Kako web stranice štite vaše lozinke?

U ovom trenutku vrlo je normalno čuti o povredi podataka. Proboj se može dogoditi s popularnom uslugom poput Gmaila ili dijelom softvera na koji je većina nas zaboravila, poput MySpacea.

Jedna od najgorih stvari koju haker može saznati je vaša lozinka. To je osobito istinito ako se protivite standardnim savjetima i koristite istu prijavu na više različitih platformi. Ali zaštita lozinkom nije samo vaša odgovornost.

Dakle, kako web stranice pohranjuju vaše lozinke? Kako čuvaju vaše podatke za prijavu sigurnima? I koja je najsigurnija metoda koju web stranice mogu koristiti za praćenje vaših lozinki?

Najgori mogući scenarij: Lozinke se spremaju u običnom tekstu

Razmotrite ovu situaciju: velika web stranica je hakirana. Cyberkriminalci su zaobišli sve osnovne sigurnosne mjere koje web-mjesto ima i mogu iskoristiti nedostatak u strukturi web-mjesta. Vi ste kupac. Ta je web stranica pohranila vaše podatke. Stranica osigurava sigurnost vaše lozinke. Ali što se događa ako to web mjesto pohranjuje vašu lozinku u običnom tekstu?

Lozinke u običnom tekstu su poput unosnog mamca. Ne koriste algoritme pa se ne mogu čitati. Hakeri mogu čitati lozinke jednostavno kao što vi čitate ovaj članak.

Nije važno koliko su vaše lozinke složene: baza podataka s čistim tekstom popis je svačijih lozinki, jasno napisanih, uključujući sve brojeve i dodatne znakove koje koristite.

Pa čak i ako hakeri ne razbiju web stranicu, želite li stvarno da neki administrator web stranice može vidjeti vaše tajne podatke za prijavu?

Možda mislite da je ovo vrlo rijedak problem, ali procjenjuje se da oko 30% web stranica za e-trgovinu koristi ovu metodu za "osiguranje" podataka o kupcima!

Jednostavan način da saznate sprema li web-mjesto zaporke u običnom tekstu je ako odmah nakon prijave primite e-poruku s web-mjesta s vašim podacima za prijavu. U tom slučaju, možda biste trebali promijeniti sve druge stranice koje koriste istu lozinku i kontaktirati tvrtku kako biste ih upozorili da je njihova sigurnost preslaba. Naravno, nemoguće je to potvrditi 100%, ali ovo je prilično jasan znak i stranica stvarno ne bi trebala slati takve stvari e-poštom.

Kodiranje: Zvuči dobro, ali nije savršeno

Mnoga web-mjesta okreću se enkripciji za zaštitu korisničkih lozinki. Proces enkripcije šifrira vaše podatke, čineći ih nečitljivima sve dok se dva ključa - jedan u vašem posjedu (to su vaši podaci za prijavu), a drugi u dotičnoj tvrtki - ne pojave zajedno.

Također ste koristili enkripciju na mnogim drugim mjestima. Face ID na iPhoneu je oblik enkripcije. Šifra je ista. Internet radi na enkripciji: HTTPS koji možete vidjeti u URL-u znači da web-mjesto koje posjećujete koristi SSL ili TLS protokol za provjeru veze i prikupljanje podataka. Ali u stvarnosti, enkripcija nije savršena.

Šifriranje vam može pružiti mir. Ali ako web-mjesto štiti vašu zaporku pomoću vlastite zaporke, haker može ukrasti zaporku web-mjesta, zatim pronaći vašu zaporku i dešifrirati je. Hakerima neće trebati puno truda da otkriju vašu lozinku; Zato su velike baze podataka uvijek velika meta.

Ako je ključ vaše stranice (lozinka) pohranjen na istom poslužitelju kao i vaša lozinka, vaša lozinka također može biti u obliku običnog teksta.

• Kako hakeri kradu WiFi lozinke? Kako to spriječiti?

Hash: Iznenađujuće jednostavan (ali ne uvijek učinkovit)

Raspršivanje lozinki može zvučati kao žargon, ali to je jednostavno sigurniji oblik enkripcije.

Umjesto pohranjivanja lozinke u običnom tekstu, web-mjesto pokreće lozinku kroz hash funkciju, kao što je MD5, Secure Hashing Algorithm (SHA)-1 ili SHA-256, koji pretvara lozinku u potpuno drugačiji skup znamenki. To mogu biti brojevi, slova ili bilo koji drugi znakovi.

Vaša zaporka može biti IH3artMU0. Može se pretvoriti u 7dVq$@ihT i ako haker provali u bazu podataka, to je sve što može vidjeti. Hakeri ne mogu ponovno dešifrirati izvornu lozinku.

Nažalost, stvari nisu tako sigurne kao što mislite. Ova je metoda bolja od običnog teksta, ali još uvijek nije problem za kibernetičke kriminalce.

Ono što je važno jest da određena lozinka generira određeni hash. Postoji dobar razlog za to: svaki put kada se prijavite s lozinkom IH3artMU0, ona automatski prolazi kroz taj hash, a stranica vam dopušta pristup ako su taj hash i onaj u bazi podataka stranice prisutni.

Kao odgovor, hakeri su razvili dugine tablice, slične varalicama. To su popisi hash oznaka, koje su drugi već koristili kao lozinke, a kroz koje sofisticirani sustav može brzo proći, poput Brute Force napada .

Ako ste odabrali jako lošu lozinku, ona će biti visoko na duginoj tablici i lako se može probiti. Složene lozinke će trajati duže.

Najbolje trenutno: soljenje i sporo haširanje

Salting je jedna od moćnijih tehnika koju primjenjuje većina sigurnih web stranica

Ništa nije neprobojno: hakeri uvijek aktivno rade na probijanju svakog novog sigurnosnog sustava. Trenutno postoje jače tehnike koje provode najsigurnije web stranice. To su pametne hash funkcije.

Usoljeni hashovi temelje se na kriptografskom nonce-u, nasumičnom skupu podataka generiranom za svaku pojedinačnu lozinku, koji je često vrlo dug i složen.

Ove dodatne znamenke dodaju se na početak ili kraj lozinke (ili kombinacije e-pošte i lozinke) prije nego što prođe kroz hash funkciju, radi obrane od pokušaja pomoću dugine tablice.

Općenito, nema problema ako su soli pohranjeni na istim poslužiteljima kao i hashevi. Razbijanje skupa lozinki hakerima može oduzeti mnogo vremena, a još je teže ako su vaše lozinke složene.

Zato uvijek trebate koristiti jaku lozinku, bez obzira koliko ste sigurni u sigurnost svoje web stranice.

Web stranice također koriste spore hashove kao dodatnu mjeru. Najpoznatije hash funkcije (MD5, SHA-1 i SHA-256) prisutne su već neko vrijeme i naširoko se koriste jer ih je relativno lako implementirati.

Iako je sol i dalje primjenjiva, spori raspršivači još su bolji u obrani od napada koji se oslanjaju na brzinu. Ograničavanjem hakera na značajno manji broj pokušaja u sekundi, trebat će im više vremena za probijanje, čime pokušaji postaju manje vrijedni, a istovremeno se smanjuje stopa uspjeha.

Cyberkriminalci moraju odvagnuti isplati li se napadati dugotrajne spore hash sustave u odnosu na "brze popravke". Primjerice, zdravstvene ustanove često imaju nižu sigurnost, pa se podaci dobiveni iz njih još uvijek mogu prodati za iznenađujuće visoke iznose novca.

Ako je sustav pod "stresom", može još više usporiti. Coda Hale, bivši Microsoftov programer, uspoređuje MD5 s najistaknutijom sporom hash funkcijom, bcrypt (ostale funkcije uključuju PBKDF-2 i scrypt):

"Umjesto da razbijam lozinke svakih 40 sekundi (kao s MD5), ja bih ih razbijao svakih 12 godina ili tako nešto (kada sustav koristi bcrypt). Vaše lozinke vjerojatno ne trebaju takvu vrstu sigurnosti i možda ćete trebati brži algoritam za usporedbu , ali bcrypt vam omogućuje odabir ravnoteže između brzine i sigurnosti".

Budući da se sporo raspršivanje ipak može izvesti za manje od sekunde, to neće utjecati na korisnike.