Alapozó célú írásainkat folytatva, eljutunk egy roppant kényes, sokszor kínos kérdéshez, a jelszavakhoz. Jelszavakat ma már mindenki használ, függetlenül a számítástechnikától. Napjainkban már nincs is élet jelszavak nélkül, ami egykor csak egy igazolvány volt, mára elektronikus azonosítók tucatjait jelenti. Jelszavak kellenek a bankműveletekhez, a szolgáltatók ügyfélkapuihoz, az adóbevallás elektronikus beadásához, az ügyintézésekhez, a wifi kapcsolatokhoz, levelezésünkhez, közösségi oldalak használatához és számos esetben a lakásunkba is csak kód megadásával jutunk be. Emellett munkánk során is több azonosítónk van. A területek egy része kritikus, azaz nagyon fontos a zárt világ, más részek viszont nem, ilyenkor kárt nem szenvedünk, ha idgenek is bejutnak „életünkbe”. Mindez rávilágít a legnagyobb problémára: ennyi azonosítót még akkor sem tudunk fejben tartani, ha területenként ugyanazt használjuk, és valamilyen személyes kódsort alkalmazunk.

Életünkhez sajnos nagyon sok jelszó kell, ráadásul bonyolult jelszavakat kell kieszelnünk.

Legalább is ezt állítja a protokoll, ezt sugallják a biztonságtechnikai cégek nap, mint nap. Növeli ráncaink számát, hogy a területek, ahova a jelszavak kellenek, maguk is szabályozzák életünket, meghatározzák a jelszó hosszát, a választható és kötelezően használandó karaktereket, előírják, hogy a jelszó nem tartalmazhat korábban már megadott személyes információkat és így tovább. Kötelezhetnek a jelszócserére és ez újabb kötöttséget eredményez, keresztbe tesznek a protokolloknak, hiszen nem a szokásos jelszósorozat létrehozása a dolgunk, hanem a befogadó előírásainak kell megfelelni.

Az elmélet és az élet

A belépési azonosítókkal kapcsolatos napi rémtörténetek valójában az esetek döntő részében nem is fedik a valóságot. A nyilvánosságra került jelszólopások, a tömeges kiszivárogtatások szinte minden esetben valamilyen egyedi támadással valósultak meg és nem egy-egy jelszó ellopásával. A jelszólopással történő események pedig szinte minden esetben valamilyen bűnelkövetéshez köthetők, azaz teljesen lényegtelen az azonosítók létrehozása, kezelése.

A jelszó valójában nem azért fontos, hogy az illetéktelenek ne jussanak a titkainkhoz, hanem hogy illetéktelenek ne tudjanak abban kárt tenni, rombolást végezni.

A protokollok szépen leírják egy optimális jelszó elkészítését. Igen, egy jelszóét… De nekünk 25-30 is kellhet. A protokoll tehát hibás, az életben nem használható, mivel nem veszi figyelembe a jelszóhasználat életszerűségeit. Véleményünk szerint ezért ne magára a jelszóra koncentráljunk, hanem annak használatára és a jelszóval védendő környezet optimális kialakítására.

Vegyünk egy egyszerű munkahelyi példát: Miért csak egyetlen email fiókot használunk jellemzően? A munkához csak egyet, deprivát célra sok különbözőt… Nem fordítva kellene? Nem a védendőt védjük, hanem az "értéktelent"? Ma már nemcsak a nyílt szolgáltatóknál regisztrálhatunk email fiókokat, hanem a céges domainhez is korlátlan email cím állítható be. Most akkor miért nincs a munkához is külön-külön, az alaplevelezéshez, a hírlevelekhez, a szakmai kapcsolatokhoz és így tovább? A mai levelezőrendszerekbe mindez összekapcsolható és egyben látható, kezelhető. Ilyenkor nyugodtan használhatunk azonos jelszavakat, hiszen „kintről” nem az az első feladata a rosszindulatú egyénnek, hogy ellopja a jelszavunkat, majd belépjen hozzánk, hanem előbb még meg kell tudnia, hogy milyen szolgáltatóknál vannak a fiókjaink!

A "vészjelzők" nagyon sokszor elfeledkeznek arról, hogy a leselkedők alapból valójában nem is tudják, hogy mi mit is használunk, mihez, milyen azonosító szükséges. Ha a bankszámlánk a célpont, akkor a céges belső alkalmazásbelépésünk kapcsán az soha nem kerül terítékre, azaz azonos jelszó itt semmi veszélyt nem jelent… A veszély akkor jelentkezik, ha mondjuk az emailünk tartalmazza a banki adatainkat is és a két belépés azonos adatokat használ! Ezért levélben soha nem küldünk szöveges formában titkos információkat. Soha! Egyszerű rutin: jelszavas tömörítés és a tömörített fájl küldése. Na jó, akkor még ott a gond, a tömörített fájl jelszavának a biztonságos megadása…

Tehát nem a jelszavak bonyolult szabályaira célszerű koncentrálni, hanem arra, hogy a privát területeinket megfelelően „eltakarjuk” a külvilág elől! Megfelelő biztonságtechnikai szemlélettel a jelszómizéria megszüntethető.

Egyszerű módszerek

Két példán keresztül mutatjuk be a megoldásokat és a felmerülő gondokat. Vegyünk egy alap munkahelyi, illetve egy korszerű magánfelhasználási esetet.

A klasszikus kisvállalati környezetben van szerver és vannak felhasználói számítógépek, a hálózat wifis routeren keresztül kapcsolódik az internetre és a számítógépek intraneten keresztül látják egymást. Tehát önmagában is vannak kapuk, sorompók:

• - a router – internet kapcsolatban (a fő azonosítót a szolgáltató adja), a router szabályozza a külvilággal történő kommunikációt.
• - a router adja az IP címeket, így az intranetes alapkommunikáció is a routerben szabályozható
• - a szerver – intranet kapcsolat esetében a szerver operációs rendszer is egy biztonsági védelmet biztosít
• - a szerver – kliens kapcsolatban a szerver biztonsági rendszere képviseli a védelmet (amit a routerben már megszűrtünk, előkészítettünk)
• - a kliens – alkalmazás körben az alkalmazás használata is belépési adatokhoz kötött…
• - a kliens – külvilág kapcsolatban ismét a routeré a főszerep
• - a kliens – külvilági alkalmazások esetében a(a router szűrése után) a klienseknél kell megadni az internetes alkalmazásokhoz a szükséges belépési adatokat…
• - a wifis eszközök használata router és szerver biztonsági beállításokon át történik.

A felsoroltak jelzik, hogy egy munkahelyi kapcsolat is mennyi védelmi szálon keresztül fut, és az is, hogy a jelszavak minden esetben csak a második védvonalat jelentik, csak az aktuális belépéseket szabályozza, a kapcsolatokat önmagukban nem. Az illetéktelen behatoláshoz előbb a fő védvonalakon keresztül kell bejutni, így két kritikus adat van: a router és a szerver fő azonosítója, de ezek meg nem felhasználói információk!

A napjainkban elterjedt „vékonyklienes” jellegű, mobileszközös kapcsolatok hátterében is a két fő eszköz a kritikus, a privát belépések - akár a bankunk rendszerébe is - kizárólag egyedi és lokális károkozást jelenthetnek. Innen azonban már sajnos tovább vezethető a „szál”, egy lokális gép „elfoglalása” már megkönnyíti a további támadásokat. Persze van egyszerű ellenlépés, a kritikus pontokon ne IP alapú, hanem MAC-címes azonosítást alkalmazzunk és a mobilkörnyezetből csak a legritkább esetben és csak megbízható szoftverkörnyezet alól folytassunk bizalmas jellegű kommunikációt.

A bemutatott munkahelyi példának az ellentétje valósítható meg magánterületen. Egy mai, okostévés lakásban, ahol számítógépünk, mobiltelefonunk, hálózati adattárolónk stb. is működik, az egész integrálható egyetlen közös rendszerbe! A védelmet az internetszolgáltató által biztosított eszköz jelenti, nekünk csak két feladatunk van, telepítés után ennek az eszköznek a belépési adatainak a megváltoztatása és a wifi kapcsolat nevének „általánosítása”, illetve az alaptól eltérő egyedi jelszóval való ellátása. Ha a router neve - ami "kintről" látható - nem utal ránk, akkor nem is azonosítható velünk, tehát a belépési próbálkozások sem köthetők a nevünkhőz vagy más ránk utaló ismert fogalomhoz! Ezt követően egy erre a célra regisztrált gmail fiókkal az egész hálózat automatikusan összekapcsolható, a belépések automatizálhatók, kár nem érhet bennünket. Természetesen az ilyen környezetből indított slendrián bankműveletek továbbra is kockázatosak!

Használat vagy adminisztráció

A sok és bonyolult jelszó valójában nem a biztonságunkat növeli, hanem a használatot keseríti meg, azaz még csökkentheti is a édelmünket! Hogyan lehet úgy dolgozni, ha reggel (vagy ebédről visszatérve) minden esetben le kell zongorázni a lokális gépbe történő belépéshez, a szerverhez történő kapcsolódáshoz, az internetre kijutáshoz, az email fiókok eléréséhez, majd az alkalmazásokhoz történő hozzáféréshez szükséges egyedi procedúrákat?

Nem úgy lenne célszerű, ha a helyi gépbe történő belépés mellett csak az alkalmazás hozzáférési adatokat kelljen megadni, a többi épüljön fel önműködően? Persze ehhez előbb a belső biztonsági folyamatokat kell pontosan kialakítani és beállítani. A jelszavakat meg ehhez kell szabni és nem az általános protokollokhoz! Ha jól építettük fel rendszerünk első védvonalát, a biztonsági protokollokat, a szabályokat, a funkcióalapokon „szétszórtuk” a jelszavakra váró tevékenységeinket, akkor maga a jelszókészítési szabály már nagyon egyszerűvé válik. Például melyik munkatársunk tudja az első nejünk becenevét...?

Említsünk még meg egy, a fentiekhez szervesen kapcsolódó további problémakört is. Tehát az életünkhöz napjainkban rengeteg és sokszor bonyolult jelszra van szükségünk. OK, ebben egyet is érthetünk, hiszen nem egy esetben ezt valójában a befogadó írja elő nekünk. Na de hogyan kezeljük mindezt? Ennyit nem tarthatunk fejben, a belépéseknél nem tölthetünk perceket a kitalálásukkal és mobileszközökön az „ákombákomok” bepötyögése sem egyszerű feladat.

A megoldás: nyugodtan használjunk jelszókezelő alkalmazásokat! Segítségükkel létrehozhatunk bonyolult karaktersorokat, miközben fejbentartásuk és begépelésük nem a mi feladatunk. Soha ne a lokális gépünken tároljuk belépési adatokat! A böngészőkben azonban nem kell kikapcsolnunk ezt a szolgáltatást, hanem egy kritikus jelszó első beírásakor válasszuk a „Soha ne tárolja” opciót. Így a többi nem kockázatos oldalhoz el is menthetjük az adatainkat, míg a kritikus belépéseknél többé nem jelenik meg a kérdés.

A védett jelszókezelők biztosítja az összes jelszavunk tárolását.Egy ilyen optimálisnak nevezhető alkalmazás például a minden platformra, eszközre elérhető LastPass! Mesterjelszó kell a használatához, az információk tárolása védett jelleggel történik. És nem is kell folyamatosan aktív állapotban tartani.

A „szőkenős négycsillagos” viccek viszont nem kitalált esetek! A felhasználók nagy száma használ kényelmi okokból valamilyen buta jelszót, de ugyanennyire felelőtlen viselkedés az is, amikor védett környezetben folyamatosan „nyitva” hagyunk helyi számítógépet, megkerülve ezzel az egész biztonsági védelmet. Ha otthonról szeretnénk elérni munkahelyi gépünket, arra megvannak a megfelelő és biztonságos megoldások, ez ismét nem jelszókérdés! Hallottunk olyan esetekről, ahol egy lokális gép belépési jelszava három azonos karakter volt és egy freeware alkalmazáson keresztül pedig  napokig kinyitva volt a külvilág felé…

Milyen jelszóprotokoll védi meg az egyébként védett környezetet, ha tárva-nyitva hagyjuk a bejárati ajtót?