Jejich počet roste. Každý den získá průměrný uživatel jiný účet, ke kterému se může přihlásit.
Banky. E-mail. Internetové obchody. Sociální média. Firemní portál.
Ovládáte rostoucí armádu řetězců znaků. A vždy se je někdo snaží ukrást.
Hackeři nechtějí jen přístup. Chtějí peníze spojené s tímto přístupem. Podvodné transakce, ukradené identity, vyprázdněné účty. Motiv je jednoduchý. Metody jsou nemilosrdné.
Jak zamknout dveře, když máte v kapse padesát klíčů?
Objevuje se nový přístup. Nejde jen o ztížení uhodnutí hesel. Jde o to, aby byly zbytečné.
Únava z tření
Vezměme si typický den průměrného uživatele.
Probuď se. Kontrola vašeho e-mailu. Přejděte do své bankovní aplikace. Hledáte novou košili. Odpověď na pracovní zprávu ve Slacku.
Jedná se o pět samostatných autentizačních událostí.
Nyní si představte, že to děláte pro každou službu, kterou používáte.
Tření je skutečné. A je to nebezpečné.
Protože uživatelé jsou unavení. Když je zabezpečení příliš obtížné, lidé používají zkratky.
Všude používají stejné heslo.
Zapisují to na papír.
Sdílejí to s ostatními.
To vytváří obrovskou zranitelnost. Pokud je jeden web hacknut, útočník bude mít klíč ke všemu ostatnímu.
Phishing a hrubá síla
Vyvíjejí se i hrozby.
Phishingové útoky jsou stále chytřejší. Napodobují legitimní webové stránky s alarmující přesností. Heslo zadáte na falešné přihlašovací stránce. Hacker jej okamžitě obdrží.
Pak přichází hledání. Automatizované skripty zkoušejí tisíce kombinací za sekundu. Pokud je vaše heslo “Password123”, jste v prdeli.
Finanční škoda je okamžitá.
Probíhá platba z vaší kreditní karty. Vaše identita je kradena. Vaše pověst je ohrožena.
Přejít na přístupový klíč (přístup bez hesla)
Zde přichází na řadu nová metoda.
Nazývá se passkey (klíč bez hesla).
Také známé jako přihlašovací údaje FIDO2 nebo WebAuthn.
Název není tak důležitý jako funkce.
Přístupový klíč zcela nahrazuje hesla.
Jsou založeny na kryptografii veřejného klíče.
Zde je návod, jak to funguje v jednoduchém jazyce.
Vaše zařízení (telefon nebo notebook) vygeneruje jedinečný pár klíčů.
Jeden klíč zůstane na vašem zařízení. Nikdy ho to neopustí.
Další klíč je odeslán webu nebo aplikaci. Toto je veřejný klíč.
Když se přihlásíte, vaše zařízení prokáže, že vlastní soukromý klíč.
Dělá to pomocí biometrie nebo PIN kódu.
FaceID. Otisk prstu. Kód pro odemknutí obrazovky.
Neexistuje žádné sdílené tajemství. Neexistuje žádný odpovídající řetězec písmen.
Pokud je web napaden, útočník obdrží pouze veřejný klíč. K ničemu.
Nedokážou obnovit vaše heslo.
Nikde jinde to použít nemůžou.
Proč je to pro vás důležité
Nemusíte rozumět matematice.
Vše, co potřebujete vědět, je přínos.
Již není třeba si pamatovat složité řetězce znaků.
Již není třeba obnovovat zapomenutá hesla.
No more falling for phishing sites asking for your password.
Phishingový web může vypadat jako skutečný. Může dokonce požádat o ověřovací kód.
Bez vašeho fyzického zařízení a vašeho biometrického souhlasu však přihlášení nebude možné.
Hacker nedostane nic.
To není koncept do budoucna.
Major platforms are already implementing this technology
Proč jednoduchá hesla nefungují a jak bezpečnost založená na chování mění hru
Váš telefon je v podstatě počítač, který ukládá celý váš život. Bankovní údaje. Osobní email. A tento seznam by mohl pokračovat donekonečna. Tato vymoženost přichází s vysokou cenou: riziko infekce, trojské koně a přímé hackování. Když útočníci proniknou do systému, poškození je skutečné. A přesto jim stále věci příliš usnadňujeme.
Průměrný člověk používá více než 20 účtů chráněných heslem. K jejich odemčení používá asi pět různých hesel. Toto opakování vytváří skutečnou bezpečnostní noční můru.
Jak útočníci vlastně ukradnou vaše klíče
Stefan Wiefling, odborník z University of Applied Sciences Bonn-Rhein-Sieg (H-BRS), vysvětluje dva hlavní způsoby, jak hackeři obcházejí vaše zabezpečení. Ne vždy je to kouzlo špičkových technologií.
Za prvé se jedná o rozsáhlé úniky databází. Pamatujete si Adobe? LinkedIn? MySpace? Tyto stránky byly často nedbalé při ukládání uživatelských dat. Hackeři ukradnou kombinaci e-mailu a hesla. Poté použijí techniku zvanou „Credential Stuffing“ (útok pomocí odcizených přihlašovacích údajů). Je to automatizované. Snaží se používat stejné přihlašovací údaje na všech ostatních stránkách, které používáte. Akamai, poskytovatel online služeb, zaznamenává denně 250 milionů takových pokusů. Pokud znovu použijete hesla, jste v prdeli.
Za druhé, toto je umění hádat. To zní naivně. Ale pořád to funguje. Wifling poznamenává, že úspěšnost dosahuje 70 % za méně než 100 pokusů. Proč? Protože lidé jsou předvídatelní. Hackeři používají vaše jméno, jméno vašeho mazlíčka a narozeniny členů rodiny. Tato data vkládají do statistických modelů, aby vytvořili seznam nejpravděpodobnějších hesel. Počítač uhodne, co je podle vás skvělé. Obvykle to není pravda.
Nový štít: Rozpoznání skutečného já
Aby tomu zabránil, Vifling vyvinul obranný systém. Kontroluje nejen správnost vašeho hesla. Zkontroluje, zda do něj vstupujete vy.
Toto se nazývá risiko-basierte Authentifizierung (autentizace založená na riziku). Systém přijímá vaše přihlašovací údaje, pokud nic nevypadá podezřele. Pokud si všimne podivného chování, požádá o druhý ověřovací krok.
Co je považováno za zvláštní? Pomocí zařízení, ke kterému jste se ještě nikdy nepřihlásili. Přihlášení z geografického místa, které jste nikdy nenavštívili. Nebo přístup na webovou stránku ve 3:00 v úterý, kdy obvykle spíte. Systém tuto odchylku zaznamená. Žádá o potvrzení.
Pohodlí se snoubí s opatrností
Pro většinu webů to není obtížné. Heslo zadáte jednou. Pokud je chování normální, získáte přístup. Laboratorní studie zahrnující téměř 70 lidí potvrdila, že to funguje. Uživatelé se ve srovnání s jednoduchými hesly cítili výrazně bezpečněji při používání autentizace na základě rizika. Preferovali ji pro sociální sítě a e-shopy.
Ale co bankovní účty?
Lidé se tam chovají jinak. Ve druhé studii účastníci odmítli spoléhat pouze na analýzu chování na vysoce zabezpečených místech. Chtěli tradiční dvoufaktorovou autentizaci (2FA). To znamená přihlásit se vždy dvakrát. Heslo plus jednorázový PIN. To vytváří další překážky. Ale v zájmu vašich peněz s tím budete souhlasit.
Co dělá heslo skutečně bezpečným?
Nic z toho nebude fungovat, pokud je vaše základní heslo hrozné. Wifling doporučuje používat správce hesel. Mnoho prohlížečů nabízí tuto funkci vestavěnou.
Zde je kontraintuitivní část: složitost není hlavním faktorem. Hlavní je délka. Dlouhá, chytlavá fráze jako „Montags arbeite ich oft sehr gerne“ překonává krátkou, nesourodou větu jako „$Le90pch“. Pro počítač je obtížnější najít dlouhou frázi pomocí hrubé síly.
A prosím. Přestaňte znovu používat hesla. Použijte manažera. Ukládá je do šifrovaného digitálního trezoru. Stačí si zapamatovat jedno hlavní heslo. Tento jeden klíč otevírá vše ostatní.
Není to ideální. Systém může být stále oklamán, pokud útočník zná váš denní režim. Nebo pokud cestujete a systém označí vaše běžné chování jako podezřelé. Ale je to krok výš od naděje, že nikdo nemůže uhodnout jméno vašeho psa.
Stále je třeba dávat pozor. Nástroje pomáhají. Ale oni tě nezachrání.
