Hur skyddar webbplatser dina lösenord?

För närvarande är det mycket normalt att höra om ett dataintrång. Ett intrång kan hända med en populär tjänst som Gmail eller en mjukvara som de flesta av oss har glömt bort, som MySpace.

En av de värsta sakerna en hackare kan få reda på är ditt lösenord. Detta gäller särskilt om du går emot standardråd och använder samma inloggning på flera olika plattformar. Men lösenordsskydd är inte bara ditt ansvar.

Så hur lagrar webbplatser dina lösenord? Hur håller de din inloggningsinformation säker? Och vilken är den säkraste metoden webbplatser kan använda för att spåra dina lösenord?

Värsta scenariot: Lösenord sparas i vanlig text

Tänk på den här situationen: En stor webbplats har blivit hackad. Cyberkriminella har kringgått alla grundläggande säkerhetsåtgärder som webbplatsen har på plats och kan utnyttja ett fel i webbplatsens struktur. Du är kunden. Den webbplatsen har lagrat dina uppgifter. Webbplatsen säkerställer att ditt lösenord är säkert. Men vad händer om den webbplatsen lagrar ditt lösenord i vanlig text?

Lösenord i vanlig text är som ett lukrativt bete. De använder inte algoritmer så de kan inte läsas. Hackare kan läsa lösenord lika enkelt som du läser den här artikeln.

Det spelar ingen roll hur komplexa dina lösenord är: En vanlig textdatabas är en lista över allas lösenord, tydligt skrivna, inklusive eventuella siffror och ytterligare tecken du använder.

Och även om hackare inte knäcker webbplatsen, vill du verkligen att någon webbplatsadministratör ska kunna se dina hemliga inloggningsuppgifter?

Du kanske tror att detta är ett mycket sällsynt problem, men det uppskattas att cirka 30 % av e-handelssajterna använder denna metod för att "säkra" kunddata!

Ett enkelt sätt att ta reda på om en webbplats sparar lösenord i klartext är om du direkt efter att du har registrerat dig får ett e-postmeddelande från webbplatsen med dina inloggningsuppgifter. I så fall kanske du vill ändra andra webbplatser som använder samma lösenord och kontakta företaget för att varna dem om att deras säkerhet är för dålig. Det är förstås omöjligt att bekräfta till 100 %, men detta är ett ganska tydligt tecken och sajten borde verkligen inte skicka sådana saker i e-postmeddelanden.

Kodning: Låter bra, men det är inte perfekt

Många webbplatser vänder sig till kryptering för att skydda användarlösenord. Krypteringsprocessen förvränger din information, vilket gör den oläslig tills två nycklar - en som innehas av dig (det är dina inloggningsuppgifter) och den andra av företaget i fråga - visas tillsammans.

Du har också använt kryptering på många andra ställen. Face ID på iPhone är en form av kryptering. Lösenordet är detsamma. Internet körs på kryptering: HTTPS du kan se i URL:en betyder att webbplatsen du besöker använder SSL- eller TLS-protokollet för att verifiera anslutningen och samla data. Men i verkligheten är kryptering inte perfekt.

Kryptering kan ge dig sinnesfrid. Men om en webbplats skyddar ditt lösenord genom att använda sitt eget lösenord, kan en hackare stjäla webbplatsens lösenord och sedan hitta ditt lösenord och dekryptera det. Det kommer inte att ta mycket ansträngning för hackare att ta reda på ditt lösenord; Det är därför stora databaser alltid är ett stort mål.

Om din webbplats nyckel (lösenord) lagras på samma server som ditt lösenord, kan ditt lösenord också vara i vanlig text.

• Hur stjäl hackare WiFi-lösenord? Hur kan man förhindra detta?

Hash: Förvånansvärt enkelt (men inte alltid effektivt)

Lösenordshashing kan låta som jargong, men det är helt enkelt en säkrare form av kryptering.

Istället för att lagra lösenordet i vanlig text kör webbplatsen lösenordet genom en hashfunktion, som MD5, Secure Hashing Algorithm (SHA)-1 eller SHA-256, som förvandlar lösenordet till en helt annan uppsättning siffror. Dessa kan vara siffror, bokstäver eller andra tecken.

Ditt lösenord kan vara IH3artMU0. Det kan förvandlas till 7dVq$@ihT och om en hacker bryter sig in i databasen är det allt han kan se. Hackare kan inte dekryptera det ursprungliga lösenordet igen.

Tyvärr är saker och ting inte så säkra som du tror. Denna metod är bättre än vanlig text men ändå inte ett problem för cyberbrottslingar.

Det som är viktigt är att ett visst lösenord genererar en viss hash. Det finns en bra anledning till det: Varje gång du loggar in med lösenordet IH3artMU0, passerar den automatiskt genom hashen, och webbplatsen ger dig tillgång om den hashen och den i webbplatsens databas finns.

Som svar har hackare utvecklat regnbågstabeller, liknande cheat sheets. De är listor över hash, som redan används av andra som lösenord, som ett sofistikerat system snabbt kan köra igenom, som en Brute Force-attack .

Om du har valt ett riktigt dåligt lösenord kommer det att ligga högt på regnbågsbordet och lätt kan knäckas. Komplexa lösenord kommer att ta längre tid.

Bäst just nu: Salting och Slow Hash

Saltning är en av de mer kraftfulla teknikerna som implementeras av de säkraste webbplatserna

Ingenting är ogenomträngligt: ​​Hackare arbetar alltid aktivt med att knäcka alla nya säkerhetssystem. För närvarande finns det starkare tekniker som implementeras av de säkraste webbplatserna. Det är smarta hash-funktioner.

Saltade hash är baserad på kryptografisk nonce, en slumpmässig datamängd som genereras för varje enskilt lösenord, som ofta är mycket lång och komplex.

Dessa ytterligare siffror läggs till i början eller slutet av lösenordet (eller e-post-lösenordskombinationen) innan det passerar genom hash-funktionen, för att försvara sig mot försök som görs med en regnbågstabell.

I allmänhet är det inga problem om salter lagras på samma servrar som hash. Att knäcka en uppsättning lösenord kan ta hackare mycket tid, och det är ännu svårare om dina lösenord är komplexa.

Det är därför du alltid bör använda ett starkt lösenord, oavsett hur säker du är på din webbplatss säkerhet.

Webbplatser använder också långsamma hash som en ytterligare åtgärd. De mest kända hashfunktionerna (MD5, SHA-1 och SHA-256) har funnits ett tag och används flitigt eftersom de är relativt lätta att implementera.

Även om salt fortfarande gäller, är långsamma hash ännu bättre på att försvara sig mot attacker som är beroende av hastighet. Genom att begränsa hackare till betydligt färre försök per sekund kommer det att ta längre tid för dem att knäcka, vilket gör försöken mindre värda samtidigt som framgångsfrekvensen blir lägre.

Cyberkriminella måste väga om det är värt att attackera tidskrävande långsamma hashsystem kontra "snabbfix". Till exempel har medicinska institutioner ofta lägre säkerhet, så data som erhålls från dem kan fortfarande säljas för överraskande summor pengar.

Om ett system är under "stress" kan det sakta ner ännu mer. Coda Hale, en tidigare Microsoft-programutvecklare, jämför MD5 med den mest anmärkningsvärda långsamma hashfunktionen, bcrypt (andra funktioner inkluderar PBKDF-2 och scrypt):

"Istället för att knäcka lösenord var 40:e sekund (som med MD5), skulle jag knäcka dem vart 12:e år eller så (när systemet använder bcrypt). Dina lösenord behöver förmodligen inte den typen av säkerhet och du kan behöva en snabbare jämförelsealgoritm , men bcrypt låter dig välja balansen mellan hastighet och säkerhet".

Och eftersom en långsam hash fortfarande kan utföras på mindre än en sekund kommer användarna inte att påverkas.