si můžete připomenout v článku Desatero kybernetické bezpečnosti, který je dostupný zde.
METODY NA VYTVOŘENÍ A ZAPAMATOVÁNÍ BEZPEČNÉHO HESLA |
1. METODA |
Vytvořte si heslo z věty. Lidé si mnohem lépe pamatují věty a texty písní než kombinaci náhodných písmen, číslic a symbolů. Jedním trikem, jak vytvořit silné heslo, je vzít vždy první písmeno každého slova v dlouhé, ale dobře zapamatovatelné větě. Obdivovali jste Karla Gotta a zpívali si s ním Lady Carneval? Pak zkuste první verš: „Páni a paní, vím, jak se ruší žal, já tíhnu duší jen k Lady Carneval!“ Výsledkem může být heslo „PapvjsrzJtdjkLC!“, a pokud jej chcete dovést k dokonalosti, můžete ho doplnit o rok, kdy Karel Svoboda svůj hit napsal – a dostanete velmi silné heslo „PapvjsrzJtdjkLC!1968“. Další dobrý příklad představuje věta vycházející z vašeho osobního života (zážitku, situace), kterou si vždy vybavíte, třeba často opakovaná slova vaší drahé polovičky: „Nezapomeň, výročí naší svatby je 3. října!“. Heslo pak vypadá následovně: „Nvnsj3.r!“ Takto lze vytvořit vysoce bezpečná a snadno zapamatovatelná hesla. |
2. METODA |
S klávesnicí zacházejte jako se souhvězdím. Představte si ji coby prázdné malířské plátno, připravené vám pomoci s vytvořením silného hesla. Nakreslete na klávesnici vzory, které vám dávají smysl, včetně písmen a čísel. Tvary mohou mít podobu vašich iniciál, geometrických obrazců či třeba souhvězdí. |
3. METODA |
Vytvořili jsme tedy bezpečné heslo, ale jak splnit podmínku používat ke každé aplikaci nebo systému jen jedno, unikátní? Zde se uplatní například metoda takzvaného zasolení, kdy vezmete své silné heslo a na jeho konec, začátek či kamkoliv jinam přidáte unikátní řetězec znaků, avšak pro každou aplikaci nebo systém odlišný. Abyste si nemuseli pamatovat, k čemu každý z řetězců patří, můžete ze služby, k níž se přihlašujete, použít například první a poslední písmeno anebo třeba první tři písmena a přidat je k heslu. Vezmeme-li heslo „PapvjsrzJtdjkLC!1968“ z první metody, může při přihlašování na Facebook vypadat „PapvjsrzJtdjkLC!Fac1968“. Jinými slovy před číslovku vložíte první tři písmena služby, přičemž to první bude velké. Pokud se budete přihlašovat do SAP, bude heslo „PapvjsrzJtdjkLC!Sap1968“, zatímco u Gmailu půjde o „PapvjsrzJtdjkLC!Gma1968“. Takové heslo má 23 unikátních znaků, a pokud se s ním někomu nepochlubíte, nemá nikdo šanci jej rozkódovat. S výkonem dnešních grafických karet, které se k podobným účelům používají, přitom klesá i čas potřebný k případnému získání hesla takzvaně na sílu, tedy brute force. |
Comments