Bezpečné přihlašování a hesla
- 1/12
- 2/12
- 3/12
- 4/12
- 5/12
- 6/12
- 7/12
- 8/12
- 9/12
- 10/12
- 11/12
- 12/12
6 min
Každý uživatelský účet je potenciálním cílem útoku. Slabé heslo lze prolomit během několika sekund (odolnost různých typů hesel proti prolomení můžete vyzkoušet například na webu security.org). Nastavit silná hesla místo slabých je přitom opatření, které prakticky nenese žádné náklady.
Pravidla bezpečnosti by měla zahrnovat nejen pravidla pro tvorbu hesel, ale i zavedení vícefaktorové autentizace a pravidelné audity.
V roce 2017 se stala známou kauza „Deloitte Hack“, kdy byl jeden z největších účetních a poradenských gigantů na světě zasažen kybernetickým útokem. Hackeři získali přístup k citlivým e-mailovým datům a dokumentům klientů, a to především kvůli použití slabého hesla na administrátorském účtu, který nevyužíval vícefaktorovou autentizaci.
Analýza útoku na Deloitte ukázala několik zásadních chyb:
- Slabá hesla: Použití jednoduchých hesel, která neodpovídala standardům bezpečnosti, umožnilo útočníkům snadný průnik.
- Chybějící vícefaktorová autentizace: Nedostatek vícefaktorové autentizace u administrátorského účtu zanechal kritický bod bez potřebného zabezpečení.
- Nedostatečná kontrola přístupů: Nebyly zavedeny pravidelné audity přístupových práv, což vedlo k tomu, že neautorizované osoby mohly přistupovat k citlivým datům.
Jak tedy co nejefektivněji ochránit uživatelské účty?
- Silná a unikátní hesla:
- Minimální délka hesla by měla být alespoň 16 znaků (doporučuje se 20-24).
- Prosazuje se názor, že hesla by měla být především dostatečně dlouhá, obsahující nějakou nesmyslnou frázi (třeba šneKsežraLduhovÉpiranĚ), a dobře zapamatovatelná. Dříve se doporučovalo, aby hesla obsahovala kombinaci velkých a malých písmen, číslic a speciálních znaků. Tyto přístupy lze samozřejmě pro zvýšení bezpečnosti zkombinovat (42* šneKsežraLduhovÉpiraņ55).
- Zároveň je třeba používat hesla, u nichž nelze dohledat spojitost s uživatelem (datum narození, číslo domu, jména příbuzných)
- Vícefaktorová autentizace (MFA):
- Zavést vícefaktorovou autentizaci pro všechny kritické účty, zejména pro administrátorské přístupy.
- U MFA využívat kombinace něčeho, co uživatel zná (heslo), něčeho, co vlastní (telefon, bezpečnostní token), a něčeho, čím je (biometrie).
- Správce hesel (Password Manager):
Bezpečnostní nástroj, který pomáhá uživatelům vytvářet, ukládat a spravovat silná hesla pro různé online účty. Tyto nástroje generují složitá, jedinečná hesla a bezpečně je ukládají do šifrované databáze, takže si uživatel potřebuje pamatovat pouze jedno hlavní heslo (master password) pro přístup ke všem ostatním. Díky zabezpečené synchronizaci umožňuje přístup ke všem heslům na různých zařízeních (počítače, mobilní telefony).
-
- Příklady správců hesel:
- LastPass
- KeePass
- Bitwarden
- Proton Pass
- Příklady správců hesel:
- Nenechávejte svá hesla ukládat do paměti prohlížeče:
- Útočník může pomocí malware všechna uložená hesla vytáhnout z paměti prohlížeče.
- Nepoužívejte stejná hesla pro různé účty. Pro každý účet je nutné mít unikátní heslo, aby prolomení jednoho nezpřístupnilo další účty.
- Nesdílejte účty mezi více osobami. Riziko, že dojde ke kompromitaci hesla, se tím dramaticky zvyšuje.
- Pravidelné audity přístupů:
- Provádějte pravidelné kontroly a audity všech přístupových práv.
- Okamžitě deaktivujte přístupy zaměstnanců*kyň, kteří*ré opustili*y organizaci nebo změňte přístupová práva u těch, kteří*ré změnili*y pracovní pozici.
- Vzdělávání:
- Vzdělávejte zaměstnance*kyně v oblasti bezpečnosti hesel a ochrany identity, vysvětlujte rizika spojená s phishingem a sociálním inženýrstvím.
- Zaveďte povinná školení na toto téma minimálně jednou ročně. Techniky útočníků a vektory útoků se stále obměňují.
- Silná hesla musí být dlouhá a unikátní pro každý účet.
- K bezpečnému ukládání a generování hesel můžete používat správce hesel.
- Zaveďte vícefaktorovou autentizaci (MFA) pro lepší ochranu účtů.
- Hesla nikdy nesdílejte ani neukládejte v nezabezpečených místech (např. v prohlížeči). Nesdílejte mezi více osobami ani uživatelské účty.
Heslo: Tajná kombinace znaků používaná k ověření identity uživatele.
Správce hesel: Nástroj pro bezpečné ukládání hesel a jejich automatické vyplňování.
Vícefaktorová autentizace (MFA): Zabezpečovací metoda, která vyžaduje dvě a více různých forem ověření identity.
Phishing: Technika, kdy útočníci podvodně získávají citlivé informace, jako jsou hesla, často prostřednictvím falešných e-mailů nebo podvržených webových stránek.
Audit přístupů: Pravidelné vyhodnocování přístupových práv jednotlivých uživatelů a zjišťování, zda jsou přístupy přiděleny správně a bezpečně.
Šifrování: Proces, při kterém jsou data přeměněna do kódu, který může být přečten pouze s odpovídajícím dešifrovacím klíčem