Ako webové stránky chránia vaše heslá?

V súčasnosti je veľmi normálne počuť o porušení ochrany údajov. Porušenie môže nastať v prípade populárnej služby, ako je Gmail , alebo softvéru, na ktorý väčšina z nás zabudla, napríklad MySpace.

Jedna z najhorších vecí, ktoré môže hacker zistiť, je vaše heslo. Platí to najmä vtedy, ak idete proti štandardným radám a používate rovnaké prihlásenie na viacerých rôznych platformách. Ochrana heslom však nie je len vašou zodpovednosťou.

Ako teda webové stránky ukladajú vaše heslá? Ako udržujú vaše prihlasovacie údaje v bezpečí? A aký je najbezpečnejší spôsob, akým môžu webové stránky sledovať vaše heslá?

Najhorší scenár: Heslá sa ukladajú ako obyčajný text

Zvážte túto situáciu: Veľká webová stránka bola napadnutá. Kyberzločinci obišli všetky základné bezpečnostné opatrenia, ktoré webstránka má, a môžu zneužiť chybu v štruktúre stránky. Vy ste zákazník. Táto webová stránka uložila vaše údaje. Stránka zaisťuje, že vaše heslo je bezpečné. Čo sa však stane, ak táto webová stránka uloží vaše heslo ako obyčajný text?

Heslá v čistom texte sú ako lukratívna návnada. Nepoužívajú algoritmy, takže ich nemožno čítať. Hackeri dokážu čítať heslá rovnako jednoducho, ako vy čítate tento článok.

Nezáleží na tom, aké zložité sú vaše heslá: Databáza obyčajného textu je zoznam hesiel každého, ktorý je jasne napísaný, vrátane čísel a ďalších znakov, ktoré používate.

A aj keď hackeri neprelomia web, naozaj chcete, aby nejaký administrátor webu mohol vidieť vaše tajné prihlasovacie údaje?

Možno si myslíte, že ide o veľmi zriedkavý problém, ale odhaduje sa, že približne 30 % stránok elektronického obchodu používa túto metódu na „zabezpečenie“ údajov o zákazníkoch!

Jednoduchý spôsob, ako zistiť, či webová lokalita ukladá heslá vo formáte obyčajného textu, je, ak ihneď po prihlásení dostanete z webovej lokality e-mail s vašimi prihlasovacími údajmi. V takom prípade možno budete chcieť zmeniť všetky ostatné stránky, ktoré používajú rovnaké heslo, a kontaktovať spoločnosť, aby ich upozornila, že ich bezpečnosť je príliš nízka. Samozrejme to nie je možné potvrdiť na 100%, ale je to celkom jasné znamenie a stránka by takéto veci v e-mailoch naozaj nemala posielať.

Kódovanie: Znie to dobre, ale nie je to dokonalé

Mnoho webových stránok používa šifrovanie na ochranu používateľských hesiel. Proces šifrovania zašifruje vaše informácie, čím sa stanú nečitateľnými, kým sa dva kľúče – jeden vo vašom vlastníctve (to sú vaše prihlasovacie údaje) a druhý od príslušnej spoločnosti – neobjavia spolu.

Šifrovanie ste použili aj na mnohých iných miestach. Face ID na iPhone je forma šifrovania. Prístupový kód je rovnaký. Internet beží na šifrovaní: HTTPS, ktoré môžete vidieť v URL, znamená, že navštívená webová stránka používa protokol SSL alebo TLS na overenie pripojenia a agregáciu údajov. V skutočnosti však šifrovanie nie je dokonalé.

Šifrovanie vám môže poskytnúť pokoj. Ak však stránka chráni vaše heslo pomocou vlastného hesla, hacker môže heslo stránky ukradnúť, potom nájsť vaše heslo a dešifrovať ho. Hackerom nebude vyžadovať veľa úsilia, aby zistili vaše heslo; Preto sú veľké databázy vždy veľkým cieľom.

Ak je kľúč (heslo) vašej stránky uložený na rovnakom serveri ako vaše heslo, vaše heslo môže byť tiež v obyčajnom texte.

• Ako hackeri kradnú heslá WiFi? Ako tomu zabrániť?

Hash: Prekvapivo jednoduché (ale nie vždy efektívne)

Hašovanie hesiel môže znieť ako žargón, ale je to jednoducho bezpečnejšia forma šifrovania.

Namiesto uloženia hesla vo formáte obyčajného textu, webová stránka spúšťa heslo prostredníctvom hašovacej funkcie, ako je MD5, Secure Hash Algorithm (SHA)-1 alebo SHA-256, ktorá zmení heslo na úplne inú sadu číslic. Môžu to byť čísla, písmená alebo akékoľvek iné znaky.

Vaše heslo môže byť IH3artMU0. Môže sa zmeniť na 7dVq$@ihT a ak sa hacker nabúra do databázy, je to všetko, čo vidí. Hackeri nemôžu znova dešifrovať pôvodné heslo.

Bohužiaľ, veci nie sú také bezpečné, ako si myslíte. Táto metóda je lepšia ako obyčajný text, no pre kyberzločincov stále nepredstavuje problém.

Dôležité je, že konkrétne heslo generuje konkrétny hash. Existuje na to dobrý dôvod: Zakaždým, keď sa prihlásite pomocou hesla IH3artMU0, automaticky prejde týmto hashom a stránka vám umožní prístup, ak sa tento hash a ten v databáze lokality zhodujú.

V reakcii na to hackeri vyvinuli dúhové tabuľky, podobné cheatom. Sú to zoznamy hashov, ktoré už iní používajú ako heslá, cez ktoré môže sofistikovaný systém rýchlo prejsť, ako napríklad útok Brute Force .

Ak ste si zvolili naozaj zlé heslo, bude vysoko na dúhovom stole a dá sa ľahko prelomiť. Zložité heslá budú trvať dlhšie.

Aktuálne najlepšie: Salting a Slow Hash

Solenie je jednou z výkonnejších techník implementovaných najbezpečnejšími webovými stránkami

Nič nie je nepreniknuteľné: Hackeri vždy aktívne pracujú na prelomení akéhokoľvek nového bezpečnostného systému. V súčasnosti existujú silnejšie techniky implementované najbezpečnejšími webovými stránkami. To sú inteligentné hašovacie funkcie.

Solené hashe sú založené na kryptografickom nonce, náhodnom súbore údajov generovanom pre každé jednotlivé heslo, ktoré je často veľmi dlhé a zložité.

Tieto dodatočné číslice sa pridávajú na začiatok alebo koniec hesla (alebo kombinácie e-mailu a hesla) predtým, ako prejde cez hašovaciu funkciu, aby sa zabránilo pokusom vykonaným pomocou dúhovej tabuľky.

Vo všeobecnosti nie je problém, ak sú soli uložené na rovnakých serveroch ako hash. Prelomenie súboru hesiel môže hackerom zabrať veľa času a je to ešte ťažšie, ak sú vaše heslá zložité.

Preto by ste mali vždy používať silné heslo, bez ohľadu na to, ako veľmi ste si istí bezpečnosťou svojej webovej stránky.

Webové stránky tiež používajú pomalé hash ako dodatočné opatrenie. Najznámejšie hašovacie funkcie (MD5, SHA-1 a SHA-256) existujú už nejaký čas a sú široko používané, pretože sa dajú pomerne ľahko implementovať.

Zatiaľ čo soľ stále platí, pomalé hashe sú ešte lepšie pri obrane proti akýmkoľvek útokom, ktoré sa spoliehajú na rýchlosť. Obmedzením hackerov na výrazne menej pokusov za sekundu im bude trvať dlhšie, kým prelomia, čím sa pokusy stanú menej hodnotnými a zároveň sa zníži úspešnosť.

Kyberzločinci musia zvážiť, či sa im oplatí útočiť na časovo náročné pomalé hašovacie systémy oproti „rýchlym opravám“. Napríklad zdravotnícke zariadenia majú často nižšiu bezpečnosť, takže údaje z nich získané sa stále dajú predať za prekvapivé sumy peňazí.

Ak je systém v „strese“, môže sa spomaliť ešte viac. Coda Hale, bývalý vývojár softvéru spoločnosti Microsoft, porovnáva MD5 s najvýznamnejšou pomalou hašovacou funkciou bcrypt (ďalšie funkcie zahŕňajú PBKDF-2 a scrypt):

"Namiesto prelamovania hesiel každých 40 sekúnd (ako v prípade MD5) by som ich prelomil každých približne 12 rokov (keď systém používa bcrypt). Vaše heslá pravdepodobne nepotrebujú tento druh zabezpečenia a možno budete potrebovať rýchlejší algoritmus porovnávania. , ale bcrypt vám umožňuje zvoliť rovnováhu medzi rýchlosťou a bezpečnosťou“.

A keďže pomalý hash možno stále vykonať za menej ako sekundu, používateľov to neovplyvní.