Masz dziesiątki kont. Być może nawet setki. Sprawdzenie ich wszystkich wymaga wysiłku umysłowego, którego większość ludzi nie jest skłonna udźwignąć. Wynik? Wybierasz ścieżkę najmniejszego oporu. Wybierasz hasło, które jest łatwe do zapamiętania. Używasz tego samego ciągu znaków w pięciu różnych witrynach. Wydaje się to wygodne.
To także koszmar bezpieczeństwa.
Firma zajmująca się cyberbezpieczeństwem NordPass co roku monitoruje to zachowanie. Dane za 2024 r., zebrane na temat naruszeń danych w 44 krajach, pokazują, jak zły stał się ten zwyczaj. Lista najpopularniejszych haseł to cyfrowe cmentarzysko bezpieczeństwa. Oto jak wyglądają najwięksi przestępcy i dlaczego należy natychmiast zaprzestać ich używania.
25 najpopularniejszych haseł w 2024 r
To nie są tylko przypadkowe domysły. Reprezentują leniwe ustawienia domyślne milionów użytkowników. NordPass odkrył te ciągi w wyciekach danych, rejestrując częstotliwość ich użycia.
- 123456 : 1,2 miliona przypadków
- 123456789 : 693 000 przypadków
- 12345678 : 365 000 przypadków
- tajemnica : 339 000 przypadków
- hasło : 196 000 przypadków
- qwerty123 : 144 000 przypadków
- qwerty1 : 138 000 przypadków
- 111111 : 106 000 przypadków
- 123123 : 102 000 przypadków
- 1234567890 : 93 000 przypadków
- qwerty : 92 000 przypadków
- 1234567 : 86 000 przypadków
- 11111111 : 80 000 przypadków
- abc123 : 58 000 przypadków
- iloveyou : 54 000 przypadków
- 123123123 : 51 000 przypadków
- 000000 : 46 000 przypadków
- 00000000 : 45 000 przypadków
- a123456 : 42 000 przypadków
- hasło1 : 41 000 przypadków
- 654321 : 41 000 przypadków
- qwer4321 : 36 000 przypadków
- 1q2w3e4r5t : 35 000 przypadków
- 123456a : 35 000 przypadków
- q1w2e3r4t5y6 : 34 000 przypadków
Spójrz na pierwsze pięć pozycji. Liczby pierwsze. Samo słowo „hasło”. Brzmi to absurdalnie, ale wygoda za każdym razem przewyższa ostrożność.
Dlaczego szablony klawiatur to katastrofa
Przewiń tę listę, a zauważysz wzór. To nie przypadek. Większość tych linii jest zgodna z fizycznym układem klawiatury. Klawisze QWERTY. Kolejne numery.
Jest to katastrofalna awaria bezpieczeństwa.
Hakerzy nie potrzebują zaawansowanej sztucznej inteligencji, aby je zhakować. Używają automatycznych skryptów. Skrypty te przeprowadzają ataki brute-force przy użyciu najpopularniejszych list haseł. Sprawdzają te linie na Twoim koncie w ciągu kilku sekund. Jeśli używasz qwerty123 lub 123456, Twoje konto prawdopodobnie zostało już przejęte, nawet zanim atak zostanie zarejestrowany jako alert.
Nawet „rzeczowniki regularne”, takie jak „sekret” czy „iloveyou”, są słabe. Są to pierwsze słowa wypróbowane w każdym ataku słownikowym. Nie stanowią realnej bariery dla narzędzi zautomatyzowanych.
Pułapka na dane osobowe
Oprócz bezsensownego pisania na klawiaturze istnieje jeszcze jedna kategoria luk. Dotyczy danych osobowych.
Analiza trendów pokazuje, że ludzie używają nazw zwierząt (małpa, smok, jednorożec). Używają nazw sportów (baseball, piłka nożna, piłka nożna). Używają własnych imion, np. „ashley” czy „michael”, często pisanych małymi literami.
Co gorsza, ludzie umieszczają informacje umożliwiające identyfikację w swoich danych uwierzytelniających. Części twojego imienia. Miasto, w którym się urodzili. Rok Twoich urodzin.
Dlaczego jest to niebezpieczne? Ponieważ te dane są publicznie dostępne. Są w sieciach społecznościowych. Znajdują się w starych wyciekach danych. Oszuści mogą je połączyć w ciągu kilku minut. Ktoś, kogo znasz, może być w stanie to odgadnąć, jeśli ma przynajmniej mgliste pojęcie o Twoim życiu.
Kluczowy wniosek : Każde hasło zawierające identyfikatory osobiste lub popularne frazy jest słabe. Może to być phishing lub zgadywanie przez znajomych.
Jak zbudować silniejszą ochronę
Wniosek z danych za 2024 r. jest jasny. Metody stosowane przez ludzi do tworzenia silnych haseł aktywnie je osłabiają.
Unikaj ciągów w kolejności numerycznej lub alfabetycznej. Unikaj wzorów klawiaturowych. Unikaj rzeczowników pospolitych. A co najważniejsze, unikaj wszelkich danych osobowych.
Silne hasło w niczym nie przypomina listy 25 najlepszych. To powinno być losowe. Powinno być długie. Nie powinno ono istnieć w żadnym słowniku.
Klucz na wynos : Przestań dodawać „1” lub „!” na słabe słowo. To nie pomaga. To
Większość ludzi traktuje swoje cyfrowe życie jak dom z otwartymi drzwiami. Zostawiają otwarte drzwi i włączone światła. Jeśli naprawdę chcesz chronić swoje dane, musisz przestać myśleć jak użytkownik i zacząć myśleć jak cel. Dobra wiadomość jest taka, że narzędzia do tego są bezpłatne. Zła wiadomość jest taka, że większość ludzi je ignoruje, dopóki nie jest za późno.
1. Przestań polegać na pamięci przy tworzeniu haseł
Największym błędem popełnianym przez ludzi jest staranie się o „sprytność” podczas tworzenia haseł. Znacie ten scenariusz. „Hasło 123” jest leniwe. „Lato 2024!” – przewidywalne. Nawet jeśli zmienisz rok lub dodasz symbol, nadal jest to wzór. Ludzki mózg nie radzi sobie dobrze z przypadkowością. On pragnie struktury. Hakerzy uwielbiają strukturę, ponieważ łatwo ją zhakować.
Jedyne naprawdę silne hasło to takie, którego nie znasz.
Przeglądarki internetowe, takie jak Chrome, mogą wygenerować te ciągi znaków. Tworzą długie, chaotyczne kombinacje wielkich i małych liter, cyfr i znaków interpunkcyjnych. Atak brutalną siłą (w którym oprogramowanie wypróbowuje każdą możliwą kombinację) staje się matematycznie niemożliwy przy wystarczającej długości i złożoności.
Ale jest jakiś haczyk? Nie możesz zapamiętać tego hasła.
Więc zapisz to lub zapisz. To prowadzi nas do następnego punktu.
2. Dlaczego wymagane jest uwierzytelnianie dwuskładnikowe
Uwierzytelnianie dwuskładnikowe (2FA) dodaje drugą warstwę weryfikacji. To nie tylko „miły dodatek”. To jest różnica między zepsutym zamkiem a otwartymi drzwiami.
Oto jak to działa. Nawet jeśli haker ukradnie Twoje hasło w wyniku naruszenia danych lub ataku typu phishing, nie będzie mógł się zalogować bez drugiego czynnika. Może to być wiadomość tekstowa wysłana na Twój telefon, kod przesłany e-mailem lub jednorazowy token z aplikacji takiej jak Google Authenticator.
Matematyka jest prosta. Aby uzyskać dostęp, potrzebują zarówno hasła, jak i urządzenia fizycznego. Jeśli mają tylko jedno, a nie drugie, pozostają zablokowane.
„Uwierzytelnianie dwuskładnikowe zwiększa bezpieczeństwo wykładniczo, ponieważ nawet jeśli haker ukradnie Twoje hasło, nie będzie mógł się zalogować, jeśli nie będzie miał dostępu do drugiego konta e-mail lub fizycznego dostępu do Twojego smartfona.”
Tak, dodaje kilka sekund do procesu logowania. Naciśniesz dodatkowy przycisk. Sprawdzasz telefon. Zrób to. Czas zaoszczędzony dzięki zapobieganiu kradzieży tożsamości jest nieograniczony.
3. Pułapka zgadywania danych uwierzytelniających
Używanie tego samego hasła do wszystkich kont to najszybszy sposób na utratę wszystkiego.
Wyobraź sobie, że używasz „MyDogIsMax1” do swojej poczty e-mail, witryny bankowej i handlowej. Jedna z tych witryn zostaje zhakowana. Atakujący przesyłają bazę danych do ciemnej sieci. Nie interesuje ich Twój e-mail. Dbają o Twoje pieniądze.
Używają skryptu. Ten skrypt pobiera to jedno hasło i wypróbowuje je na setkach innych dużych witryn. Nazywa się to upychaniem poświadczeń. Dla nich jest to niewielki wysiłek, ale wysoka nagroda.
Jeśli do każdego konta użyjesz unikalnego hasła, skuteczność takiego ataku spadnie do zera. Jeden wyciek dotyczy tylko jednego konta. Reszta pozostaje bezpieczna. To takie proste.
Dylemat menedżera haseł
Potrzebujesz złożonych, unikalnych haseł. Nie jesteś w stanie zapamiętać ich wszystkich. Potrzebujesz narzędzia.
Pojawia się menedżer haseł. Te aplikacje przechowują Twoje dane uwierzytelniające w zaszyfrowanym magazynie. Wystarczy pamiętać tylko jedno hasło główne. Resztę dopełnia oprogramowanie. Większość nowoczesnych przeglądarek ma wbudowaną tę funkcję. To wygodne. Dane są synchronizowane pomiędzy urządzeniami.
Ale istnieje ryzyko.
Jeśli korzystasz z menedżera haseł w chmurze, Twój skarbiec znajduje się na serwerze. Jeśli ten serwer zostanie zhakowany, Twoje klucze zostaną ujawnione. Jeśli utracisz hasło główne, zostaniesz zablokowany na zawsze, chyba że masz plan odzyskiwania.
Aby zapewnić maksymalne bezpieczeństwo, szukaj samodzielnych rozwiązań. Niektóre menedżery haseł przechowują dane tylko na komputerze lokalnym. Brak synchronizacji w chmurze. Brak serwera zdalnego. Istnieją nawet urządzenia sprzętowe, które wyglądają jak dyski flash lub kalkulatory. Nie mają połączenia z Internetem. Są izolowane zgodnie z projektem.
„Najbezpieczniejsi menedżerowie przechowują hasła tylko na komputerze lokalnym, a nie na żadnym serwerze”.
Jeśli wybierzesz opcję offline, musisz pamiętać swoje hasło główne. Zapisz to na papierze. Ukryj to w sejfie. Nie umieszczaj go w pobliżu komputera. Nie zapisuj go w pliku tekstowym na pulpicie. Bezpieczeństwo fizyczne ma znaczenie, gdy bezpieczeństwo cyfrowe ma charakter lokalny.
Starożytne korzenie współczesnych tajemnic
Nie jesteśmy pierwszymi, którzy martwią się szpiegami i tajemnicami. Szyfrowanie nie jest wynalazkiem nowoczesnym. To sięga tysięcy lat wstecz.
Najwcześniejszy znany przykład pojawia się w starożytnych Indiach około 300 roku p.n.e. Arthaśastra, hinduski traktat o rządzie, opisuje wykorzystanie zaszyfrowanych wiadomości przez żołnierzy i szpiegów. Musieli przekazywać informacje, aby wrogowie nie mogli ich przeczytać. Używali szyfrów podstawieniowych. Zmienili znaczenie liter.
Dziś używamy tej samej logiki. Po prostu używamy szybszych komputerów i bardziej złożonej matematyki. Zasada pozostaje ta sama. Ukryj znaczenie. Chroń klucz.
Możesz nadal używać tego samego hasła, którego używałeś w 2015 roku. Możesz też użyć losowego ciągu, uwierzytelniania dwuskładnikowego i unikalnego miejsca na dane. Wybór należy do Ciebie. Hakerzy czekają.
