Как обеспечить безопасность паролей и как часто нужно их менять?

Всем знакомо понятие «пароль», и все же напомним, в чем его суть. Пароль – это комбинация из цифр, букв, специальных символов, которая является ключом к учетной записи и участвует в процедуре аутентификации, а в связке с идентификатором помогает подтвердить личность при попытке человека войти в систему. В то же время паролем могут воспользоваться не только легальные пользователи, но и злоумышленники. Такое происходит, если комбинация «слита», угадана, подобрана. Рассказываем, как правильно составить пароль и минимизировать риски.

Как правильно составить пароль 

Напомним, чего делать не следует:

• Использовать в качестве пароля имя, фамилию, дату рождения, номер телефона, адрес электронной почты и другие данные, которые легко узнать. 
• Использовать банальные пароли (например, 12345), просто набирать подряд символы на клавиатуре. 
• Применять одинаковый пароль для нескольких аккаунтов.
• Создавать короткие пароли.

В арсенале злоумышленников есть алгоритмы для подбора паролей. Например, перебор по словарю – использование программ, автоматически компонующих распространенные сочетания. Или брутфорс-технологии, перебирающие возможные комбинации до тех пор, пока верная не будет угадана. Также мошенники заглядывают в социальные сети, чтобы почерпнуть информацию, которая может входить в состав пароля. 

Чтобы усложнить злоумышленникам задачу, необходимо создавать небанальные длинные пароли, содержащие цифры, заглавные и строчные буквы, специальные символы (например, @, &). Как правило, у каждой системы есть требования к комбинациям, которые необходимо соблюдать. Однако сочетания следует максимально усложнять, исключая логику при расстановке символов. 

В качестве пароля можно использовать кодовые фразы. Но алгоритмы взлома знакомы и с этой тактикой, поэтому слова в комбинациях лучше располагать в произвольном порядке. Также их можно разбавлять случайными символами или заменять некоторые буквы цифрами. Пример надежной кодовой фразы – 4ei@Тyt%K0mp”Ut@p. 

Чтобы упростить задачу по созданию пароля, можно воспользоваться специальными программами-генераторами. Они выдают безопасные комбинации под требования информационных систем. Для надежности можно улучшить их, добавив пару символов или заменив часть букв на цифры. 

Какие пароли сложно подобрать 

Под словом «подобрать» будем воспринимать любую попытку злоумышленников завладеть паролем, в том числе использование программ для распознавания комбинаций. Какие пароли считаются максимально защищенными от взлома?

• Длинные – от 10 символов. Лучше, если их будет больше 12.
• Небанальные, то есть не «password1234» и подобные типичные комбинации.
• Разнообразные – пароли с символами, нижними подчеркиваниями, цифрами, буквами.
• Уникальные, ранее не использованные.
• Не содержащие очевидных подстановок, например буквы «О» вместо нуля.

Часто пользователи совершают ошибку – в попытке усложнить пароль используют комбинацию, которую не могут запомнить. Затем события часто развиваются по одному из двух путей. Первый – пользователи записывают данные в блокнот или на стикер, приклеенный к монитору, в результате чего информация может попасть к третьим лицам и быть скомпрометированной. Второй вариант развития событий – пользователям придется восстанавливать пароль, что не всегда легко и удобно. Поэтому стоит применять комбинации, которые будут понятны или пригодны для запоминания, но проблематичны для машинного подбора. 

Какие пароли сложно подобрать: f3a_=Vg3cB*j, ВaMNm0GomolO_ka, PrоCt0!4yDeSH0. Тут есть сочетания символов разного регистра, цифры, специальные знаки, английские буквы. Маловероятно, что программы злоумышленников смогут составить такие комбинации. 

Как часто необходимо менять пароли 

Чтобы пароли не были скомпрометированы, рекомендуется менять их каждые 3 месяца (минимум раз в полгода). Периодичность зависит от ценности данных в аккаунте, частоты использования учетной записи, надежности механизмов защиты информационной инфраструктуры. Однако же не редки случаи, когда действовать следует незамедлительно:

• При подозрении на утечку данных, в числе которых содержание учетной записи.
• Если в аккаунте замечена подозрительная активность. Иногда система присылает уведомления о нетипичных для пользователя действиях – например, попытках входа с другого устройства или смене геолокации. Также подозрительную активность можно распознать по перечню операций, которые не совершались владельцем аккаунта. 
• Если устройство, с которого совершается вход под учетной записью, утеряно. В таком случае велик риск, что в аккаунт попытается зайти кто-то другой. 
• Если у кого-то еще был доступ под этой же учетной записью, но теперь необходимость в нем отпала. 
• Если из компании уволился сотрудник, у которого была учетная запись для доступа к информационным системам. 

Многие не задумываются о том, как часто необходимо менять пароли и годами используют одни и те же комбинации. Причем так поступают не только владельцы аккаунтов в социальных сетях, личных ящиков электронной почты и т. д, но и компании, располагающие конфиденциальной корпоративной информацией. В подобных случаях сильно возрастают риски утечки данных и других угроз в сторону организаций. 

IGA-система для систематизации пользовательских данных и работы с паролями

У всех компаний должна быть парольная политика – свод правил, регламентирующих создание и надлежащее использование атрибутов учетных записей. Ее можно настроить отдельно в каждой используемой системе или централизованно с помощью IdM/IGA-решений. К ним относится и наш продукт Solar inRights, который позволяет:

• Задавать политики для конкретных систем или единую для всех через удобный интерфейс.
• Автоматизировать подстановку настроенных учетных данных во все подключенные информационные системы.
• Своевременно менять пароли к разным информационным системам из единого интерфейса. Решение позволяет задавать комбинации самостоятельно или с помощью встроенного генератора. 
• Актуализировать атрибуты учеток в случае кадровых изменений (например, при увольнении работника) и синхронизировать их с подключенными системами. 
• Настраивать автоматическую блокировку после неудачных попыток войти под учетной записью (в частности, задаются количество попыток и временные промежутки между ними).

Благодаря Solar inRights можно забыть о вопросе, как правильно составить пароль. Решение помогает создавать надежные комбинации, управлять учетными записями, автоматизировать рутинные операции. С его помощью проще следить за периодичностью смены атрибутов учеток, поскольку система генерирует и рассылает оповещения ответственным лицам. 

Заключение

Пароли – условные барьеры для защиты пользовательских аккаунтов от несанкционированного проникновения. Поэтому важно, чтобы они были максимально надежными и небанальными, вовремя менялись. Часто этими правилами пренебрегают, что чревато утечками конфиденциальной информации.

IdM/IGA-решение поможет задать парольную политику и оптимизировать работу с учетками. Наш продукт Solar inRights располагает широким функционалом для управления паролями, который соответствует стандартам безопасности и может варьироваться под требования организации-заказчика.