Kõige enam kasutatav parool maailmas on täpselt see, mida arvate: „123456”. Seda väidab NordPassiviimane aastaaruanne, mis käsitleb andmelekkedes avalikuks saanud paroole üle maailma. Ka teised liiga etteaimatavad valikud, nagu „123456789”, „12345678”, „12345” ja „admin”, on aasta-aastalt püsinud populaarsed.
Minu esimene instinkt on see kõrvale heita kui paanikat tekitav jutt, eriti arvestades, et halb paroolihügieen oli ka osa ühenduse kaasamise sessioonist, mida ma esitasin hiljutisel RSAC konverentsil „Let’s Rant: 4 asja, mis peavad küberjulgeolekus muutuma”.
Kuid kuna täna on ülemaailmne paroolipäev, pidin seda proovile panema: kas ma suudan ikka veel leida mõistlikult populaarse veebisaidi, mis lubab mul luua konto, kasutades paroolina „123456“? Kahjuks on vastus jaatav.
On populaarseid veebisaite, nagu„evite”, mis lubavad endiselt kasutada just seda kuuekohalist numbrikombinatsiooni paroolina. Võite seda pidada lihtsalt e-kutsete teenuseks, kuni te ei mõista, et jagate oma kutsetes isikuandmeid ja haldate potentsiaalselt kõigi kutsutute vastuseid kontoga, mis ei ole turvaline. Selle väga lihtsa testi šokeeriv osa on avastus, et Evite oli 2019. aastal andmelekke ohver, mis mõjutas üle 100 miljoni inimese isikuandmeid. Ettevõte peaks ilmselt paremini teadma, kui lubada oma kasutajatel kasutada nii nõrku paroole.
Olukord ei ole oluliselt parem isegi veel populaarsemate teenuste puhul. Kui ma üritasin luua uut kontot Facebookis, nõudis platvorm küll parooli keerukuse lisataset. Siiski osutus nii lihtne string nagu „1234567!” lubatud parooliks. X pakkus sarnast kogemust.
Nüüd pakub näiteks Facebook mõningaid nõuandeid, nagu:„väldi tavaliste sõnade kasutamist, nagu „parool””ja„Kui su parool pole piisavalt tugev, kasuta suurtähti ja väiketähti. Tee see keerulisemaks, kasutades pikemat fraasi või sõnade jada, mida sa mäletad, kuid teised ei tea.” Siiski lubab see kasutada „1234567!”, ilma tähtedeta, lihtsalt järjestikune muster, mille lõpus on lihtne hüüumärk – kõik kergesti äraarvatav, eriti automatiseeritud skriptide poolt, mis testivad kontosid massiliselt levinud mustrite ja stringide suhtes.
Samal ajal sundis Collins Dictionary, mis sisaldab palju vähem tundlikku sisu, mind looma kaheksakohalist parooli, mis sisaldab vähemalt kolme järgmistest: väiketähed (a–z), suurtähed (A–Z), numbrid (st 0–9) ja erimärgid (nt !@#$%^&*).
NordPassi andmed viitavad sellele, et on palju rohkem veebisaite, mis kehtestavad piiratud paroolipoliitika ja lubavad triviaalseid paroole nagu „123456”. Siiski arvan, et kõige levinumate paroolide arvutamisel kasutatud meetodis võib olla ka vanade andmete mõju. Näiteks kui ettevõte on tegutsenud 10 aastat ja pole kunagi kustutanud ühtegi passiivset kasutajakontot, siis hõlmaks andmeleke aegunud passiivseid kontot andmeid, millest osa võib pärineda ajast enne paroolipoliitika kehtestamist. Pealkirju püüdvate andmete avaldamise motivatsioon on samuti selge: uudiseid loovad tarnijad saavad sellest potentsiaalselt kasu, kuna nad pakuvad paroolihaldustarkvara tellimuspõhiselt.
Tsükli katkestamine
Kuidas me saame lahendada selle lõputu negatiivsuse tsükli paroolide teemal ning naeruväärse olukorra, kus platvormid lubavad endiselt kasutada ebaturvalisi paroole?
Ma ei toeta ideed, et seadusandjad peaksid kodanikke hellitama, kuid antud juhul arvan, et on aeg, et seadusandjad astuksid sammu edasi ja paneksid lõpu olukorrale, kus ettevõtted ei rakenda rangeid autentimispoliitikaid ja lubavad tarbijatel valida lihtsama variandi. On laialt levinud privaatsusõigusaktid, mis sätestavad, et ettevõtted peavad meie isikuandmeid, kui nad neid säilitavad, kaitsma asjakohaste ja mõistlike küberturvalisuse meetmetega. Nende meetmete keskne osa on tugevate ja keeruliste paroolide ning mitmefaktorilise autentimise (MFA) kasutamine, nagu nõuab iga enesest lugu pidav küberturvalisuse raamistik. Siiski puuduvad paljudel juhtudel küberturvalisuse nõuded autentimisele klientidele suunatud teenuste puhul.
Teisalt on mõned tööstusharud olnud sunnitud üle minema kaasaegsetele autentimismeetoditele. Näiteks finantssektoris on mitmeid määrusi, nagu makseteenuste direktiiv 2 (PSD2), mis nõuavad MFA-d elektrooniliste maksete ja veebipõhiste maksekontodele juurdepääsu puhul.
Seadusandlus peaks laienema kõigile tööstusharudele: lihtsalt rakendada MFA kõigi veebis loodud kontode puhul, sõltumata sellest, millisele teenusele juurdepääsu taotletakse, loobuda vananenud paroolide kasutamisest ja minna üle tänapäeva internetile sobivamale turvalisusele.
Sellise lähenemise kohustuslikuks muutmise potentsiaalne takistus on kontode loojate jaoks tekkiv sisenemistõke. Ettevõtted, kelle tulud sõltuvad reklaamist või isikuandmete kogumisest (ja müügist), lobivad selle sammu vastu märkimisväärselt, ning suure eelarvega ettevõtted nõuavad väga, et miski ei takistaks kasumit, eriti midagi sellist nagu klientide kontode turvalisuse tagamine keerulise parooli ja/või MFA nõudmisega.
Enamiku oma üle 30-aastasest karjäärist küberjulgeoleku valdkonnas on nõrkade paroolide teema olnud igapäevane sõnum, mida on levitatud paljudel üritustel ja spetsiaalselt selleks määratud päeval. Selle lahendamiseks on olemas lihtne ja tõhus viis: nõuda keerukaid paroole või, veelgi parem, MFA-d. Kas me võiksime lõpetada arutelu „nõrkade paroolide” üle ükskord ja lõplikult?
Tugevate paroolide loomiseks ja veebikontode turvalisuse kohta lisateabe saamiseks külastage ESETi parooligeneraatori lehekülge.
