Badacze Microsoftu zalecają, by korzystać w większości z tych samych, łatwych do zapamiętania haseł

Przywykliśmy do czytania komunikatów prasowych od firmzajmujących się bezpieczeństwem IT, w których na wszelkie możliwesposoby podkreśla się, jak ważne jest stosowanie silnych haseł dologowania w witrynach internetowych i jak niebezpieczne jeststosowanie tych samych haseł w różnych witrynach. Zezdroworozsądkowego punktu widzenia ma to sens – napastnik, któryzdobył hasło powiązane z adresem e-mailowym może wypróbować jew innych serwisach, przejmując całą cyfrową tożsamośćużytkownika. Badacze z Microsoftu opublikowali jednak właśnieartykuł, w którym rozprawiają się ze zdroworozsądkowymidogmatami i zalecają wręcz masowe stosowanie słabych haseł.

Dinei Florencio, Cormac Herley (obaj z Microsoft Research) orazPaul van Oorschot (Carleton University, Kanada) to autorzy pracypt. *Password portfolios and the Finite-Effort User: SustainablyManaging Large Numbers of Accounts, *wktórej badają kwestię zarządzania portfolio haseł i podnosząpoważne argumenty przeciwko najlepszym praktykom bezpieczeństwa IT.Ich zdaniem wielokrotne wykorzystywanie tych samych haseł na różnychwitrynach o niewielkim znaczeniu jest koniecznością. Bez tegoużytkownicy nie będą w stanie zapamiętać unikatowych haseł owysokiej entropii, wykorzystywanych do logowania się do witryn okluczowym znaczeniu – np. skrzynki poczty elektronicznej czyserwisu bankowości elektronicznej.

Zdaniem badaczy, strategiebezpieczeństwa dla użytkowników muszą bowiem uwzględniać ichrealne możliwości umysłowe, jak również ogólną niechęć doprzejmowania się takimi kwestiami. Złożoność hasła jestodwrotnie proporcjonalna do szans jego zapamiętania.Nieuwzględniające tego faktu praktyki, takie jak np. zmuszanieużytkowników do regularnej zmiany haseł, przynoszą skutkiodwrotne od zamierzonych – z czasem użytkownicy sięgają poprostsze hasła, które łatwiej im zapamiętać. Co gorsze, nie mateż zgodności co do tego, czym są dobre hasła, czy powinny byćone ciągami pozbawionych znaczenia znaków (w tymniealfanumerycznych), czy też dłuższymi frazami – zdaniami,które łatwo sobie przypomnieć, a które mają jednak wysokąentropię.

Dlatego autorzy pracy radzą, bypogrupować wykorzystywane witryny internetowe według wrażliwościprzechowywanych w nich danych. Serwisy, w których praktycznie niemamy żadnych cennych informacji osobistych, powinny być chronionehasłami w stylu haslo123.Serwisy o kluczowym znaczeniu muszą korzystać z haseł o znaczniewiększej złożoności. Użycie dla witryn z pierwszej grupymocniejszych haseł nie przynosi żadnych korzyści, a wręcz marnujewysiłek umysłowy użytkowników.

Nie jest to jednak całkowiterozwiązanie problemu zarządzania hasłami. Jak sformalizowaćreguły grupowania witryn? Badacze ostrzegają, że arbitralnegrupowanie może zakończyć się konsekwencjami daleko odbiegającymiod oczekiwanych. Przyznają, że pewnym rozwiązaniem może być teżzastosowanie menedżerów haseł, ale i one mają swoje problemy –przede wszystkim podatność na ataki przeprowadzane przez szkodnikidziałające po stronie klienta. W wypadku menedżerów, któreprzechowują dane tylko lokalnie, zwiększamy bezpieczeństwo poprzezmożliwość wykorzystania silniejszych haseł i eliminujemykonieczność wielokrotnego korzystania z tych samych haseł. Tracimyjednak wówczas główną zaletę takich rozwiązań, czyliprzenośność.

Sięgając po menedżery hasełdziałające w chmurze zachowujemy przenośność hasła, aleotwieramy się na nową klasę ataków, wymierzonych w samą usługęw chmurze. Z perspektywy strategii zarządzania portfolio haseł,menedżery takie przypominają posiadanie portfolio z tylko jednągrupą, gdyż jeden skuteczny atak przeciwko hasłu głównemu lubsamej usłudze zagraża wszystkim kontom. O tym, że nie są to tylkoprzemyślenia wynikające z zabaw z algebrą może świadczyćostatniraport poświęcony bezpieczeństwu takich usług jak LastPass,My1Login czy Passwordbox – badacze z Uniwersytetu Kalifornijskiegoznaleźli w większości z nich błędy znacząco ułatwiająceprzeprowadzenie ataku pozwalającego na przejęcie czy wykorzystanieprzechowywanych w nich haseł.

Nie będziemy oczywiścienakłaniać Was teraz do natychmiastowej zmiany wszystkich haseł domniej znaczących serwisów na haslo123.Nie możemy też jednak zanegować realnej wartości odkryć autorówartykułu. Po raz kolejny okazuje się, że bezpieczeństwa w IT nieda się zapewnić za pomocą wprowadzenia kilku prostych praktyk.Bezpieczeństwo jest bowiem procesem, a nie stanem do osiągnięcia –i być może, jako takie, jest w wielu wypadkach niemożliwe doutrzymania.