Bezpieczni w sieci z OSE: silne hasła i uwierzytelnianie dwuskładnikowe

Pierwszy czwartek maja to ważny dzień dla wszystkich, którzy interesują się bezpieczeństwem online – obchodzimy wtedy Światowy Dzień Hasła. Każdy, kto loguje się do internetowych kont, korzysta ze skrzynki e-mailowej czy ma dostęp do bankowości elektronicznej, dobrze wie, że hasło jest w sieci (i nie tylko!) naszym podstawowym zabezpieczeniem. Korzystając z okazji, przypominamy Wam rekomendacje CERT Polska dotyczące tworzenia silnych haseł i zachęcamy do wzmocnienia ochrony wszystkich Waszych kont!

Sezamie, otwórz się

Hasło strzegące dostępu do naszych cyfrowych urządzeń oraz różnego rodzaju kont w internecie jest jak klucz do skarbca. Pełni bardzo ważną rolę: chroni nasze poufne dane (i środki na koncie) przed kradzieżą czy niepowołanym dostępem. Warto więc poświęcić chwilę i wymyślić hasła, które będą możliwie najskuteczniejszym szyfrem. Co trzeba wiedzieć?

1. Jeden serwis = jedno hasło. Pamiętajcie o tym, by używać unikalnych haseł do wszystkich swoich kont. W przeciwnym razie, gdy hasło zostanie wykradzione, stracicie dostęp do wszystkich kont jednocześnie. To bardzo niebezpieczne!
2. Łatwe do zapamiętania, niemożliwe do odgadnięcia. Silny szyfr składa się z minimum 12 znaków, ale nic nie stoi na przeszkodzie, by używać nawet… całych zdań. Unikajcie jednak cytatów czy powiedzeń! Możecie za to wykorzystać je jako inspirację i sprytnie je zmodyfikować, np. WlazlKostekNaMostekIStuka. Siłę hasła zwiększy też wymiana jednego z użytych słów na jego obcojęzyczny odpowiednik, np. DwaBialeLatajaceSophisticatedKroliki. Warto wiedzieć, że jeżeli hasło jest długą, kilkuwyrazową frazą, nie musi już zawierać znaków specjalnych czy wielkich liter.
3. Nie dla oczywistych ciągów znaków… Silne hasło nie może zawierać prywatnych informacji o nas samych – nie używajcie ważnych dla siebie dat, imion, nazwy firmy czy usługi, do której się logujecie. Unikajcie też prostych do odgadnięcia sekwencji kolejnych liter czy liczb (np. „abcd”, „12345”), również tych zamieszczonych obok siebie na klawiaturze, jak „qwerty”, „vbnm”, a także powtarzających się znaków, np. „bbbb2bbb” i oczywistych wyrażeń typu „haslo”, „password”, „wpuscmnie”. To samo tyczy się też haseł blokady ekranu naszych urządzeń!
4. … i pozornie silnych haseł. Uważajcie też na hasła pozornie silne, takie jak Galwaniczny123$ czy admin.1admin.1admin.1admin.1. Gdy dojdzie do wycieku danych, przestępca łatwo stworzy listę podobnych haseł, co zwiększy jego szasnę na skuteczny atak na usługi czy serwisy, z których korzystacie.

W Światowym Dniu Hasła sprawdźcie koniecznie, czy Wasze zabezpieczenia są dostatecznie silne!

Tajne przez poufne

Wymyślenie silnego hasła to niestety nie wszystko – musimy pamiętać jeszcze o kilku tylko pozornie oczywistych zasadach bezpieczeństwa.

1. Pssst, to sekret! Nigdy nie podawajcie swoich haseł przez telefon, mailem czy podczas rozmowy na komunikatorze. Często się zdarza, że cyberprzestępcy podszywają się pod różne osoby i instytucje, np. pracowników pomocy technicznej, i proszą o podanie im swoich danych logowania i hasła. Wiarygodne instytucje i witryny nigdy nie proszą użytkowników o podawanie takich danych w mailu lub przez telefon! Unikajcie też zapisywania haseł np. w kalendarzach, notesach czy karteczkach noszonych w portfelu.
2. Oczy dookoła głowy. Zawsze uważajcie, kiedy i gdzie korzystacie z haseł – nie logujcie się do swoich kont na cudzym sprzęcie i zwracajcie uwagę, czy w trakcie wpisywania hasła ktoś nie zagląda Wam przez ramię. Miejcie się na baczności także np. w komunikacji miejskiej: wystarczy chwila nieuwagi, a sprytny wzrok złodzieja prześledzi ruch palca odblokowujący ekran smartfona albo wyłapie hasło do aplikacji bankowości mobilnej!
3. Czy moje hasło wyciekło? Zdarza się, że bazy danych (zgromadzone np. w serwisach zakupowych czy bankach) wyciekają, a więc stają się publicznie dostępne. Możecie sprawdzić, czy Wasze dane logowania i inne prywatne informacje nie dostały się w ręce cyberprzestęp­ców – wejdźcie np. na stronę haveibeenpwned.com i wpiszcie tam swój adres e-mailowy. Warto to robić regularnie! Jeśli doszło do wycieku, koniecznie zmieńcie hasło we wskazanych serwisach, a także wszędzie, gdzie używaliście podobnego zabezpieczenia.
4. Bezpieczne urządzenie – bezpieczne hasło. Pamiętajcie też o podstawowych zasadach cyberhigieny. Bieżące aktualizacje systemu operacyjnego, programu antywirusowego czy przeglądarki internetowej pozwolą zwiększyć ochronę Waszych urządzeń i danych przed nieuprawnionym dostępem.

Za dużo haseł?

To prawda: zapamiętanie wielu długich, różnych haseł może być trudne, dlatego warto skorzystać z pomocy… technologii. Mamy do wyboru dwie możliwości.

Jednym z narzędzi ułatwiających radzenie sobie z dużą liczbą kont i danych dostępowych są menedżery haseł, czyli programy do zarządzania hasłami. Mogą one występować w formie programów instalowanych na komputerze, aplikacji na telefon czy wtyczek/dodatków do przeglądarki internetowej. Ich zadaniem jest umożliwienie bezpiecznego przechowywania haseł, dzięki czemu my – użytkownicy – nie musimy ich zapamiętywać. Menedżery pozwalają również na generowanie haseł, a także umożliwiają automatyczne wpisanie hasła, gdy zajdzie potrzeba uwierzytelnienia się.

Drugim rozwiązaniem są technologie znane jako dostawcy tożsamości (ang. identity providers). Mechanizmy te umożliwiają stworzenie jednego miejsca zarządzającego tożsamościami i udostępnianie ich innym usługom, by potwierdzić tożsamość użytkowników. Przykład? Często spotykany obecnie mechanizm OAuth. Dzięki niemu możemy zalogować się np. do konta na platformie streamingowej, używając konta pocztowego lub w portalu społecznościowym. Wystarczy jedno kliknięcie – wygodne, prawda?

Podwójne zabezpieczenie

W wielu przypadkach silne hasło może się okazać niewystarczające, zwłaszcza jeśli myślimy o naszych najważniejszych kontach. Na szczęście z pomocą po raz kolejny przychodzi nam technologia, a w tym przypadku – uwierzytelnianie dwuskładnikowe (ang. Two Factor Authenticaton, 2FA).

To funkcja zabezpieczeń, która pomaga chronić konta – bankowości elektronicznej, pocztowe i w mediach społecznościowych – oraz hasła do nich. Po skonfigurowaniu uwierzytelniania dwuskładnikowego za każdym razem podczas logowania będziemy wprowadzać hasło, a także specjalny kod lub inny składnik. Co ważne, jest on znany tylko nam, zatem nawet jeśli hasło wycieknie lub zostanie wykradzione, cyberprzestępca nie włamie się na nasze konto.

Co może być tym drugim składnikiem?

1. Jednorazowe kody wysyłane SMS-em. Karty-zdrapki, których używaliśmy, chcąc zrobić przelew, to już przeżytek. Teraz ich funkcję przejęły jednorazowe kody wysyłane SMS-em. To najprostszy rodzaj dwuskładnikowej weryfikacji – wymaga jedynie podania swojego numeru komórkowego.
2. Generator kodów w aplikacji w oparciu o standard TOTP (ang. Time-based One-time Password Algorithm). Ta metoda działa podobnie jak kody w SMS-ach, tutaj jednak jednorazowe hasło musimy przepisać ze specjalnej aplikacji zainstalowanej na naszym urządzeniu mobilnym.
3. Klucz sprzętowy. To osobne urządzenie, które mamy zawsze przy sobie. Taki token pozwala potwierdzić, że to właśnie my próbujemy zalogować się do danego urządzenia, serwisu czy aplikacji.
4. Drugim składnikiem może być nie tylko „coś, co znasz” i „coś, co posiadasz” – czyli dodatkowe kody i klucz sprzętowy, ale także „to, czym jesteś”. Jako dodatkową weryfikację coraz częściej stosujemy zabezpieczenia biometryczne: odcisk palca, skan twarzy czy obraz tęczówki, których przecież nie da się ukraść ani podrobić.

Więcej szczegółowych podpowiedzi znajdziecie w artykule „Kompleksowo o hasłach” oraz materiałach i plakatach informacyjnych przygotowanych przez CERT Polska, a także w naszym poradniku „ABC cyberbezpieczeństwa”: