Парадокс паролів: чому ваше цифрове життя виснажує і як це виправити
Їхня кількість зростає. Щодня середній користувач отримує ще один обліковий запис для входу.
Банки. Електронна пошта. Інтернет-магазини. Соціальні мережі. Корпоративний портал
Ви керуєте зростаючою армією рядків символів. І хтось завжди намагається їх вкрасти.
Хакерам потрібний не просто доступ. Їм потрібні гроші, пов’язані із цим доступом. Шахрайські транзакції, вкрадені особи, спустошені рахунки. Мотив простий. Методи – безжальні.
Як замкнути двері, якщо у кишені у вас п’ятдесят ключів?
З’являється новий підхід. Йдеться не просто про те, щоб зробити паролі складнішими для підбору. Йдеться про те, щоб зробити їх непотрібними.
Втома від тертя
Візьмемо типовий день звичайного користувача.
Ви прокидаєтеся. Перевіряєте електронну пошту. Заходьте до банківського додатку. Шукаєте нову сорочку. Відповідаєте на робоче повідомлення у Slack.
Це п’ять окремих подій автентифікації.
Тепер уявіть, що потрібно робити це для кожного сервісу, яким ви користуєтесь.
Тертя реальне. І воно небезпечне.
Тому що користувачі втомилися. Коли безпека стає надто складною, люди йдуть на обхідні шляхи.
Вони використовують той самий пароль скрізь.
Вони записують його на папері.
Вони діляться з іншими.
Це створює величезну вразливість. Якщо один сайт буде зламаний, зловмисник отримає ключ до решти.
Фішинг та перебір
Загрози також еволюціонують.
Фішингові атаки стають розумнішими. Вони з точною точністю імітують легітимні сайти. Ви вводите свій пароль на підробленій сторінці входу. Хакер отримує його миттєво.
Потім іде перебір. Автоматизовані скрипти пробують тисячі комбінацій на секунду. Якщо ваш пароль – “Password123”, ви зникли.
Фінансові збитки настають негайно.
З вашої кредитної картки списують гроші. Вашу особистість крадуть. Ваша репутація опиняється під загрозою.
Перехід до passkey (безпарольного доступу)
Тут на сцену виходить новий метод.
Він називається passkey (безпарольний ключ).
Також відомий як облікові дані FIDO2 чи WebAuthn.
Назва не така важлива, як функція.
Passkey повністю замінюють паролі.
Вони ґрунтуються на криптографії з відкритим ключем.
Ось як це працює простою мовою.
Ваш пристрій (телефон або ноутбук) створює унікальну пару ключів.
Один ключ залишається на вашому пристрої. Він ніколи не покидає його.
Інший ключ відправляється на сайт або додаток. Це є відкритий ключ.
Коли ви входите в систему, пристрій доводить, що має закритий ключ.
Воно робить це за допомогою біометрії або PIN-коду.
FaceID. Відбиток пальця. Код розблокування екрану.
Нема спільного секрету. Немає рядка букв, яку можна підібрати.
Якщо сайт зламаний, зловмисник отримує лише відкритий ключ. Некорисний.
Вони не можуть відновити пароль.
Вони не можуть використовувати його в іншому місці.
Чому це важливо для вас
Вам не потрібно розуміти математики.
Вам потрібно знати лише вигоду.
Не потрібно запам’ятовувати складні рядки символів.
Більше не потрібно скидати забуті паролі.
Більше не потрібно траплятися на фішингові сайти, які вимагають пароль.
Фішинговий сайт може бути справжнім. Він може навіть запитати код підтвердження.
Але без вашого фізичного пристрою та вашої біометричної згоди вхід до системи не вдасться.
Хакер нічого не отримає.
Це не є концепцією майбутнього.
Великі платформи вже впроваджують цю технологію
Чому прості паролі не працюють і як безпека, заснована на поведінці, змінює правила гри
Ваш телефон – це по суті комп’ютер, в якому зберігається все ваше життя. банківські реквізити. Особиста електронна пошта. І цей перелік можна продовжувати нескінченно. Ця зручність обертається високою ціною: ризиком зараження, троянами та прямим зломом. Коли зловмисники проникають у систему, збитки виявляються реальними. Проте ми продовжуємо робити для них все надто легко.
Середня людина використовує більше 20 облікових записів, захищених паролем. Для їхнього розблокування він застосовує приблизно п’ять різних паролів. Така повторюваність створює справжній кошмар із погляду безпеки.
Як насправді зловмисники крадуть ваші ключі
Штефан Віфлінг, експерт з Університету прикладних наук Бонн-Райн-Зіг (H-BRS), пояснює два основні способи, якими хакери обходять ваш захист. Це не завжди магія високих технологій.
По-перше, це масштабні витоку баз даних. Пам’ятаєте Adobe? LinkedIn? MySpace? Ці сайти часто недбало зберігали дані користувачів. Хакери викрадають зв’язку “електронна пошта – пароль”. Потім вони застосовують техніку, звану Credential Stuffing (атака з використанням вкрадених облікових даних). Вона автоматизована. Вони намагаються використовувати ці облікові дані на всіх інших сайтах, якими ви користуєтеся. Akamai, провайдер онлайн послуг, фіксує 250 мільйонів таких спроб щодня. Якщо ви повторно використовуєте паролі, ви зникли.
По-друге, це мистецтво вгадування. Це звучить наївно. Але це все одно працює. Віфлінг зазначає, що рівень успішності досягає 70% менш ніж за 100 спроб. Чому? Тому що люди передбачувані. Хакери використовують ваше ім’я, ім’я вашого вихованця, дні народження членів сім’ї. Вони завантажують ці дані у статистичні моделі, щоб згенерувати список найімовірніших паролів. Комп’ютер вгадує те, що ви вважаєте геніальним. Зазвичай це не так.
Новий щит: розпізнавання справжнього вас
Щоб зупинити це, Вифлінг розробив систему захисту. Вона перевіряє не лише правильність вашого пароля. Вона перевіряє, чи саме ви той, хто його вводить.
Це називається risiko-basierte Authentifizierung (автентифікація на основі ризику). Система приймає ваші облікові дані доти, доки нічого не виглядає підозріло. Якщо вона помічає дивну поведінку, то вона вимагає другого кроку верифікації.
Що вважається дивним? Використання пристрою, з якого ви раніше не входили в систему. Вхід у систему з географічного розташування, яке ви ніколи не відвідували. Або звернення до сайту о 3 годині ночі у вівторок, коли ви зазвичай спите. Система наголошує на цьому відхиленні. Вона просить підтвердження.
Зручність зустрічається з обережністю
Для більшості сайтів це не складно. Ви вводите пароль один раз. Якщо поведінка нормальна, ви отримуєте доступ. Лабораторне дослідження за участю майже 70 осіб підтвердило, що це працює. Користувачі відчували себе значно безпечнішими при використанні аутентифікації на основі ризику порівняно з простими паролями. Вони віддали перевагу її соціальним мережам і сайтам електронної комерції.
Але що щодо банківських рахунків?
Там люди поводяться інакше. У другому дослідженні учасники відмовилися покладатися виключно на аналіз поведінки для сайтів з високим рівнем безпеки. Вони хотіли традиційну двофакторну автентифікацію (2FA). Це означає завжди входити до системи двічі. Пароль плюс одноразовий PIN-код. Це створює додаткові перешкоди. Але заради своїх грошей ви погодитеся на це.
Що робить пароль дійсно безпечним?
Ніщо з цього не спрацює, якщо базовий пароль жахливий. Віфлінг рекомендує використовувати менеджер паролів. Багато браузери пропонують цю вбудовану функцію.
Ось контрінтуїтивна частина: складність не є основним чинником. Головне – довжина. Довга фраза, що запам’ятовується, така як «Montags arbeite ich oft sehr gerne», перемагає короткий хаотичний рядок, таку як «$Le90pch». Комп’ютеру складніше підібрати довгу фразу методом грубої сили (brute-force).
І, будь ласка. Перестаньте повторно використовувати паролі. Використовуйте менеджера. Він зберігає їх у зашифрованому цифровому сейфі. Вам потрібно запам’ятати лише один головний пароль. Цей єдиний ключ відкриває все інше.
Це не є ідеальним. Систему все ще можна обдурити, якщо зловмисник знає ваш порядок дня. Або якщо ви подорожуєте, і система позначає вашу звичайну поведінку як підозрілу. Але це крок уперед порівняно з надією на те, що ніхто не вгадає ім’я вашого собаки.
Вам все ще слід бути обережним. Інструменти допомагають. Але вони вас не врятують.
