Michał Rosiak 
123456. Masakra. Od kiedy pamiętam, we wszelkich podsumowaniach wycieków haseł, to 123456 było najpopularniejsze. Dlatego zaintrygowały mnie badania firmy NordPass, gdzie przyjrzano się bardzo konkretnym ofiarom wycieków - menedżerom wysokiego szczebla.
Wyniki badań nie precyzują jak duże wycieki badano. Jednak fakt, iż do najpopularniejszych krajów, Wlk. Brytanii i Francji, przynależy odpowiednio 600 mln i 220 mln rekordów, daje pojęcie nt. wielkości bazy. Może to sugerować, iż liczy ona nawet miliard rekordów. Tym niemniej badacze skupili się tylko na jej części. Dokładnie na czterech grupach - CEOs, pozostałych menedżerach "poziomu C", właścicielach biznesowych i pozostałym użytkownikom na poziomie menedżera. Wyniki? Cóż, jak należało się spodziewać - zatrważające.
Menedżer też człowiek...
...i robi takie same błędy jak inni. Ale żeby aż tak? Tytuł tego tekstu nie bez przyczyny jest właśnie taki, bowiem
w każdej z analizowanych grup najpopularniejszym hasłem było 123456
Na drugim miejscu znalazło się hasło "password", a trzecie różniło się już w zależności od grup. W przypadku "C" było to 12345, pozostali "zadbali o bezpieczeństwo" do tego stopnia, by używać dziewięciu, a nie pięciu kolejnych cyfr...
Zastanawiam się nad przyczyną tak skrajnej niefrasobliwości, bo to jedyne słowo, które nasuwa się w tej sytuacji na myśl. Występując czasami z prezentacji świadomościowymi, czy to wewnętrznie, czy zewnętrznie, mówię, że dla wykradzenia tajnych danych z firmy nie trzeba wkradać się na konta top managementu. Wystarczy słabe hasło zwykłego pracownika, a potem zły człowiek będzie już hulał po sieci. Kłopot (dla złodzieja) jest jednak znacznie mniejszy, skoro wystarczy spróbować odgadnąć login prezesa i wpisać 123456. A w badanej próbce takiego "hasła" użyto przeszło 220 tysięcy razy!
Jak nie wymyślać haseł, czyli Tiffany Smok
Oczywiście na cyfrach się nie kończy. Tradycyjnie imiona partnerów, czy dzieci też cieszą się sporą popularnością (przeszło 100 tysięcy Tiffany). Przeszło 11 tys. małp (Monkey) i smoków (Dragon) już mnie trochę zaskoczyło. welcome, qwerty (serio?), never, sunshine, iloveyou czy linkedin (też jesteście ciekawi, jakie wycieki analizowano?) też pojawiały się dość często. Wśród najpopularniejszych znalazło się nawet f*ckyou (wiecie jaką literę wstawić zamiast gwiazdki, mnie nie wypada). W próbce znaleźli się też "wielbiciele hakingu", z występującym ponad 82 tysiące razy N0=Acc3ss.
Dlaczego te wszystkie hasła są złe? Bo znajdują się w słownikach, służących do łamania haseł, bądź po prostu łatwo je maszynowo odgadnąć metodą brutalnej siły (brute force, próbowanie kolejnych kombinacji). Przy próbie złamania większość z nich padnie w ułamku sekundy. A wraz z nimi - szczególnie w przypadku grupy, o której mowa - pojawi się olbrzymie ryzyko naprawdę dużych konsekwencji.
Co zamiast 123456?
O tym jak tworzyć bezpieczne hasło pisałem na blogu wielokrotnie. Polecam też zajrzeć na stronę CERT Orange Polska. Są to zasady, które powinien sobie wziąć do serca każdy, niezależnie od stanowiska pracy. Dobrym pomysłem jest też okresowe testowanie firmowych haseł pod kątem wyrażeń słownikowych. I oczywiście wymuszanie ich zmiany, jeśli okazują się zbyt łatwe. A ponieważ łatwe hasła, czy też używanie tego samego hasła w różnych miejscach, to tylko jedne z kluczowych czynników ryzyka, warto też przeprowadzać czasem kontrolowane wewnętrzne ataki phishingowe. Nic tak nie uczy pokory jak sytuacja, gdy po wpisaniu loginu i hasła na przecież-dobrą-wcale-nie-fałszywą-stronę oglądamy informację, że właśnie padliśmy ofiarą phishingu. Niezależnie od zajmowanego stanowiska :) Z dwojga złego lepiej dostać bezkrwawo od swoich. W końcu jak mawia dewiza Navy Seals:
Im więcej potu na ćwiczeniach, tym mniej krwi w boju!
Karol Owczarek 
Wojtek Jabczyński 
Komentarze
Jak można być tak niefrasobliwym żeby hasło mieć 123456? Przecież wiadomo że o wiele trudniejsze jest 654321! 🙂
OdpowiedzChciałbym zwrócić uwagę na drugą stronę tego medalu. Tworzenie haseł bardzo bezpiecznych – a więc bardzo skomplikowanych i bardzo nieoczywistych – także wiąże się z problemem: takie hasła znacznie trudniej zapamiętać. A skoro trudno je zapamiętać, to pojawiają się dwa problemy:
– częste zapominanie hasła, wymuszające jego resetowanie (strata czasu, kłopoty, utrudnienia w pracy)
albo
– konieczność zapisywania haseł, czy to w komputerze / telefonie, czy na karteczkach, co także zwiększa ryzyko wycieku hasła i jego dostania się w niepowołane ręce…
OdpowiedzMożna stworzyć hasło trudne i jednocześnie łatwe do zapamiętania. W tekście jest link do strony CERT Orange Polska, tam podrzucam pomysł takiego hasła.
OdpowiedzDlatego najlepszym hasłem jest odcisk naszego paluszka ?
OdpowiedzNiech Ci się paluszek gdzieś przetnie nie daj Boże!… I co – palec w głębokiej… 😉
OdpowiedzMhm….zawsze jest ryzyko, ale piątego palca jeszcze jakoś nigdy nie skaleczyłem. Kciuk, pierwszy, drugi tak, ale piąty moim zdaniem najbezpieczniejszy ?
OdpowiedzHasła to trudny temat wiadomo im bardziej skomplikowane tym bardziej czujemy sie bezpieczniej.Uważam jednak że jest za dużo haseł a na obecna chwile jest ich mnóstwo to tam to tu i owcie po prostu aby ułatwic sobie fakt pablo_ck określa że odcisk palca byłby na miejscu wydaje mi sie że ta opcja byłaby najlepszym rozwiązaniem co jeśli uszkodzimy sobie naskórek to wtedy bedzie duży problem.Oczywiście Michale notka jak zawsze super duzo pisz o takich rzeczach które sa bardzo potrzebne.
Odpowiedz