123456 i „duński PESEL” stoi otworem

Przez ostatnią dekadę widziałem w sieci co najmniej tysiące źródeł edukujących o tym, jak tworzyć bezpieczne hasła. Pół żartem można by rzec, że ludzie którzy i tak omijają te zalecenia poniekąd dają mi pracę. Śmiesznie przestaje być, gdy wyciekają dane, dotyczące 11 mln obywateli! Spokojnie - Danii, nie Polski. Ale, gdy zobaczy się przyczynę, ręce opadają tak samo.

Jak uzyskano nieautoryzowany dostęp do "duńskiego PESEL" i wywołano przeszło 10 mln zapytań? Nie bezpośrednio, lecz z konta firmy posiadającej legalny dostęp do systemu CPR (Central Population Register, Centralny Rejestr Populacji). A jak osoby niepowołane dostały się firmowej sieci?

Trzy konta jej użytkowników - w tym jedno z uprawnieniami administratora - miały hasło... 123456

Tak wyjaśniła duńskim mediom osoba podająca się za sprawcę, dodając jednocześnie, że jej celem nie było sprzedaż ani upublicznienie danych. Nie wiadomo jeszcze jakie decyzje w związku z nieautoryzowanym dostępem, ale to w zasadzie nas nie interesuje. To tylko stawiający dęba włosy na głowie pokaz niefrasobliwości, dzięki któremu może znajdziesz chwilę, by się zastanowić...

Jak wygląda Twoje hasło

Paradoksalnie najlepiej, gdy... nie istnieje. Oczywiście tylko w konkretnych przypadkach. Jak choćby wtedy, gdy logujesz się gdzieś kontem Google i nie pokazuje Ci się monit o hasło a zamiast tego widzisz prośbę o potwierdzenie na telefonie, że to Ty. To - jak mawiał młodzież - #najlepiej. Nikt Ci nie wykradnie hasła, bo nigdzie go nie wpisujesz. A telefon masz przy sobie i jeśli blokujesz go biometrią, czy trudnym PIN-em, bądź hasłem to w taki sposób zalogujesz się tylko Ty.

Co jednak, gdy system wymaga hasła? No na pewno nie rób tak jak - wciąż! - znaczna część Polek i Polaków:

• 123456
• 123456789
• polska
• admin
• misiek

Te pożal się Boże "hasła" od lat stanowią czołówkę w bazujących na wyciekach raportach z różnych źródeł. I nie - zaq12wsx nie jest trudnym hasłem. Jeśli się ze mną nie zgadzasz, spójrz na swoją klawiaturę.

Przede wszystkim długie

Jeśli regularnie czytasz naszego bloga, być może pomyślisz:

Widziałam/em już to. Powtarzasz się!

No ba. Przecież wiem. Ale wiem też, że (zbyt) wiele osób używa - wybaczcie być może przesadną szczerość - idiotycznych haseł. Zbyt wiele osób wykorzystuje te same hasła w wielu miejsach (polecam poczytać o atakach credential stuffing - jeden wyciek oznacza sprawdzenie tej samej pary login+hasło we wszystkich najpopularniejszych serwisach. Dlatego nigdy nie ma złej chwili, by przypomnieć o higienie haseł.

A najważniejsze jest to, bo Twoje hasła chroniące kluczowe/wrażliwe serwisy, były:

• niepowtarzalne
• długie

Ale naprawdę długie. Ja np. do banku mam 20-znakowe wyłącznie dlatego, że system mojego banku... nie pozwala na więcej! Hasło, które ma co najmniej 15 znaków i jest nieoczywiste (zawiera słowa ułożone w zwroty, których nie znajdziesz w słowniku) ogranicza ryzyko jego złamania niemal do zera. Dlaczego? Przetestowanie wszystkich wariantów jeden po drugim zajmuje ogromną ilość zasobów. Po co przestępcy mają je wykorzystywać, skoro mają nisko wiszące owoce w rodzaju 123456 i "silnego" zaq12wsx. A co jeśli wszyscy zaczną nagle zachowywać się mądrze? To przestępcy będą mieli problem. Czyż nie o to chodzi?

No i pamiętaj o uwierzytelnianiu dwuskładnikowym. Włączaj je wszędzie, gdzie możesz. Najwyraźniej duński CPR go nie wymagał.

I pamiętaj, że najświeższe wiadomości o cyberbezpieczeństwie znajdziesz na stronie CERT Orange Polska oraz na Twitterze (konsekwentnie odmawiam nazywania go X-em) naszego zespołu!