Nařizuje vám zaměstnavatel neustále měnit hesla? Může to být cesta do pekel!

Nařizuje vám zaměstnavatel neustále měnit hesla? Může to být cesta do pekel!

Jedna z letitých a stále opakovaných bezpečnostních pouček hojně používaných v podnikové sféře je povinná změna hesla po určitém časovém období. Oddělení IT jednoduše vyžaduje, abyste si i několikrát do roka vytvořili heslo k poště, do všemožných intranetových systémů aj.

Toto pravidlo dává na první pohled samozřejmě smysl, protože pokud útočník odhalí starou variantu, v ideálním případě mu bude k ničemu, protože již budete používat jiné heslo.

Jenže to má háček, lidé totiž nejsou stroje. Alespoň ve většině případů.

Klepněte pro větší obrázek
Něco podobného zná leckterý zaměstnanec

Pokud je surfař přinucen změnit si heslo, zpravidla volí cestu nejmenšího odporu. Aby si nové heslo byl vůbec schopen zapamatovat, často upraví jen to původní drobnou transformací. A tak se z řetězce mojeSuperHeslo stane mojeSuperHeslo1, pak mojeSuperHeslo2 a tak dále. Však to sami dobře znáte.

Problém spočívá v tom, že se jedná o transformace, které jsou strojově předvídatelné, a tak zkušený útočník při prolomení některého ze starších hesel může vyzkoušet, jestli nové heslo neodpovídá některému z podobných transformačních vzorů a může jej odhalit za zlomek času – prakticky okamžitě.

O politice periodické změny hesel si myslí své i Lorrie Cranorová z Carnegie Mellon University, která se v lednu stala technologickým šéfem americké federální obchodní komise FTC a zaujal ji tento tweet, ve kterém průběžnou změnu hesel doporučuje sama mateřská organizace.

Cranorová začala s kolegy problém zkoumat, až se dostala ke starší studii z roku 2010 z pera výzkumníků z University of North Carolina at Chapel Hill, kteří se již tehdy zabývali zranitelností periodicky se měnících hesel a na vzorku z vlastní univerzity zjistili, že se studenti a zaměstnanci chovají přesně podle popsaného předpokladu a volili velmi podobná hesla originálu, což vedlo k potenciálně nižší bezpečnosti.

Těžko říci, jestli se na základě přístupu Cranorové změní přímo doporučení FTC a především korporátní praxe, jistě mi však dáte za pravdu, že na stejném principu volí nová hesla nejen Američané, ale téměř všichni.

Klepněte pro větší obrázek
Bezpečnostní specialistka Lorrie Cranorová z FTC pochybuje o politice průběžné změny hesla

Určitou obranou by samozřejmě mohla být kontrola, jestli se nové heslo příliš nepodobá tomu starému, což ostatně některé systémy dělají, ovšem i tato politika není bezchybná, protože může vést zase k tomu, že si zaměstnanec zcela odlišné heslo napíše na papírek u svého pracovního počítače, čímž se však celý bezpečnostní systém zhroutí jako domeček z karet.

V krajním případě to nakonec může dopadnout jako před pár lety ve francouzském mediálním domě TV5Monde, kde se takto vypsaná hesla v kanceláři dostala dokonce do živého televizního vysílání.

Klepněte pro větší obrázek
Všemožná redakční hesla na papírcích v živém vysílání francouzské televize

Témata článku: Web, Bezpečnost, Zajímavosti, Hacking, Heslo, Analýza, Tips, CCS, Televize js

75 komentářů

Nejnovější komentáře

  • Harvester 4. 8. 2016 12:24:16
    "protože z hesla VelkejRumcajs1 se stane třeba jen VelkejRumcajs11,...
  • Hugo Messer 4. 8. 2016 11:50:06
    Kryptická hesla jsou nebezpečná - jsou slabá a nutí uživatele, aby si je...
  • Garfield73 4. 8. 2016 10:41:59
    Ntlzpstj.Pjtmvkz. Na tý louce zelený pasou se tam jeleni. Pase je tam...
Určitě si přečtěte

Jak rozšířit signál Wi-Fi: Extender je nejlevnější a snadná cesta

Jak rozšířit signál Wi-Fi: Extender je nejlevnější a snadná cesta

** Wi-Fi extendery dobře poslouží k rozšíření signálu ** Jsou to malé krabičky do zásuvky s triviálním nastavením ** Zvolte raději výkonnější modely, svůj účel splní lépe

Včera | David Polesný | 24

11 tipů, jak efektivně a přesně sledovat počasí pomocí internetu

11 tipů, jak efektivně a přesně sledovat počasí pomocí internetu

** Sledujte počasí z více zdrojů a podrobněji, přesněji tak určíte, jaké počasí vás potká na dovolené ** Na webu najdete hromadu pokročilých předpovědí počasí, ale i specializované meteorologické služby ** Vybrali jsme 14 služeb na počasí, které se vám můžou hodit

23.  6.  2017 | Jakub Čížek | 19

Nejlepší program pro střih videa na doma: 9 video editorů, ze kterých si vyberete

Nejlepší program pro střih videa na doma: 9 video editorů, ze kterých si vyberete

** Pokročilé střihové programy pro neprofesionální využití stojí do 3 000 Kč, jsou ale i zdarma ** Podpora 4K, hromada editačních funkcí a efektové filtry jsou samozřejmostí ** Vybrali jsme 9 nejzajímavějších programů pro nejrozšířenější operační systém Windows

25.  6.  2017 | Stanislav Janů | 34


Aktuální číslo časopisu Computer

Bojujeme proti Fake News

Dva velké testy: fotoaparáty a NASy

Co musíte vědět o změně evropského roamingu

Radíme s výběrem základní desky