IV.

Πώς να κάνετε τους κωδικούς σας πρόσβασης ασφαλέστερους

Το βασικό συμπέρασμα όσον αφορά τους κωδικούς πρόσβασης είναι ότι θα πρέπει να προτιμάτε μεγαλύτερους κωδικούς πρόσβασης. Η συνήθης σύσταση είναι τουλάχιστον 15 χαρακτήρες. Επίσης, δεν πρέπει να χρησιμοποιείτε τους ίδιους κωδικούς πρόσβασης σε διάφορους δικτυακούς τόπους. Αν χρησιμοποιείτε τον ίδιο κωδικό πρόσβασής σας σε πολλούς δικτυακούς τόπους και προκύψει διαρροή ή παραβιαστεί, τι εμποδίζει τους επιτιθέμενους να συνδεθούν σε άλλους δικτυακούς τόπους με τον ίδιο κωδικό πρόσβασης;

Πώς να κάνετε ευκολότερη την απομνημόνευση μοναδικών κωδικών πρόσβασης

Η απομνημόνευση πολλών μοναδικών κωδικών πρόσβασης είναι δύσκολη. Πολλοί που χρησιμοποιούν μοναδικούς κωδικούς πρόσβασης, τους αποθηκεύουν σημειώνοντάς τους ψηφιακά, σε σημειωματάριο ή σε ένα κομμάτι χαρτί. Αν κάποιος είχε πρόσβαση στις σημειώσεις, θα μπορούσε να συνδεθεί σε όλους τους δικτυακούς τόπους που έχετε αποθηκεύσει. Πώς θα καταφέρνατε να τον αποτρέψετε;

Προγράμματα διαχείρισης κωδικών πρόσβασης

Τα προγράμματα διαχείρισης κωδικών πρόσβασης είναι λογισμικό που καταχωρεί τους κωδικούς πρόσβασής σας και άλλα μυστικά για εσάς. Συνήθως κρυπτογραφούν όλα τα δεδομένα που αποθηκεύετε σε αυτά, επιτρέποντας μόνο σε εσάς να χρησιμοποιήσετε τα αποθηκευμένα δεδομένα. Η ασφάλεια των προγραμμάτων διαχείρισης κωδικών πρόσβασης εξαρτάται, όπως θα δούμε σε επόμενο κεφάλαιο, από το κλειδί και όχι από τον αλγόριθμο που χρησιμοποιείται. Με άλλα λόγια, εάν χάνατε την πρόσβαση στη βάση δεδομένων που περιέχει όλους τους κρυπτογραφημένους κωδικούς σας, κανείς άλλος δεν θα μπορούσε να έχει πρόσβαση σε αυτούς χωρίς το κλειδί.

Η απομνημόνευση ενός μεγάλου κλειδιού δεν είναι δυνατή, οπότε μπορείτε να χρησιμοποιείτε έναν κύριο κωδικό πρόσβασης για να αποκρυπτογραφήσετε το ίδιο το κλειδί, το οποίο στη συνέχεια χρησιμοποιείται για την αποκρυπτογράφηση των δεδομένων. Στην ουσία, το κλειδί είναι εξίσου ασφαλές με τον κύριο κωδικό πρόσβασής σας. Πρόκειται για παραχώρηση για χάρη της χρηστικότητας εις βάρος της πλήρους ασφάλειας. Ένας κύριος κωδικός πρόσβασης είναι ευκολότερος να τον απομνημονεύσουμε από ένα μεγάλο κλειδί που αποτελείται από τυχαία τμήματα. Όμως, ένας κύριος κωδικός πρόσβασης πρέπει να είναι πολύ ασφαλής, άρα πρέπει να είναι μεγάλος και δύσκολος ούτως ώστε να μην τον μαντεύουν (ακόμα κι αν δεν είναι ακατόρθωτο να τον μαντέψουν). Ορισμένα προγράμματα διαχείρισης κωδικών πρόσβασης έχουν άλλα μέσα για την ανάκτηση του λογαριασμού σας, αλλά να είστε προσεκτικοί εάν οι πληροφορίες ανάκτησης αποθηκεύονται με τρόπο που δεν μπορείτε να ελέγξετε, καθώς αυτό σημαίνει ότι όποιος έχει πρόσβαση σε αυτά τα δεδομένα ανάκτησης μπορεί να αποκρυπτογραφήσει τους κωδικούς πρόσβασής σας.

Τα προγράμματα διαχείρισης κωδικών πρόσβασης σας βοηθούν επίσης με τις λειτουργίες τους δημιουργίας ασφαλών κωδικών πρόσβασης προς χρήση από εσάς. Πολλά προγράμματα διαχείρισης κωδικών πρόσβασης σας δείχνουν επίσης τη σχετική ασφάλεια του κωδικού πρόσβασης χρησιμοποιώντας κάτι που μοιάζει με τον υπολογισμό της εντροπίας που εξετάσαμε νωρίτερα. Σχεδόν όλα τα προγράμματα διαχείρισης κωδικών πρόσβασης έχουν προαιρετικές προσθήκες προγράμματος περιήγησης που σας επιτρέπουν να συμπληρώσετε αυτόματα τις πληροφορίες σύνδεσης στους δικτυακούς τόπους που επισκέπτεστε. Τα περισσότερα λειτουργούν επίσης σε πολλές πλατφόρμες κι έτσι μπορείτε να χρησιμοποιείτε την ίδια εφαρμογή στους υπολογιστές, τα tablet και τα κινητά σας τηλέφωνα.

Μια χρήσιμη λειτουργία που διαθέτουν ορισμένα προγράμματα διαχείρισης κωδικών πρόσβασης σας ενημερώνει για τις διαρροές κωδικού πρόσβασης σε δικτυακούς τόπους που χρησιμοποιείτε. Όταν λαμβάνετε την ειδοποίηση, το πρόγραμμα διαχείρισης κωδικών πρόσβασης μπορεί να σας βοηθήσει να αλλάξετε τον κωδικό πρόσβασής σας σε νέο κωδικό, αποτρέποντας τους επιτιθέμενους να συνδεθούν με τα διαπιστευτήρια που αποτελούν πιθανώς προϊόν διαρροής.

Κατά την επιλογή ενός προγράμματος διαχείρισης κωδικών πρόσβασης, θα πρέπει να δώσετε προσοχή στο πού και το πώς αποθηκεύονται η βάση δεδομένων κωδικών πρόσβασης και τα κλειδιά κρυπτογράφησης. Ορισμένα προγράμματα διαχείρισης κωδικών πρόσβασης σας επιτρέπουν να αποθηκεύσετε τους κωδικούς πρόσβασης σε μια τοπική βάση δεδομένων. Αυτό σημαίνει ότι είστε οι μόνοι που έχετε πρόσβαση στο αρχείο της βάσης δεδομένων. Ανάλογα με το λογισμικό, ίσως μπορέσετε να συγχρονίσετε τη βάση δεδομένων μεταξύ των υπολογιστών και των άλλων συσκευών σας μέσω διαφορετικών υπηρεσιών όπως το Dropbox ή το iCloud. Ορισμένα προγράμματα διαχείρισης κωδικών πρόσβασης αποθηκεύουν τη βάση δεδομένων στους διακομιστές τους. Εδώ, το βασικό ζήτημα που επηρεάζει την ασφάλεια είναι να καταλάβετε πώς γίνεται η διαχείριση της κρυπτογράφησης και των κλειδιών κρυπτογράφησης. Ορισμένες υπηρεσίες πρέπει να αποθηκεύσουν το κύριο κλειδί κρυπτογράφησης στους διακομιστές τους, αλλά αυτό τους δίνει επίσης τη δυνατότητα αποκρυπτογράφησης της βάσης δεδομένων των κωδικών πρόσβασης. Άλλες υπηρεσίες, όπως το 1Password, αποθηκεύουν τη βάση δεδομένων κωδικών πρόσβασης είτε σε μια τοποθεσία της επιλογής σας (μεμονωμένη έκδοση) είτε στους διακομιστές τους (συνδρομητική έκδοση). Σε όλες τις περιπτώσεις όμως, είστε οι μόνοι που έχετε στην κατοχή σας το κύριο κλειδί κρυπτογράφησης.

Αν σας προβληματίζει μήπως τα διαπιστευτήριά σας περιέλθουν στην κατοχή τρίτου, μπορείτε συνήθως να χρησιμοποιήσετε πρόσθετη προστασία, όπως τον έλεγχο ταυτότητας πολλών παραγόντων.

Έλεγχος ταυτότητας πολλών παραγόντων

Ο έλεγχος ταυτότητας πολλών παραγόντων (multi-factor authentication – MFA) είναι όταν ελέγχεται η ταυτότητα ενός χρήστη σε μια υπηρεσία χρησιμοποιώντας περισσότερους από έναν παράγοντες. Οι παράγοντες αυτοί συνήθως ορίζονται ως εξής:

• κάτι που γνωρίζετε (γνώση, όπως ένας κωδικός πρόσβασης)

• κάτι που έχετε στην κατοχή σας (η κατοχή, όπως του κινητού σας τηλεφώνου ή ενός διακριτικού σε φυσική μορφή)

• κάτι που είστε (το καλούμενο «μοναδικό φυσικό χαρακτηριστικό χρήστη», όπως το δακτυλικό σας αποτύπωμα ή ο αμφιβληστροειδής)

Ο συνηθέστερος τρόπος με τον οποίο χρησιμοποιείται ο έλεγχος ταυτότητας πολλών παραγόντων ονομάζεται έλεγχος ταυτότητας δύο παραγόντων (ή επαλήθευση δύο παραγόντων). Ένα παράδειγμα ελέγχου ταυτότητας δύο παραγόντων (2FA) είναι η πληρωμή με πιστωτική κάρτα. Σε μια πληρωμή με πιστωτική κάρτα, χρησιμοποιείτε κάτι που βρίσκεται στην κατοχή σας (την πιστωτική κάρτα) και κάτι που γνωρίζετε (τον κωδικό PIN σας) για να εγκρίνετε την πληρωμή.

Ο έλεγχος ταυτότητας πολλών παραγόντων χρησιμοποιείται για να προσθέσετε επιπλέον ασφάλεια στον έλεγχο ταυτότητάς σας. Μπορεί να έχετε δει περιπτώσεις παραβιάσεων των δικτυακών τόπων που χρησιμοποιείτε και να έχετε ακούσει περιπτώσεις διαρροών ονομάτων χρήστη και κωδικών πρόσβασης στο διαδίκτυο. Εάν δεν χρησιμοποιείτε τον έλεγχο ταυτότητας πολλών παραγόντων ή την πιο κοινή παραλλαγή του, τον έλεγχο ταυτότητας δύο παραγόντων, οποιοσδήποτε έχει πρόσβαση σε αυτά τα διαπιστευτήρια μπορεί να τα χρησιμοποιήσει για να έχει πρόσβαση στον λογαριασμό. Αν έχετε χρησιμοποιήσει ξανά τον κωδικό πρόσβασης σε πολλές υπηρεσίες, όλες τους είναι επιρρεπείς σε κακόβουλη χρήση από οποιονδήποτε έχει πρόσβαση στα διαπιστευτήρια. Ωστόσο, εάν έχετε ενεργοποιήσει τον έλεγχο ταυτότητας δύο παραγόντων στις υπηρεσίες που χρησιμοποιείτε, ο επιτιθέμενος θα πρέπει επίσης να έχει πρόσβαση στον δεύτερο παράγοντα για να έχει πρόσβαση στον λογαριασμό σας.

Μεταξύ των κοινών δεύτερων παραγόντων είναι οι εξής:

• μήνυμα SMS (πρέπει να έχετε πρόσβαση στο τηλέφωνο για να συνδεθείτε),

• κωδικοί πρόσβασης μίας χρήσης, είτε χρησιμοποιείτε μια εφαρμογή είτε ένα διακριτικό σε φυσική μορφή όπως ένα κλειδί RSA (μια μικρή συσκευή που παράγει κωδικούς πρόσβασης μίας χρήσης),

• κλειδιά ασφαλείας, για παράδειγμα ένα κλειδί Yubikey ή Google Titan,

• ειδοποιήσεις push (που χρησιμοποιούνται, για παράδειγμα, μέσω της εφαρμογής Google ή Authenticator από τη Microsoft),

• αναγνώριση δακτυλικών αποτυπωμάτων ή προσώπου.

Μια άλλη υπηρεσία παροχής διακριτικού που χρησιμοποιείται συχνά είναι μια εφαρμογή πιστοποίησης ταυτότητας. Υπάρχουν πολλές εφαρμογές που παρέχουν την ίδια υπηρεσία, άρα μπορείτε να επιλέξετε αυτή που θέλετε να χρησιμοποιήσετε. Οι περισσότερες εφαρμογές χρησιμοποιούνται σε πολλαπλές πλατφόρμες, στα περισσότερα κινητά τηλέφωνα και υπολογιστές. Οι πιο συχνά χρησιμοποιούμενες εφαρμογές πιστοποίησης ταυτότητας είναι το Google Authenticator, το Authy και το Microsoft Authenticator, αλλά υπάρχουν πολλές περισσότερες διαθέσιμες. Συχνά, η εφαρμογή πιστοποίησης ταυτότητας χρειάζεται μια τιμή «φύτρου» από τον διακομιστή για να μπορέσει να δημιουργήσει τον κωδικό πρόσβασης μίας χρήσης για εσάς. Ο πιο συνηθισμένος τρόπος στις μέρες μας είναι να σαρώσετε έναν κωδικό QR με την κάμερα του κινητού σας τηλεφώνου. Ο κωδικός φύτρου με χρονική βάση συνήθως δημιουργείται ξανά σε 30 δευτερόλεπτα. Ο κωδικός έχει επίσης ένα μικρό χρονικό πλαίσιο εντός του οποίου λειτουργεί, συνήθως περίπου ένα λεπτό.

Κλειδιά ασφαλείας

Στον έλεγχο ταυτότητας πολλών παραγόντων, ένα κλειδί ασφαλείας είναι ο πιο ασφαλής από τους παράγοντες που αναφέρθηκαν προηγουμένως. Η χρήση του απαιτεί περισσότερη συμμετοχή από μια εφαρμογή πιστοποίησης ταυτότητας, αλλά είναι επίσης πιο ασφαλής. Εάν χάσετε το τηλέφωνό σας με την εφαρμογή πιστοποίησης ταυτότητας, μπορεί να χάσετε όλες τις πληροφορίες που προστατεύουν τους λογαριασμούς σας. Με ένα κλειδί ασφαλείας, έχετε μια ξεχωριστή φυσική συσκευή η οποία είναι απαραίτητη εκτός από τα διαπιστευτήριά σας, έτσι ώστε η απώλεια μόνο της συσκευής με τους κωδικούς πρόσβασης δεν σημαίνει ότι κάποιος μπορεί να συνδεθεί στον λογαριασμό σας. Θεωρείται καλή πρακτική να διατηρείτε ένα διπλό κλειδί ασφαλείας σε ασφαλές μέρος σε περίπτωση που χαθεί ή παραβιαστεί το βασικό κλειδί σας. Τα κλειδιά ασφαλείας συνήθως έχουν ένα επιπλέον βήμα για την προστασία των δεδομένων τους. Συνήθως, υπάρχει ένα κουμπί που πρέπει να πατήσετε προτού να μπορεί να χρησιμοποιηθεί το μυστικό. Αυτό αποτρέπει το malware στον υπολογιστή σας από το να διαβάσει το ασφαλές διακριτικό εκτός αν υπάρχει κάποια φυσική ενέργεια.

Συνδέσεις χωρίς κωδικό πρόσβασης

Υπάρχουν πολλές αδυναμίες όσον αφορά τη χρήση των κωδικών πρόσβασης. Για παράδειγμα, οι χρήστες προτιμούν αδύναμους κωδικούς πρόσβασης που θα θυμούνται εύκολα και πρέπει να τους αποθηκεύσουν κάπου, συνήθως όχι σε ασφαλές μέρος. Μόλις διαρρεύσουν, οι πληροφορίες σύνδεσης μπορεί να χρησιμοποιηθούν κακόβουλα, ακόμη και σε άλλες τοποθεσίες στην περίπτωση των κωδικών πρόσβασης που χρησιμοποιούνται ξανά. Τα rainbow table και οι επιθέσεις brute forcing θα γίνουν πιο χρήσιμα στο μέλλον με την εμφάνιση όλο και ταχύτερων υπολογιστών, την πρόοδο στην κατανόηση των αλγορίθμων και την κβαντική υπολογιστική. Οι συνδέσεις χωρίς κωδικούς πρόσβασης έχουν ως στόχο να το αλλάξουν αυτό μέσω της κρυπτογράφησης ιδιωτικού-δημόσιου κλειδιού. Με αυτήν τη μέθοδο, το ιδιωτικό κλειδί δεν διαβιβάζεται στον διακομιστή και σε τέτοιες περιπτώσεις η απώλεια του δημόσιου κλειδιού που είναι αποθηκευμένο στον διακομιστή, δεν θα επιτρέψει σε κανέναν εκτός από τον ιδιοκτήτη του ιδιωτικού κλειδιού να συνδεθεί στον λογαριασμό του χρήστη. Η πιστοποίηση ταυτότητας Windows Hello της Microsoft είναι ένα παράδειγμα σύνδεσης χωρίς κωδικό πρόσβασης.

Το Windows Hello μπορεί να χρησιμοποιηθεί με διαφορετικές μεθόδους, από κωδικό PIN έως δακτυλικό αποτύπωμα ή ακόμα και αναγνώριση προσώπου. Η αρχική πιστοποίηση γίνεται τοπικά στον υπολογιστή σας και δεν μεταφέρεται ποτέ στον διακομιστή. Αντί για αυτό, ο κωδικός PIN ή το δακτυλικό αποτύπωμα χρησιμοποιείται στο παρασκήνιο για να επιτρέψει μια κρυπτογραφική ανταλλαγή μεταξύ του υπολογιστή σας και του διακομιστή, η οποία στο τέλος σας παρέχει πρόσβαση στον υπολογιστή.