A jelszavak bosszantóak tudnak lenni, hiszen kinek van kedve mindenféle ákombákomot megjegyezni. És főképp: minek? Ráadásul az informatikusok még külön meg is nehezítik a jámbor felhasználók dolgát holmi jelszólejárati és bonyolultsági szabályokkal.Egyáltalán, miért zaklatnak, miért... ... teszik próbára a memóriánkat? Nem mindegy, hogy melyik kollega lép be a munkahelyi számítógépbe? Sok felhasználó két egyszerû trükkel próbálja becsapni önmagát és a rendszert a számítógépes jelszókezelés során, hogy ne kelljen a csikorgó agyi fogaskerekeket különösebben járatni, ha egy újabb név-jelszó párost kell megadni valahol.
Kedvelt trükkök
Az első „trükk", hogy dolgozónk a direkt ebből a célból feltalált sárga „post-it" cetlikre írva a monitorára ragasztja a jelszavát. A ravaszabbak persze a billentyûzet aljára ragasztják e papírkákat, így védik meg azokat az illetéktelen tekintetek és a rosszindulatú egyének pillantásától. Baj ez? Baj bizony, s hogy miért, arra hamarosan kitérünk. A második „trükk" az, hogy mindenhol, mind a 30 helyen, ahol jelszót kérnek, ugyanazt adjuk meg! Zseniális! Nincs cetli, nincs felejtés, minden rendben!
Vegyünk néhány elrettentő példát! Ha valaki hozzájut az azonosító adatainkhoz, és eljár a munkakörünkben, minden rendszernapló azt fogja mutatni, és minden ellenőrzés, nyomozás arra az eredményre jut, hogy a szóban forgó felhasználó adta férjhez a BM adatbázisban Kis Lajoshoz Kovács Rózsit! Õ, bizonyíthatóan ő emelte meg Gipsz Jakab fizetését! És csakis ő lehetett az, aki tanítási szünetet rendelt el körlevélben! Õ, nem más, mint ő, azaz .... A kipontozott helyre mindenki írja be azt az őrült módosítást, amire a számítógépes rendszer őt feljogosítja, de amilyet sosem tenne, mert van esze. Lám-lám!
A második trükk még „jobb".
Ha valaki ugyanazt a név+jelszó kombinációt (vagy ennek valami primitív variációit) használja mindenhol, akkor bárki, aki ehhez hozzáfér, egy érdekes körbe lép be: az egyformán nyíló webhelyek bûvkörébe! Támadónk tehát a „post it"-ről leolvasott vállalati név+jelszóval be tud menni az iwiw-re, megnézheti hősünk ismerőseit. Az iwiwről kinézett ismerősöknek levelet tud írni ugyanezzel a jelszóval a freemailről (citromail, gmail, hotmail stb. - a megfelelő behelyettesítendő). A megszerzett jelszóval be tud lépni védett helyekre, hozzáírhat a gyanútlan felhasználó blogjához, vásárolhat valamit a nevében a Vaterán, további geoládákat találhat meg helyette a geocaching.hu-n, illetve hülyeségeket és sértéseket ír a nevében egy fórumon, vagy mondjuk beváltja a pontgyûjtő kártya pontjait.
Jó ötletek jelszavakhoz
Ennyit a problémákról. Illene valami megoldási javaslatot is adnunk, mert attól, hogy jól megrémisztünk mindenkit, a felhasználó továbbra sem lesz képes 30-40 különböző krix-krax jelszót megjegyezni. Az első megoldási javaslat úgy hangzik, hogy ha már különböző jelszavakat illik megadni, azok ne ákombákomok, hanem értelmes mondatok legyenek. Ha az informatika azt írja elő, hogy a jelszavunk minimum 8 karakteres legyen, benne kis- és nagybetû, írásjel és még szám is, akkor valami ilyesmit érdemes megadni: „Én elmentem a vásárba 1 pénzzel." Van benne írásjel? Van! Szám? Az is! Hosszú? Igen. És ami a lényeg: megjegyezhető! Internetes regisztrációnál jelszót kérnek? Hmmm, lássuk csak, mi jut eszembe erről a szájtról? Az, hogy olyan zöld a háttér, mint a fû? Legyen tehát a jelszavam „Égigérő fû."
Persze az is igaz, hogy a megjegyezhető értelmes mondatok száma is korlátozott, arról nem is beszélve, hogy az ember előbb-utóbb összekeveri őket. Milyen jó, hogy a böngészőnk szívesen megjegyzi a jelszavakat helyettünk! Ezzel csupán két gond van. Ha ugyanis a böngésző tudja a jelszavamat, de én már nem, akkor hogyan jelentkezem be az adott helyre mondjuk külföldön járva?
Kettő, és tudatosítandó tényező, hogy a böngésző kedves szolgáltatása a „post-it" ragasztgatásnak felel meg, aki odatéved erre a weblapra, miközben én vagyok bejelentkezve (mondjuk kávézni mentem), minden kérdés nélkül bemehet, és „rendet" teremthet.
Elektronikus pénztárca egyetlen kóddal
A technológia mai állása szerint az igazi megoldás egy elektronikus pénztárca (wallet) lehetne, ami egyetlen jelszóval vagy PIN-kóddal nyílik (csak ezt kell megjegyezni), és a pénztárcában sorakoznak a bejelentkezési „kártyák", amelyeket csak elő kell venni, és felhasználni. Ilyen pénztárca már megtalálható a legtöbb, üzleti célú mobiltelefonban, valamint elérhető jó néhány, kereskedelmi forgalomban kapható e-wallet program is, amelyek a számítógépen látják el ugyanezt a feladatot. (Persze ezek megvásárlása bizalmi kérdés, nehéz döntés!)
Sajnos a böngészőgyártók nem kínálnak fel hasonló szolgáltatást, mind az Internet Explorer, mind pedig a Firefox „buta" abban az értelemben, hogy a megjegyzett jelszavakat vagy megadja automatikusan, vagy nem - a köztes út, a PIN-kód kérés hiányzik belőlük. (A Firefox mesterjelszava sajnos csak a böngésző indításakor véd.)
Szaporodó webhelyek, változatlan kezelés
A webhelyek pedig csak szaporodnak, szaporodnak, míg az azonosító adatok kezelése évtizedek óta változatlan. Pedig ugrásra készen várakoznak az alternatív megoldások. Csak az a baj velük, hogy a kritikus tömeg elérésétől fényévnyi távolságra vannak. Az egyik ilyen kezdeményezés a Microsoft nevéhez fûződik, a neve Windows CardSpace, és azon az elven alapul, mint mondjuk az útlevél. Egy hiteles, fényképes „dokumentumról" van szó, amelyet egy „központi szerv" állít ki a felhasználó számára, és ha ezt felmutatja, mindenki elhiszi, hogy az, aki. A CardSpacesszel történő bejelentkezés - ha majd egyszer valaki elkezd ilyen kártyákat elfogadni - rém egyszerûen mûködne, minden hitelesítéskor előjönnek a kártyák, s csak rá kell bökni arra, amit használni szeretnénk, és kész, már meg is történt az azonosítás.
Mit szólnának egy olyan bejelentkezéshez, amikor elénk kerül 1000 kis piktogram, és a bejelentkezéshez végig kellene kattintani ezt a sorozatot: kiskacsa-kiskacsa-létra-dömper? Aranyos, nem? Az 1000 db piktogram és a 24 karakteres angol ABC által megvalósítható jelszóbonyolultság között több nagyságrendnyi különbség van!
De hát itt még nem tartunk, és félő, hogy soha nem is fogunk. Összefoglalásképpen: amit mindenkinek ajánlani tudunk: jelszavak helyett használjanak „jelmondatokat"!
Ilyen és ehhez hasonló témákról is szó lesz majd a NetAcademia Oktatóközpont április 24-i, Ethical Hacking konferenciáján, amelynek célja, hogy a résztvevők megismerjék és megértsék azokat a leggyakoribb támadásokat, amelyekről a hírekben hallanak.
(Forrás: www.techline.hu)
