Význam silných hesel a MFA

Jedním z témat letošního Měsíce kybernetické bezpečnosti – „Vidět se v kyberprostoru“ – jsou jednoduché kroky, které mohou jednotlivci a organizace podniknout, aby se lépe chránili před kyberzločinem. Dvěma z těchto opatření jsou použití silných hesel a aktivace vícefaktorové autentizace (MFA). Je snadné pochopit proč. Je smutné, že i v roce 2022 lidé stále používají slabá, snadno uhodnutelná hesla jako „12345“, „qwerty“ a ano, „heslo“ pro přístup k účtům, systémům a kritické infrastruktuře. Někdo si může myslet, že pokud spojíte své datum narození se jménem vašeho psa, složitost je dostatečná k tomu, aby zabránil kyberzločinci uhodnout vaše heslo.

Ale není to tak. Je známo, že odhodlaní útočníci prohledávají účty svých obětí na sociálních sítích a hledají stopy, které jim pomohou uhodnout hesla. A existuje mnoho nástrojů, které hackerům pomáhají prolomit hesla, která jsou založena na vzorcích nebo slovech. Nedávné společné varování americké Agentury pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a dozorčích orgánů pro kybernetickou bezpečnost z několika dalších zemí poukázalo na roli slabých bezpečnostních kontrol při porušování a na potřebu organizací zpřísnit pověření (mimo jiná doporučení). Mnoho z nejsledovanějších incidentů kybernetické bezpečnosti – jako loňský ransomwarový útok Colonial Pipeline – začíná útočníky pomocí ukradeného hesla.

Dvě z nejdůležitějších opatření v oblasti kybernetické bezpečnosti jsou použití silných hesel a aktivace vícefaktorové autentizace (MFA).

Dobrá hygiena hesel dnes začíná tím, že máme pro každý účet jedinečná, náhodná a složitá hesla (alespoň 16 náhodných znaků, nikoli slov ze slovníku). To se samozřejmě snáze řekne, než udělá. Lidé mají obecně problém si zapamatovat hesla, a v důsledku toho mají tendenci držet se jednoduchých hesel, opakovaně používat hesla v různých účtech nebo je mírně pozměňovat (například změnou jednoho znaku). Bohužel, opakovaně používaná hesla mohou v případě porušení vytvořit několik zranitelností.

Jedním ze způsobů, jak tento problém minimalizovat, je podporovat používání správců hesel. Díky nim mohou uživatelé snadno vytvářet a sledovat složitá hesla. Ačkoli jsou databáze hesel hlavním cílem krádeží a jsou široce dostupné online, v případě krádeže databáze hesel může být prolomení silných hesel obtížnější.

Dobrá hygiena hesel je však pouze začátkem silného autentizačního systému. Důvodem je, že jakmile útočník získá přístup k heslu – ať už ho uhodne, koupí na temném webu nebo prostřednictvím sociálního inženýrství (jako je phishing), má „klíče ke království“, pokud nedojde k dodatečnému ověření. krok identity. Podle nejnovějšího DBIR společnosti Verizon se více než 40 % všech porušení týká použití odcizených přihlašovacích údajů; u narušení infrastruktury směřující k internetu, jako jsou webové a e-mailové servery, přesahuje 80 %. A podle jednoho odhadu počet hesel ukradených a prolomených na temném webu narostl na 24 miliard a rok od roku roste a konec je v nedohlednu. Zde vstupuje do hry vícefaktorová autentizace (MFA). Dokáže zastavit mnoho útoků dříve, než začnou, i když útočníci získají přístup k přihlašovacím údajům. S MFA jsou uživatelé povinni poskytnout jak heslo, tak alespoň jedno dodatečné ověření své identity – například odpovědí na zprávu na schváleném mobilním zařízení, pomocí hardwarového klíče nebo biometrických údajů, jako je otisk prstu. – předtím, než jim bude udělen přístup k sítím nebo zdrojům. Tento krok navíc výrazně zvyšuje stupeň obtížnosti pro útočníky a výrazně snižuje pravděpodobnost, že prolomené přihlašovací údaje budou stačit k zahájení útoku.

Je stále jasnější, že MFA není jen pěkným bezpečnostním prvkem, je to zásadní součást jakékoli bezpečnostní architektury. Verizon DBIR doporučuje MFA jako první věc, kterou by malé a střední podniky měly implementovat, aby se ochránily před kybernetickými útoky. Stejně tak nedávné varování CISA naznačuje totéž. Zatímco řešení bez hesel se začínají prosazovat, hesla náhle nezmizí. Dobrou zprávou je, že MFA je cenově dostupný, snadno implementovatelný a snadno použitelný.

Guillermo Fernandez, manažer prodeje WatchGuard Iberia