Hasło 123456 i „duński PESEL” stoi otworem

Przez ostatnią dekadę widziałem w sieci tysiące źródeł edukujących o tym, jak tworzyć bezpieczne hasła. Pół żartem pół serio mogę powiedzieć, że ludzie którzy i tak omijają te zalecenia dają mi pracę. Niestety to przestaje być śmiesznie, gdy wyciekają dane 11 mln obywateli! Spokojnie - Danii, nie Polski. Jak zobaczycie przyczynę, ręce same opadają.

Jak uzyskano nieautoryzowany dostęp do "duńskiego PESEL" i wywołano przeszło 10 mln zapytań? Nie bezpośrednio, ale z konta firmy posiadającej legalny dostęp do systemu CPR (Central Population Register, Centralny Rejestr Populacji). A jak osoby niepowołane dostały się firmowej sieci?

Trzy konta jej użytkowników - w tym jedno z uprawnieniami administratora - miały hasło... 123456

Tak wyjaśniła duńskim mediom osoba podająca się za sprawcę, dodając jednocześnie, że jej celem nie była sprzedaż ani upublicznienie danych. Nie wiadomo jeszcze jakie są decyzje w związku z nieautoryzowanym dostępem, ale to nas nie interesuje. To tylko stawiający dęba włosy na głowie pokaz niefrasobliwości, dzięki któremu może znajdziecie chwilę, by się zastanowić...

Jak wygląda Twoje hasło

Paradoksalnie najlepiej, gdy nie istnieje. Oczywiście tylko w konkretnych przypadkach. Jak wtedy, gdy logujesz się gdzieś kontem Google i nie pokazuje Ci się monit o hasło a zamiast tego widzisz prośbę o potwierdzenie na telefonie, że to Ty. To - jak mawia młodzież - #najlepiej. Nikt Ci nie wykradnie hasła, bo nigdzie go nie wpisujesz. A telefon masz przy sobie i jeśli blokujesz go biometrią, czy trudnym PIN-em, bądź hasłem - to w taki sposób zalogujesz się tylko Ty.

Co jednak, gdy system wymaga hasła? No na pewno nie rób jak znaczna część Polek i Polaków:

• 123456
• 123456789
• polska
• admin
• misiek

Te pożal się Boże "hasła" od lat stanowią czołówkę w bazujących na wyciekach raportach z różnych źródeł. I uwaga - zaq12wsx wcale nie jest trudnym hasłem. Jeśli się ze mną nie zgadzasz, spójrz na swoją klawiaturę.

Przede wszystkim długie

Jeśli regularnie czytasz bloga, być może pomyślisz:

Widziałam/em już to. Powtarzasz się!

Przecież wiem. Ale wiem też, że wciąż zbyt wiele osób używa - wybaczcie być może przesadną szczerość - idiotycznych haseł. Wykorzystuje te same hasła w wielu miejscach. Polecam poczytać o atakach credential stuffing - jeden wyciek oznacza sprawdzenie tej samej pary login + hasło we wszystkich najpopularniejszych serwisach. Dlatego nigdy nie ma złej chwili, by przypomnieć o higienie haseł.

Najważniejsze, aby były niepowtarzalne i długie. Ale naprawdę długie. Na przykład do banku mam 20-znakowe wyłącznie dlatego, że system mojego banku... nie pozwala na więcej! Hasło, które ma co najmniej 15 znaków i jest nieoczywiste - zawiera słowa ułożone w zwroty, których nie znajdziesz w słowniku - ogranicza ryzyko jego złamania niemal do zera. Dlaczego? Przetestowanie wszystkich wariantów jeden po drugim zajmuje ogromną ilość zasobów. Po co przestępcy mają to robić, skoro mają nisko wiszące owoce w rodzaju 123456 i "silnego" zaq12wsx. A co jeśli wszyscy zaczną nagle zachowywać się mądrze? To przestępcy będą mieli problem. Czyż nie o to chodzi?

Pamiętajcie też o uwierzytelnianiu dwuskładnikowym. Włączajcie je wszędzie, gdzie możecie. Najwyraźniej duński CPR go nie wymagał.

Najświeższe wiadomości o cyberbezpieczeństwie znajdziecie na stronie CERT Orange Polska oraz na Twitterze (konsekwentnie odmawiam nazywania go X) naszego zespołu!