5. diel - Bezpečnosť hesla - Tvorba hlavných hesiel
V predchádzajúcej lekcii, Bezpečnosť hesla - Správcovia hesiel , sme sa dozvedeli, k čomu sú nám správcovia hesiel a akého by sme si mali zvoliť.
V dnešnom tutoriále o kybernetickej bezpečnosti budeme pokračovať v téme správy hesiel. Tentoraz zameriame svoju pozornosť na hlavné heslá. V závere potom ešte spomenieme nedostatky či limity využitia správcov hesiel.
Tvorba hlavných hesiel
Hoci vlastné heslá na konkrétne účely máme bezpečne vygenerované (tj dlhé a náhodné) pomocou správcu hesiel, musíme tiež stvoriť a zapamätať si! heslo/heslá hlavné. Samozrejme by bolo najbezpečnejšie zapamätať si aj nejaké náhodne vygenerované heslo. Pokiaľ ale nie ste profesionál, pracujúci s vysoko utajovanými informáciami, asi sa vám nebude chcieť investovať toľko času do jeho spoľahlivého (na)učenia. Okrem toho, ako uvidíme ďalej, sa najskôr nezaobídeme bez toho, aby sme sa ich museli naučiť rovnako niekoľko – aj keď budeme používať správcu hesiel.
Osvedčená technika tvorby hesla
Metód, ako relatívne bezpečné a pritom rozumne zapamätateľné heslo vytvoriť, existuje samozrejme viac, my si vystačíme s touto starou a osvedčenou:
Spomeňte si na nejakú vetu – z románu, filmu, obľúbenej riekanky alebo vtipu, ktorú určite nezabudnete, pretože si ju (aspoň približne) pamätáte už teraz. K tomu nejaké číslo. Voľte ale niečo, čo nevykladáte každý deň a každému a nie je to o vás bežne známe – hlavne nie veci ako sú mená, dátumy narodenia, čísla domov, vaše telefónne číslo alebo číslo vašich blízkych! Neponáhľajte sa, pokojne si to pár dní rozmýšľajte.
Z prvých písmen (druhých, tretích, s háčikom, čiarkou, samohlások, spoluhlások – jednoducho aký algoritmus vás napadne) potom začnite tvoriť heslo, s tým, že ho prekladáte číslicami, meníte veľkosť písmen, prípadne „okoreníme“ nejakým špeciálnym znakom (ak to chcete alebo ak to od vás vyžaduje bezpečnostná politika systému, pre ktorý ho tvoríte).
Ukážme si to na príklade. Povedzme, že si zvolíme nasledujúce vety (z „policajných skúšok“ nemenovaného programu – to určite nezabudnem:) ):
„Na pasce sa pasie biely, celý biely kôň. Akú farbu má biely kôň?“ ak tomu číslo 4449. Aj keď len jednoducho vezmeme prvé písmenká a zachováme veľkosť znakov aj interpunkciu (predstavivosti pri jeho odvodení sa ale samozrejme medze nekladú:) ) a potom preložíme číslom 4449, dostaneme:
4Npspb4,cbk4.Jbmbk9?
Čo je celkom slušné 20-znakové heslo. Možno to vyzerá zložito, ale rozhodne si to takto zapamätáme oveľa lepšie, než bez uvedenej „nápovedy“. Navyše, pokiaľ si nebudeme istí, môžeme si ho prípadne skúsiť znova odvodiť.
Na bezpečné zapamätanie je ale vždy nutné, aby sme heslo aspoň 3x týždenne niekde skutočne zadávali!
Schémy a varianty hesiel
Ako sme už spomenuli, v skutočnosti budeme potrebovať viac hlavných hesiel – minimálne jedno pre každú úroveň zabezpečenia. Pokiaľ totiž pracujeme so systémom zabezpečeným do úrovne C1 (typicky mobilný telefón), nesmieme na ňom nikdy zadať heslo, chrániace systém s vyššou úrovňou zabezpečenia! (Oproti tomu vyššia úroveň môže obsahovať dáta alebo heslá z úrovní nižších.) Ak teda uvažujeme dve úrovne zabezpečenia (C1 a C2), budeme potrebovať dve hlavné heslá pre dve databázy hesiel.
V praxi k tomu ale ešte pribudne aspoň jedno skrátené heslo alebo PIN pre prihlasovanie do systému a/alebo bankovej aplikácie. A pokiaľ budeme v počítači používať aj kompletne zašifrovaný (systémový) disk (viď ďalšie lekcie), budeme potrebovať ešte boot-time heslo k súborovému systému. To použijeme, kým nám nabehne vlastný systém s prihlásením, aby sme sa vôbec dostali na zadanie hesla pre hlavnú databázu hesiel.
Neodporúčame používať úplne rovnaké heslo k súborovému systému a súčasne k hlavnej databáze hesiel, avšak pokiaľ ide o rovnakú úroveň zabezpečenia, je prípustné použiť heslá odvodené, tj varianty hesla jedného pre danú bezpečnostnú úroveň.
Lepšie to uvidíme zase na ukážke - v tabuľke nižšie uvádzame príklad typickej štruktúry hesiel pre dve bezpečnostné úrovne (C1 napríklad pre mobil a C2 pre osobný počítač):
| # | Určenie hesla | Dĺžka a/alebo príklad hesla |
|---|---|---|
| 1 | Heslo pre systémy C1 (mobilný telefón a databáza hesiel C1) | 8-13 znakov |
| 2.1 | Boot-time variant hesla C2 pre súborový systém | /Npspb/,cbk/.Jbmbk/? |
| 2.2 | Hlavné heslo pre správcov hesiel úrovne C2 | 4Npspb4,cbk4.Jbmbk9? |
| 3 | Prihlásenie do systému (+ biometrické overenie, pokiaľ ide o úroveň C2) | 4-8 znakov / PIN |
| 4 | PIN pre bankové aplikácie (+ biometrické overenie) | 4-6 znakov / PIN |
Správa hesiel pomocou prehliadača
Je veľmi lákavé (presnejšie povedané pohodlné
) nechať správu hesiel priamo na
prehliadači. Všetky prehliadače túto funkciu ponúkajú a - samozrejme -
nič nemôže byť lepšie integrované s prehliadačom, než prehliadač sám:)
Uvážme ale aj nasledujúce:
- Heslá nebudeme potrebovať len v prehliadači, ale tiež napríklad pre dokumenty zabezpečené na úroveň C2 alebo pri podpisovaní elektronickej pošty. Tiež môžeme chcieť používať viac rôznych prehliadačov (napr. TOR browser pre bezpečné prehliadanie alebo iný prehliadač, pokiaľ okrem Windows používame napríklad Linux či macOS). V tom prípade sa nám také zdieľanie hesiel naopak značne skomplikuje.
- Väčšina prehliadačov má uzavretý (neverejný, a teda všeobecne neskontrolovateľný) kód a naše heslá ukladá niekam na servery poskytovateľa daného softvéru. My mu potom musíme dôverovať, že k nim nemá prístup. A verte mi, že v bezpečnostných otázkach je oveľa lepšia východisková koncepcia skôr nedôverovať – aspoň tam, kde to nie je absolútne nevyhnutné! Výhody koncepcie open source sme už preberali v predchádzajúcich lekciách.
- Prehliadač je sám o sebe z bezpečnostného hľadiska riziková aplikácia a je jednou z najčastejších ciest prieniku malware do systému. Už dávno neslúži len na jednoduché zobrazenie HTML textov. Dnes je to moloch, podobný skôr vlastnému operačnému systému, ktorý navyše vykonáva kód z externe načítaných stránok, do ktorých môže napísať ktokoľvek, čo chce! Otázkou tu nie je, či v ňom nie je chyba, ale len to, kedy sa na ňu príde a ako rýchlo bude opravená. Navyše má väčšinou prístup nielen k sieti, ale aj napríklad k zariadeniam, ako je kamera alebo mikrofón počítača. Je rozhodne bezpečnejšie zveriť svoje heslá malému, prehľadnému, špecializovanému programu, ktorý je od neho oddelený. To sme si tiež už spomenuli, keď sme popisovali princíp oddelenia.
Nedostatky správcov hesiel
Najmä na desktopoch – a tých s Windows zvlášť – u správcov hesiel nie je dostatočne dotiahnutá integrácia do systému, respektíve ich spolupráca s ďalšími aplikáciami. Použiteľne (aj keď tiež nie vždy úplne dokonale) spolupracujú s prehliadačmi, spravidla prostredníctvom pluginov, avšak pokiaľ zabezpečenie hesla naozaj aktívne využívame, citeľne tam chýba priame prepojenie napríklad s office či emailovým klientom.
Druhou vecou, úzko súvisiacou s predchádzajúcou, je potom bezpečnosť takejto inter-aplikačnej komunikácie pri výmene autorizačných informácií. Systémová schránka nie je práve najbezpečnejším riešením, pretože do nej majú prístup aj ostatné aplikácie a nie len pár password manager – aplikácia žiadajúca o konkrétne heslo. Riešenie cez socket (pomenovanú pipe či TCP/IP socket) je samozrejme z tohto hľadiska lepšie, ale aj tu by sme uvítali šifrovaný prenos informácií a nejakú autentizáciu komunikujúcich strán.
Treťou vecou – a tiež súvisiacou s predchádzajúcimi dvoma – je správa a logovanie takýchto žiadostí o citlivé informácie. Než sa odpoveď odošle, mal by password manager voliteľne zobraziť okno, v ktorom by uviedol, komu a akú autorizačnú informáciu posiela, čo by sme potvrdili (či zamietli) jedným kliknutím a mal by o tom existovať záznam v (databázovom) logu pre prípadnú neskoršiu bezpečnostnú analýzu. Povedané skrátka: Dobrý password manager by mal fungovať aj ako autorizačný server.
Na záver by sme si mali uvedomiť, že password manager nie je sám o sebe samo spásnym riešením. Pokiaľ máme v systéme malware, či priamo v boot-time kompromitovaný vlastný operačný systém, potom nás najskôr neochráni ani ten najlepší password manager. Ale o tom už si niečo povieme až v nasledujúcich lekciách.
V ďalšej lekcii, Nastavujeme operačný systém - Užívatelia a prihlasovanie , sa dozvieme, ako správne využívať zabezpečenie na základe užívateľských účtov operačného systému.
