Dzień hasła – zasady tworzenia i zarządzania hasłami

Tworzenie silnych haseł. Bezpieczeństwo danych dostępowych

Hasła to w dzisiejszych czasach bardzo powszechna sprawa – w ten sposób zabezpieczamy swój telefon, pocztę elektroniczną, internetowe konto bankowe czy konta w social mediach.

Światowy Dzień Hasła jest doskonałą okazją do tego, żeby przypomnieć sobie jakie są podstawowe zasady oraz dobre nawyki dotyczące tworzenia bezpiecznych haseł oraz jak ważne jest stosowanie silnych haseł.

Pomysł na obchodzenie takiego dnia powstał w firmie Intel, podczas spotkania dotyczącego uwrażliwienia ludzi na zabezpieczanie swoich danych. Idea Światowego Dnia Hasła została wsparta również przez takie marki jak McAfee, Acer, Microsoft, Samsung, Toshiba oraz innych światowych producentów. "Święto" wypada zawsze w pierwszy czwartek maja, więc w bieżącym roku zdarzyło się w środku majówki.

Mając na względzie bezpieczeństwo informacji, w tym danych osobowych skorzystaliśmy z okazji jaką jest Światowy Dzień Hasła i przygotowaliśmy krótkie informacje o najważniejszych zasadach dotyczących bezpiecznych haseł, a także o narzędziach, które mogą nam pomóc w zarządzaniu naszymi hasłami.

Sprawdź także: Privacy by design, czyli ochrona danych osobowych w fazie projektowania

Miliony internautów wciąż używają słabych haseł 

Niektóre badania pokazują, że aż 90% haseł jest tak słaba, że można je złamać w ciągu kilkunastu sekund. Niestety wiele osób wciąż używa haseł takich jak: 12345678, password, qwerty, admin, abc123 czy np. daty swoich urodzin, imiona dzieci itp. Ponadto wielu użytkowników nie zmienia swoich haseł. Co piąta osoba przyznaje się, że używa tego samego hasła od 10 lat.

Cyberstalking i stalking — kiedy jest naruszana nasza prywatność?

Zastosuj te wskazówki, aby stworzyć hasło praktycznie niemożliwe do złamania:

Poniżej, w kilku punktach zawarliśmy najważniejsze zasady dotyczące tworzenia bezpiecznych haseł.

Hasło powinno być długie.  W zasadzie im dłuższe hasło tym lepiej. Wraz z każdym dodanym znakiem trudność złamania hasła rośnie. Przez wiele lat uważano, że 8-znakowe hasło alfanumeryczne, zawierające dodatkowo znaki interpunkcyjne jest w zupełności wystarczające. Niestety, tak już nie jest. Zamiast haseł 8-znakowych obecnie stosuje się hasła zawierające 14-15 znaków, a nawet takie 16-sto czy nawet 24-znakowe.

Należy stosować małe i duże litery oraz znaki specjalne i cyfry. Nie należy tworzyć haseł składających się tylko z samych liter lub cyfr. Tworząc hasło powinniśmy korzystać zamiennie z cyfr i znaków specjalnych. Dobrym sposobem na stworzenie silnego hasła, które będzie jednocześnie łatwe do zapamiętania jest zamiana liter na liczby i znaki specjalne np. @ zamiast „a”, 3 zamiast „e” lub 0 zamiast „o”.

Natomiast należy unikać dodawania dodatkowych znaków w popularnych wyrazach. Hasła typu “Anna18” czy “Agnieszka1986” nie spełniają wymogów bezpieczeństwa

Należy zrezygnować z używania w hasłach słów popularnych i uniwersalnych.

Bardzo złą metodą jest stosowanie wyrazów słownikowych, czyli występujących w encyklopediach, słownikach, a także używanie nazw państw i miast lub związanych z książkami filmami czy grami. 

Należy unikać używania znaczących imion, nazw i dat. 

Takie hasła są bardzo łatwe do złamania.

InfoSec - czyli bezpieczeństwo informacji

Jak dbać o swoje hasło

Po pierwsze hasło należy często zmieniać. Po drugie musimy używać innych haseł do różnych serwisów. Po trzecie powinniśmy zapamiętywać hasła i pod żadnym pozorem nie zapisywać ich, a już na pewno nie trzymać pod klawiaturą. Jeśli koniecznie potrzebujesz zapisać hasło w formie fizycznej, nie zapisuj konkretnie nazw stron www i loginów, używaj skrótów myślowych które zrozumiesz tylko Ty i schowaj kartkę czy notatnik w bezpiecznym miejscu.

Nikomu nie przekazujmy naszych haseł, nawet zaufanym osobom czy wieloletnim współpracownikom.

Warto też co jakiś czas sprawdzać czy adresy mailowe wraz hasłem do konta nie znajdują się na listach skradzionych przez hakerów z różnych serwisów i sklepów np. na stronie: https://haveibeenpwned.com/. Dane dostępowe do ważniejszych stron, jak np. bankowości internetowej, powinny być zabezpieczone weryfikacją dwuetapową.

Zapisane hasła w przeglądarce?

Zazwyczaj logując się do konta na danej witrynie, pojawia się komunikat z pytaniem, czy zapisać dane hasło. Jeżeli wyrazimy zgodę, to przeglądarka zapamięta dane do logowania, które za każdym razem będą automatycznie uzupełniane. W każdej chwili możemy skontrolować zapisane hasła w przeglądarce.

Jednak zapamiętując hasła w przeglądarce ułatwiamy zadanie złodziejom internetowym. Należy pamiętać, że w dzisiejszych czasach wcale nie trzeba być ekspertem IT żeby łamać hasła. Wystarczy zakupić odpowiednie oprogramowanie do tego celu, bazę danych z hasłami lub poświęcić trochę czasu na poznanie osoby, której hasło chcemy złamać.

Zarządzanie hasłami. Czy menedżer haseł to dobry pomysł?

W obecnym świecie, każdy z nas potrzebuje wielu haseł. Stosowanie jednego hasła do wszystkich systemów, usług i serwisów internetowych jest nierozsądne. Wystarczy udany atak hakerów na jedno z kont, z którego korzystamy i internetowi przestępcy uzyskają dostęp do wszystkich naszych zasobów. Dlatego tak ważne jest, aby każdy dostęp użytkownika do różnych usług był chroniony innym, zawsze odpowiednio silnym hasłem. 

Na szczęście nie musimy ich wszystkich pamiętać, wystarczy utrwalić sobie jedno, odpowiednio silne, długie i skomplikowane hasło, a w pozostałych kwestiach może nas wyręczyć menedżer haseł.

Menedżer haseł to aplikacja przechowująca hasła, która wpisuje je w panel logowania do serwisu na  nasze żądanie (automatycznie podstawiając właściwe i często niewidoczne na ekranie hasło konkretnej usłudze). Wszystkie hasła są przechowywane w szyfrowanej bazie, zatem jest to dużo bezpieczniejsze niż  trzymanie haseł w pliku tekstowym na komputerze.

Menedżer haseł ma za zadanie podstawiać odpowiednie hasła odpowiednim usługom. Złamanie bazy danych danego serwisu czy usługi spowoduje jedynie odtajnienie hasła stosowanego tylko w tej jednej usłudze, ale nie naruszy bezpieczeństwa samego menedżera. Ponadto niektóre menedżery haseł mogą korzystać z dodatkowej, biometrycznej warstwy uwierzytelniania np. przez odblokowywanie odciskiem palca użytkownika.  

Należy jednak pamiętać, że jest pewne ryzyko związane z zarządzaniem hasłami. Po pierwsze, jeśli ktoś  zapomni głównego hasła do bazy menedżera, to utraci wszystkie hasła. Po drugie, centralne bazy haseł mogą być popularnym celem ataków hakerów.

System zarządzania bezpieczeństwem informacji - dowiedz się więcej

Menedżer haseł Google Chrome. Czy warto z niego korzystać?

Google intensywnie promuje menedżera haseł dołączonego do swojej przeglądarki Google Chrome. Dużą zaletą tego rozwiązania jest generowanie w przeglądarce długich, mocnych haseł, których nie trzeba zapamiętywać. Ma też jednak swoje wady.

Potencjalne zagrożenia związane z zapisywaniem haseł w Google musimy zacząć wymieniać od problemów związanych z centralizacją usług tej amerykańskiej firmy. W przypadku wycieku naszych danych logowania do konta Google potencjalny cyberprzestępca jest w stanie bez trudu dostać się na nasze wszystkie konta, ponieważ po prostu skorzysta z autouzupełniania Menadżera Haseł. W przypadku kradzieży naszego smartfona złodziej także może łatwo dostać się na wszystkie nasze konta.

– czytamy na stronie Bitdefender.

Wadą tego menedżera haseł jest też to, że współpracuje on jedynie z Google Chrome. Inne przeglądarki nie są kompatybilne z akurat tym narzędziem, ale bez trudu znajdziesz program działający w systemie Windows, iOS, Androidzie, a także online.  Wśród najpopularniejszych programów służących do zarządzania hasłami wymienia się LastPass Premium, 1Password, Password Manager Pro, KeePass czy Dashlane Premium. Warto pamiętać, że niektóre menedżery haseł dostępne są za darmo.

Sensownym pomysłem może być korzystanie z menedżera haseł do mniej ważnych stron www, ale w przypadku danych kluczowych - jak te do bankowości internetowej czy maila - warto pomyśleć o mocniejszych zabezpieczeniach.

Zabezpieczanie haseł. Sprawdź przepisy

RODO (ogólne rozporządzenie o ochronie danych osobowych) wprowadziło nowe podejście w zakresie stosowanych haseł dostępowych. W rozporządzeniu zniesiono wymóg stosowania odpowiedniej złożoności haseł, ich minimalnej długości oraz co najistotniejsze – częstotliwości zmiany.

Z punktu 84 preambuły RODO wynika, iż administrator danych musi dobrać odpowiednie środki techniczne i organizacyjne w celu zabezpieczenia przetwarzanych danych osobowych na podstawie przeprowadzonej analizy ryzyka. Rzetelnie przeprowadzony proces ma za zadanie wskazać organizacji zagrożenia dla jej infrastruktury IT, oszacować potencjalne straty związane z naruszeniem bezpieczeństwa oraz zaproponować rozsądne rozwiązania ograniczające ryzyko incydentu.

Innymi słowy, dzięki analizie ryzyka administrator ustala np. minimalną długość haseł lub częstotliwość zmiany hasła. Nie dziwi więc, że na gruncie obowiązywania RODO większość organizacji zdecydowało się na załagodzenie polityki haseł, zwłaszcza w aspekcie wydłużenia częstotliwości ich zmiany (najczęściej wybieranym okresem są 3 miesiące). 

Należy pamiętać również o dobrych praktykach, które wywodzą się z grupy standardów ISO dotyczących bezpieczeństwa informacji, tj. ISO 27001. Co prawda nie jest to zatwierdzony kodeks postępowania, o którym mowa w RODO, ale jest to zbiór zasad, które są uznawane na całym świecie. Zasady te mówią, że zmiana hasła powinna się odbywać nie rzadziej niż co 30 dni. Administrator po przeprowadzeniu analizy ryzyka może wskazać systemy o różnych poziomach ważności danych i  w ramach tak przyjętego podziału może wprowadzać różne okresy zmiany haseł.  

Normy ISO kluczowe w procesie ochrony danych - analiza LexDigital

Kradzież haseł do kont internetowych

Niestety kradzież haseł jest dość powszechnym przestępstwem internetowym. Często podczas jednego ataku hakerzy potrafią przejąć tysiące haseł użytkowników. Brak resetu haseł pozwolił atakującemu na dostęp do kont osób, które miały słabe hasła.

Co więcej, stosowanie przez klientów sklepu tego samego hasła w innych serwisach pozwoliło włamywaczowi na sprawdzenie, czy ofiara na podany w tym sklepie internetowym adres e-mail miała także założone konta w innych serwisach (np. Facebooku, Instagramie, e-mailu, serwisach z grami, portalach aukcyjnych). Jeśli hasło było takie samo, włamywacz mógł dostać się na kolejne konto ofiary i wykraść więcej danych na jej temat, ale także w zależności od serwisu wykorzystać to konto do innych celów: oszustw, kradzieży lub wyłudzeń.

LexDigital: ochrona danych w czasie rzeczywistym

LexDigital jest jednym z prekursorów świadczących usługi związane z dostosowaniem wewnętrznych procesów organizacji do wymogów RODO. Dziś na swoim koncie mamy kilkadziesiąt wdrożeń w przedsiębiorstwach pochodzących z różnych sektorów rynku. Mogliśmy tego dokonać dzięki pracy interdyscyplinarnego zespołu specjalistów, którzy bazując na wieloletnim doświadczeniu tworzą indywidualne rozwiązania dla każdego z podmiotów bez względu na rodzaj wykonywanej działalności.

Chcesz, aby Twoja firma działała zgodnie z prawem i obowiązującymi aktualnie przepisami? Potrzebujesz porady lub wsparcia z zakresu ochrony danych osobowych? Nasi eksperci służą Ci swoją pomocą! Jeśli masz dodatkowe pytania, prosimy: napisz do nas maila: biuro@lexdigital.pl lub zadzwoń: +48 500 214 942.