Kaip galima padidinti slap­ta­žo­džių saugumą?

Slap­ta­žo­džiai yra mūsų skait­me­ni­nės tapatybės raktas. Tvirtas slap­ta­žo­dis yra pirmoji gynybos linija nuo ki­ber­ne­ti­nių nu­si­kal­tė­lių. Tačiau sta­tis­ti­ka rodo, kad 36 % Jungtinės Ka­ra­lys­tės re­s­pon­den­tų tą patį slap­ta­žo­dį naudoja 5–10 svetainių, o 35 % pri­si­pa­ži­no, kad slap­ta­žo­dį keičia kasdien arba kelis kartus per savaitę.

Kokie yra slap­ta­žo­džių saugumo rei­ka­la­vi­mai?

Daugelis žmonių vis dar naudoja silpnas arba lengvai at­spė­ja­mas slap­ta­žo­džių kom­bi­na­ci­jas. Norint už­tik­rin­ti aukštą slap­ta­žo­džių saugumo lygį, reikia at­si­žvelg­ti į keletą veiksnių. Saugaus slap­ta­žo­džio pa­si­rin­ki­mas ir slap­ta­žo­džių tvar­kyk­lės nau­do­ji­mas gali būti laikomi pag­rin­di­niais slap­ta­žo­džių saugumo aspektais.

Kas lemia slap­ta­žo­džių saugumą?

Nors vien tik saugūs slap­ta­žo­džiai negali už­tik­rin­ti visiškos apsaugos nuo ki­ber­ne­ti­nių nu­si­kal­tė­lių atakų, saugaus slap­ta­žo­džio sukūrimas vis tiek yra labai svarbus norint apsaugoti savo paskyras. Var­to­to­jai gali pa­tik­rin­ti, ar jų pa­si­rink­tas slap­ta­žo­dis yra saugus, rem­da­mie­si šiais kri­te­ri­jais:

• Ilgis: Slap­ta­žo­džio ilgis atlieka lemiamą vaidmenį, nes ilgesnius slap­ta­žo­džius įsilaužti yra eks­po­nen­tiš­kai sunkiau nei trum­pes­nius. Tvirtas slap­ta­žo­dis turėtų būti ne trum­pes­nis kaip 12–16 simbolių.

• Su­dė­tin­gu­mas: Saugus slap­ta­žo­dis turėtų būti sudarytas iš didžiųjų ir mažųjų raidžių, skaičių bei specialių simbolių, pvz., @, # arba $. Dėl šio įvairovės slap­ta­žo­dį sunkiau atspėti tiek žmonėms, tiek au­to­ma­ti­zuo­toms prie­mo­nėms.

• Ne­nu­spė­ja­mu­mas: Venkite paprastų modelių ar at­pa­žįs­ta­mų žodžių slap­ta­žo­džiuo­se, nes ki­ber­ne­ti­niai nu­si­kal­tė­liai dažnai naudoja žodynines atakas, bandydami įprastus slap­ta­žo­džius.

• Uni­ka­lu­mas: ne­nau­do­ki­te tų pačių slap­ta­žo­džių skir­tin­go­se pa­slau­go­se ir plat­for­mo­se. Vietoj to, naudokite unikalius slap­ta­žo­džius kiek­vie­nai interneto paslaugai.

• Re­gu­lia­rūs at­nau­ji­ni­mai: ypač svarbių paslaugų atveju re­gu­lia­rus slap­ta­žo­džių at­nau­ji­ni­mas gali sumažinti iš­nau­do­ji­mo dėl anks­tes­nių saugumo pažeidimų riziką.

Tinkamo slap­ta­žo­džių tvar­kyk­lės pa­si­rin­ki­mas

Slap­ta­žo­džių tvar­kyk­lės – tai prak­tiš­kos priemonės, skirtos sudėtingų slap­ta­žo­džių ge­ne­ra­vi­mui ir saugiam sau­go­ji­mui. Renkantis tinkamą slap­ta­žo­džių tvarkyklę, įsi­ti­kin­ki­te, kad ji palaiko nuo-iki-galo šifravimą ir turi tokias funkcijas kaip įspėjimai apie saugumo pa­žei­di­mus ar saugumo auditai. Re­gu­lia­rūs at­nau­ji­ni­mai – dar vienas patikimos slap­ta­žo­džių tvar­kyk­lės požymis.

Didžiausi pastarųjų metų slap­ta­žo­džių nu­te­kė­ji­mo atvejai

Kiekvieną dieną mes patikime įmonėms ir tech­no­lo­gi­joms mil­ži­niš­kus kiekius kon­fi­den­cia­lių duomenų, o slap­ta­žo­džiai dažnai yra vie­nin­te­lė apsauga – ir, atrodo, į ją nežiūrima pa­kan­ka­mai rimtai. Tai akivaizdu iš daugybės duomenų nu­te­kė­ji­mo atvejų, įvykusių pa­sta­rai­siais metais. Ki­ber­ne­ti­niai nu­si­kal­tė­liai nuolat gauna prieigą prie pri­si­jun­gi­mo duomenų naudodami tokius metodus kaip ken­kė­jiš­kos programos, suk­čia­vi­mo laiškai ar jėgos atakos, taip pavogdami kon­fi­den­cia­lius vartotojų duomenis. Toliau pa­tei­kia­ma keletas reikš­min­giau­sių incidentų:

• „LinkedIn“ (2012, 2016): 2012 m. įvyko „LinkedIn“ įsi­lau­ži­mas, kurio metu buvo pavogta daugiau nei 6,5 mln. už­šif­ruo­tų slap­ta­žo­džių. 2016 m. „tam­sia­ja­me tinkle“ pasirodė dar 117 mln. pri­si­jun­gi­mo duomenų, gautų per šį įsi­lau­žimą.
• „Yahoo“ (2013, 2014): „Yahoo“ patyrė vieną di­džiau­sių saugumo pažeidimų is­to­ri­jo­je. 2013–2014 m. buvo pavogta iš viso trys mi­li­jar­dai paskyrų, įskaitant vartotojų vardus, slap­ta­žo­džius ir saugumo klausimus.
• „Adobe“ (2013 m.): per saugumo pažeidimą buvo pavogta daugiau nei 150 milijonų „Adobe“ vartotojų paskyrų, o daugelis slap­ta­žo­džių buvo prastai už­šif­ruo­ti.
• „Facebook“ (2019 m.): „Facebook“ atskleidė, kad milijonai vartotojų slap­ta­žo­džių buvo saugomi paprastu tekstu vi­di­niuo­se ser­ve­riuo­se. Nors duomenys nebuvo nutekinti į išorę, šis in­ci­den­tas pabrėžė saugių praktikų būtinybę net ir įmonės lygmeniu.
• Col­le­c­tion #1-#5 (2019): 2019 m. sausio mėn. kaip dalis šio didžiulio duomenų nu­te­kė­ji­mo buvo paskelbta daugiau nei du mi­li­jar­dai elekt­ro­ni­nio pašto adresų ir slap­ta­žo­džių iš įvairių šaltinių, įskaitant žinomus ir anksčiau nežinomus nu­te­kė­ji­mus.
• „Twitter/X“ (2022 m.): Dėl saugumo pažeidimo, susijusio su prog­ra­mi­ne klaida, buvo at­skleis­ti daugiau nei 5,4 milijono paskyrų asmens duomenys, įskaitant telefono numerius ir el. pašto adresus.
• „RockYou“ (2024 m.): „RockYou2024“ buvo didžiulis duomenų nu­te­kė­ji­mas, laikomas vienu iš di­džiau­sių kada nors paskelbtų, apimantis daugiau nei 9,9 milijardų slap­ta­žo­džių, surinktų iš įvairių šaltinių.

Šie įvykiai pabrėžia ki­ber­ne­ti­nio saugumo ypatingą svarbą. GMX atliktos rep­re­zen­ta­ty­vios 1 050 žmonių apklausos re­zul­ta­tai dar labiau stebina: 64 % re­s­pon­den­tų nurodė, kad naudoja tą patį slap­ta­žo­dį kai kurioms ar net visoms savo in­ter­ne­ti­nėms paskyroms, o tik 21 % kiek­vie­nai paskyrai naudoja skirtingą slap­ta­žo­dį. 2019 m. GMX tyrimas taip pat atskleidė, kad 9 % re­s­pon­den­tų niekada net nebuvo pakeitę savo pag­rin­di­nės elekt­ro­ni­nio pašto paskyros slap­ta­žo­džio, o tai juos daro labai pa­žei­džia­mus.

Kaip pa­tik­rin­ti slap­ta­žo­džio saugumą

Slap­ta­žo­džių saugumo pa­tik­ri­ni­mas yra itin svarbus žingsnis, siekiant apsaugoti savo skait­me­ni­nes paskyras nuo ne­tei­sė­tos prieigos arba po duomenų nu­te­kė­ji­mo. Yra įvairių būdų ir priemonių, lei­džian­čių pa­tik­rin­ti, ar jūsų slap­ta­žo­džiai nebuvo pavogti, ar atitinka da­bar­ti­nius saugumo stan­dar­tus, ar nėra per silpni.

In­ter­ne­ti­nės paslaugos, skirtos duomenų nu­te­kė­ji­mo pa­tik­ri­ni­mui

• „Have I Been Pwned“ (HIBP): viena iš ži­no­miau­sių ir pa­ti­ki­miau­sių platformų yra „Have I Been Pwned“ (HIBP). Čia galite pa­tik­rin­ti, ar jūsų el. pašto adresas ar slap­ta­žo­dis nebuvo pavogti per žinomą duomenų nu­te­kė­ji­mą. Įvedę savo el. pašto adresą, gausite sąrašą svetainių, kuriose įvyko duomenų nu­te­kė­ji­mas ir iš kurių jūsų duomenys galėjo būti pavogti. Ši svetainė taip pat leidžia tie­sio­giai pa­tik­rin­ti slap­ta­žo­džius, už­tik­rin­da­ma ano­ni­miš­ku­mą naudojant spe­cia­lias maišymo tech­no­lo­gi­jas.
• „Google“ saugumo pa­tik­ri­ni­mas: „Google“ siūlo in­te­gruo­tą slap­ta­žo­džių tikrinimo funkciją „Chrome“ nar­šyk­lė­je. Naršyklė įspės jus, jei kuris nors iš jūsų išsaugotų slap­ta­žo­džių buvo susijęs su duomenų nu­te­kė­ji­mu. Be to, galite atlikti išsamų saugumo pa­tik­ri­ni­mą per savo „Google“ paskyrą, kuri taip pat nustato silpnus arba pa­kar­to­ti­nai nau­do­ja­mus slap­ta­žo­džius.
• Slap­ta­žo­džių tvar­kyk­lės saugumo funkcijos: Daugelis šiuo­lai­ki­nių slap­ta­žo­džių tvar­kyk­lių siūlo funkciją, lei­džian­čią pa­tik­rin­ti jūsų iš­sau­go­tus slap­ta­žo­džius. Šios priemonės nuskaito silp­ną­sias vietas, pa­kar­to­ti­nį naudojimą ir žinomus saugumo in­ci­den­tus. Tokiu būdu jūs gaunate aiškų vaizdą, kuriuos slap­ta­žo­džius reikia at­nau­jin­ti.

Slap­ta­žo­džio saugumo tik­ri­ni­mas

Be duomenų nu­te­kė­ji­mo tikrinimo, būtina įvertinti savo slap­ta­žo­džių saugumą. Tai padaryti gali padėti daugybė įrankių, kurie įvertina slap­ta­žo­džio ilgį, su­dė­tin­gu­mą ir entropiją (at­si­tik­ti­nu­mą). Šios paslaugos taip pat imituoja, kiek laiko užtruktų įsilaužti į jūsų slap­ta­žo­dį naudojant jėgos ataką. Pa­vyz­džiui, slap­ta­žo­dį „123456“ galima įsilaužti per mažiau nei sekundę, o stip­res­nis slap­ta­žo­dis, pa­vyz­džiui, „X$4g8JwQ!a_%j“, galėtų atlaikyti atakas daugelį metų.

Rankinis tik­ri­ni­mas ir ste­bė­ji­mas

Jei žinote, kad tam tikroje plat­for­mo­je įvyko duomenų nu­te­kė­ji­mas, pa­tik­rin­ki­te, ar turite paskyrą toje plat­for­mo­je. Ne­dels­da­mi pa­kei­s­ki­te slap­ta­žo­džius, ypač jei juos naudojote ir kitose sve­tai­nė­se. Taip pat naudinga sekti ki­ber­ne­ti­nio saugumo naujienas arba plat­for­mas, pa­vyz­džiui, „Reddit“ (pvz., subre­ddi­tą [r/netsec]), kad būtumėte in­for­muo­ti apie naujus duomenų nu­te­kė­ji­mus. Apie saugumo pa­žei­di­mus ten dažnai pranešama anksčiau nei ofi­cia­liais kanalais, todėl galite laiku imtis pre­ven­ci­nių priemonių. Be to, tokios priemonės kaip HIBP siūlo el. pašto pra­ne­ši­mus, kurie įspėja jus, kai jūsų el. pašto adresas atsiranda naujame duomenų nu­te­kė­ji­me.