Nem vagyunk eléggé elővigyázatosak a jelszavak kiválasztásakor II.

2018. december 10.

Nem fordítunk kellő figyelmet a megfelelő jelszó kiválasztására – ez derül ki abból az online kutatásból, amelyet cikkünk előző részében mutattunk be. A következő részében, Makay Kálmán, a nagyvállalati környezetek informatikai rendszereinek biztonsági specialistája hívja fel a figyelmet a jelszóbiztonság legfontosabb kérdéseire.

Amióta a jelszavak léteznek a hozzáféréseknek értéke van - legyen szó banki hozzáférésről egészen a levelező rendszereken át a webshopokig. A felhasználói fiók nem csak a hozzáférés tulajdonosának érték, hanem a bűnözőknek is, ezért elengedhetetlen, hogy minden egyes rendszerben más-más jelszót használjunk.

Miért fontos, hogy különbözzenek a jelszavaink? – teszi fel a kérdést a szakember. Lehetünk bármilyen gondosak a jelszó generálással kapcsolatban, ha a túloldalon a jelszó titkosítatlan adatbázisban tárolódnak, könnyen áldozattá válhatunk. Ha az internetes bűnözők ellopják ezt az adatbázist, akkor számíthatunk arra, hogy a populáris rendszerekbe (Facebook, LinkedIn, Paypal stb.), ahol egyébként titkosítva és megfelelő gondossággal védik a rendszereket, megpróbálnak a nevünkben bejelentkezni és szó szerint meg akarnak minket lopni.

Napjaink extrém példája, hogy 1-1 kiszivárgott adatbázisból adathalászok kinyerik az e-mail címet, a hozzá tartozó jelszót. Ezeket az információkat felhasználva levelet küldenek az áldozatnak: tájékoztatják az illetőt, hogy hosszú ideje megfigyelés alatt áll, felvették minden aktivitását webkamerán keresztül és ha nem fizet, akkor publikálják. Ez egy elég aljas módszer és sajnos voltak, akik fizettek is a "semmiért". Valójában nem történt semmi, de a levél szövege és a visszaköszönő jelszó elég hatásos volt, hogy az áldozatokat megtévesszék.

Számos szolgáltató cég - vagy saját hibából tanulva vagy a piaci trendeknek megfelelően - bevezette az ún. kétfaktoros azonosítás lehetőségét. Ez azt jelenti, hogy miután sikeresen megadtuk a felhasználónevünket és jelszavunkat (első faktor), ezt követően kapunk egy e-mailt vagy SMS-t, amelyben egy egyedileg és csak néhány percig érvényes jelszót kell beírnunk (második faktor) az adott rendszer felületén. Bizonyos esetekben az ujjlenyomatunkat is meg tudjuk adni második faktorként. A kétfaktoros azonosítás legnagyobb előnye, hogy meg lehet akadályozni az illetéktelen belépést, ha valaki ellopja a jelszavunkat és megpróbál bejelentkezni. De csak majdnem...

Makay szerint fontos, hogy ne legyen hamis biztonságérzetünk ezzel kapcsolatban! Előfordulhat, hogy olyan publikus wifi hálózatot használunk, ahol egy céges környezetben teljesen legális módszerrel lehallgatják és letárolják a böngészőnek küldött sütiket (cookies). A sütik biztosítják azt, hogy bizonyos időn belül, ha újra és újra megnyitjuk az oldalt, akkor nem kell újra azonosítani magunkat, hanem rögtön tudjuk használni a rendszert. Mindezt a felhasználók kényelméért természetesen.

Ezeket a sütiket felhasználva a bűnözők meg tudják kerülni a teljes azonosítási lépéssort: nem kell megadniuk a felhasználónevet, jelszót és a második faktor sem szükséges. Kvázi olyan, mintha mi nyitottuk volna meg újra a böngészőnket. Szerencsére kritikus műveleteknél (banki műveletek) be kell írni a jelszót, tehát védettek lehetünk a szolgáltató által. Ettől függetlenül legyünk óvatosak az ismeretlen wifi hálózatokkal és idegen eszközönél, ha azokon kell bejelentkeznünk.

A védekezés elég komplex: a böngészőbeállításoknál kezdődik és ott végződik, hogy milyen wifi hálózatot használunk. Az alábbiakban megtalálható kilenc javaslat segít abban, hogy eredményesebben védekezzünk az internetes bűnözők támadásai ellen.

1. Kizárólag megbízható hálózatokra csatlakozzunk. Kerüljük a nyílt, vagy számunkra ismeretlen wifi hálózatok használatát, mivel azok nem biztonságosak.

2. Figyeljünk oda, hogy az eszközeinkre milyen alkalmazást telepítünk és az mihez fér hozzá.

3. Jelszavaink legyenek egyediek. Egyes böngészők már segítenek abban is, hogy automatikusan komplex jelszavakat generálnak, amit be is tudnak illeszteni az új jelszó mezőbe.

4. Ha idegen gépen jelentkezünk be a rendszerekbe, akkor ne felejtsünk el kijelentkezni. Különösen kritikus rendszerekbe (pl. banki felületek) inkább ne is lépjünk be, csak ha tényleg muszály.

5. Ahol csak lehet aktiváljuk a kétfaktoros azonosítást, de ettől még ne érezzük magunkat biztonságban: időről-időre nézzük át milyen helyekről történt a nevünkben bejelentkezés és szükség szerint léptessük ki az ismeretlen helyeket.

6. A közösségi oldalakon és a Google rendszereknél óvakodjuk attól, hogy ismeretlen vagy megbízhatatlan alkalmazásoknak jogosultságot adjunk arra, hogy az adatlapunkhoz és alap információinkhoz hozzáférjenek. Mindig lebegjen a szemünk előtt, hogy az applikációk nem ingyen dolgoznak nekünk, valamit kell adnunk nekik cserébe.

7. Idegen eszközön állítsuk be úgy a böngészőt, hogy annak a bezárásakor a sütik automatikusan törlődjenek.

8. Ne írjuk be olyan weboldalon, amely csak formájában hasonlít az eredeti weboldalra, mert könnyen adathalászat áldozatai lehetünk.

9. A legfontosabb: ne adjuk ki senkinek a jelszavunkat. Ne mondjuk el rokonnak, ismerősnek vagy kollégának. A jelszó a miénk. Minket azonosít, nem mást.

A fenti jótanácsok alkalmazásán túl, a Digitális Immunerősító Program kezdeményezésére nemrégiben kidolgozott 116 pontból álló javaslatcsomag áttanulmányozása is segíthet a digitális immunrendszer kialakulásában és ezáltal az internetes bűncselekmények elkerülésében.

 

(Illusztráció: www.freepik.com)