בכל החברות בהן עבדתי עד כה דרשו ממני להחליף סיסמא למחשב בכל כמה שבועות. אם להיות כנה, זה הביא לי את הסעיף. עד שבחרתי לעצמי סיסמא טובה וחזקה ושיננתי אותה, הכריחו אותי לשנות אותה.
הנוהג הזה, של החלפת סיסמא כל פרק זמן קבוע, נחשב לכלל ברזל בעולם אבטחת המידע-אבל יש מי שמטילים ספק ביעילותו. סטיב גיבסון, מהפודקאסט המצוין Security Now מעלה כמה שאלות נוקבות על יעילותם של כמה מכללי הברזל האלה. אני לא אגזים אם אומר שהאזנה לפרק הזה ממש זיעזעה את כל תפיסת העולם שלי לגבי אבטחת מידע. הנה מספר דוגמאות שהעלה סטיב בפרק שעסק בעניין.
1. שינוי מחזורי של סיסמא: חובה? לא בטוח. סביר להניח שמי שגילה את הסיסמא לחשבון הבנק שלכם לא עומד וממתין. הוא פורץ לחשבון *עכשיו* וגונב כסף. זה שאתם מחליפים סיסמא כל שבועיים לא משנה דבר, מכיוון שהגנב לא מחכה שבועיים. החלפה תכופה של סיסמא רק משגעת את המשתמשים, ואינה תורמת לאבטחת המידע דבר. עדיף שהמשתמש יצור לעצמו סיסמא חזקה אחת וילמד אותה בעל פה, וכך ימנע את הפריצה מלכתחילה.
2. אל תכתוב את הסיסמא על דף- תשנן אותה בעל פה! רעיון טוב? לאו דווקא. ברוס שנייר, גורו אבטחה ידוע, טוען שאם אנחנו אוסרים על המשתמש לרשום את הסיסמא על דף, אנחנו מכריחים אותו ליצור סיסמא שקל לו לזכור- וזו *בהכרח תהיה סיסמא פגיעה יותר מסיסמא אקראית שקשה לזכור. ומה הסיכוי שמישהו יחטט לנו בניירות ויגלה את הסיסמא? לא גבוה, ואם הוא כבר מחטט לנו בניירות- אנחנו בצרות רציניות גם ככה.
3. אל תשתמש באותה הסיסמא בהרבה אתרים! זה ממש בעייתי. אני לא מכיר אדם אחד שיש לו סיסמא שונה לכל אתר- זה לא מעשי, ברוב המקרים. אז מה האלטרנטיבה? כדאי לזכור שגם אם הגרוע ביותר התרחש ונתגלתה הסיסמא שלך לחשבון הבנק וכסף נגנב ממנו- הבנק מחזיר לך את הכסף. יש חוק כזה, אם אני לא טועה. לכן כדאי אולי לשקול את היעילות של יצירת סיסמא נפרדת לכל אתר לעומת הנזק המוחשי שעשוי להגרם לך במקרה של פיצוח הסיסמא באחד האתרים.
4. שימוש בתעודות-דיגיטליות הוא ערובה לאבטחה טובה. למי שלא מכיר, תעודות דיגיטליות (Certificates) הן אישורים שהאתר מהימן, ושגוף שלישי רציני כמו Verisign בחן אותו ווידא שאין מדובר בנוכל. מדובר בחלק מפרוטוקול אבטחה המכונה SSL. אבל בשימוש רגיל, הפעמים היחידות שאנחנו נתקלים במושג הזה הוא כשהודעה בסגנון 'התעודה של אתר זה אינה בתוקף'. רובנו נוטים להתעלם מההתראה הזו, מכיוון שאנחנו בטוחים שהכל בסדר, בסך הכל. אבל 'הרעים', אתרי הפישינג והרמאות, בכלל לא קונים 'תעודות יושר' שכאלה! הם מסתמכים על שיטות הטעייה אחרות, כמו שינוי שם האתר כדי שייראה כמו שם של אתר ידוע וכו'. במילים אחרות, אין להם בכלל אבטחת SSL....לא תקבלו שום התראה ושום הודעה. כל המאמץ המושקע בתעודות דיגיטליות מושלך לפח.
אז מה כל זה אומר? לאנשים שעוסקים באבטחה והנושא הזה חשוב להם, כדאי להמשיך ולהקפיד על הכללים הבסיסיים. הם מוכנים להשקיע את האנרגיה והמאמץ בשינון סיסמאות וכו', וזה בטח לא יכול להזיק.
אבל לאנשים הפשוטים, להורים ולאחים ולחברים שאין להם מושג במחשבים, זה לא ממש משנה. אם נכריח אותם להחליף סיסמאות ולזכור אותן בעל פה וכו', הם פשוט יתייאשו וימשיכו לחשוב ש'מחשבים זה מסובך'. ההקפדה על אבטחת מידע מקסימלית עשויה לדחוק אותם החוצה מהעולם הזה בכלל, או לגרום להם לזלזל בכל העניין ולהרים ידיים בשאת נפש.
גישה די מהפכנית, לא? מה דעתכם?
נשתמע,
רן
פוסטים קודמים בנושאים דומים:
פרק 63: מה מסתתר בתוך הטלפון של פריס הילטון? על הנדסה חברתית.
ביל גייטס מחלק מיליונים ואנחנו לא שמענו על זה?
אותי? מנסים לדוג..אותי?
הנוהג הזה, של החלפת סיסמא כל פרק זמן קבוע, נחשב לכלל ברזל בעולם אבטחת המידע-אבל יש מי שמטילים ספק ביעילותו. סטיב גיבסון, מהפודקאסט המצוין Security Now מעלה כמה שאלות נוקבות על יעילותם של כמה מכללי הברזל האלה. אני לא אגזים אם אומר שהאזנה לפרק הזה ממש זיעזעה את כל תפיסת העולם שלי לגבי אבטחת מידע. הנה מספר דוגמאות שהעלה סטיב בפרק שעסק בעניין.
1. שינוי מחזורי של סיסמא: חובה? לא בטוח. סביר להניח שמי שגילה את הסיסמא לחשבון הבנק שלכם לא עומד וממתין. הוא פורץ לחשבון *עכשיו* וגונב כסף. זה שאתם מחליפים סיסמא כל שבועיים לא משנה דבר, מכיוון שהגנב לא מחכה שבועיים. החלפה תכופה של סיסמא רק משגעת את המשתמשים, ואינה תורמת לאבטחת המידע דבר. עדיף שהמשתמש יצור לעצמו סיסמא חזקה אחת וילמד אותה בעל פה, וכך ימנע את הפריצה מלכתחילה.
2. אל תכתוב את הסיסמא על דף- תשנן אותה בעל פה! רעיון טוב? לאו דווקא. ברוס שנייר, גורו אבטחה ידוע, טוען שאם אנחנו אוסרים על המשתמש לרשום את הסיסמא על דף, אנחנו מכריחים אותו ליצור סיסמא שקל לו לזכור- וזו *בהכרח תהיה סיסמא פגיעה יותר מסיסמא אקראית שקשה לזכור. ומה הסיכוי שמישהו יחטט לנו בניירות ויגלה את הסיסמא? לא גבוה, ואם הוא כבר מחטט לנו בניירות- אנחנו בצרות רציניות גם ככה.
3. אל תשתמש באותה הסיסמא בהרבה אתרים! זה ממש בעייתי. אני לא מכיר אדם אחד שיש לו סיסמא שונה לכל אתר- זה לא מעשי, ברוב המקרים. אז מה האלטרנטיבה? כדאי לזכור שגם אם הגרוע ביותר התרחש ונתגלתה הסיסמא שלך לחשבון הבנק וכסף נגנב ממנו- הבנק מחזיר לך את הכסף. יש חוק כזה, אם אני לא טועה. לכן כדאי אולי לשקול את היעילות של יצירת סיסמא נפרדת לכל אתר לעומת הנזק המוחשי שעשוי להגרם לך במקרה של פיצוח הסיסמא באחד האתרים.
4. שימוש בתעודות-דיגיטליות הוא ערובה לאבטחה טובה. למי שלא מכיר, תעודות דיגיטליות (Certificates) הן אישורים שהאתר מהימן, ושגוף שלישי רציני כמו Verisign בחן אותו ווידא שאין מדובר בנוכל. מדובר בחלק מפרוטוקול אבטחה המכונה SSL. אבל בשימוש רגיל, הפעמים היחידות שאנחנו נתקלים במושג הזה הוא כשהודעה בסגנון 'התעודה של אתר זה אינה בתוקף'. רובנו נוטים להתעלם מההתראה הזו, מכיוון שאנחנו בטוחים שהכל בסדר, בסך הכל. אבל 'הרעים', אתרי הפישינג והרמאות, בכלל לא קונים 'תעודות יושר' שכאלה! הם מסתמכים על שיטות הטעייה אחרות, כמו שינוי שם האתר כדי שייראה כמו שם של אתר ידוע וכו'. במילים אחרות, אין להם בכלל אבטחת SSL....לא תקבלו שום התראה ושום הודעה. כל המאמץ המושקע בתעודות דיגיטליות מושלך לפח.
אז מה כל זה אומר? לאנשים שעוסקים באבטחה והנושא הזה חשוב להם, כדאי להמשיך ולהקפיד על הכללים הבסיסיים. הם מוכנים להשקיע את האנרגיה והמאמץ בשינון סיסמאות וכו', וזה בטח לא יכול להזיק.
אבל לאנשים הפשוטים, להורים ולאחים ולחברים שאין להם מושג במחשבים, זה לא ממש משנה. אם נכריח אותם להחליף סיסמאות ולזכור אותן בעל פה וכו', הם פשוט יתייאשו וימשיכו לחשוב ש'מחשבים זה מסובך'. ההקפדה על אבטחת מידע מקסימלית עשויה לדחוק אותם החוצה מהעולם הזה בכלל, או לגרום להם לזלזל בכל העניין ולהרים ידיים בשאת נפש.
גישה די מהפכנית, לא? מה דעתכם?
נשתמע,
רן
פוסטים קודמים בנושאים דומים:
פרק 63: מה מסתתר בתוך הטלפון של פריס הילטון? על הנדסה חברתית.
ביל גייטס מחלק מיליונים ואנחנו לא שמענו על זה?
אותי? מנסים לדוג..אותי?
10 comments:
אני מניח שהצעה שלך היא רק לאנשים באתרים פרטיים ולא לעובד בחברה?
סחתיין על התמונה החדשה בראש הבלוג!
לגבי סיסמה בכמה אתרים, קראתי פעם טיפ (לא זוכר איפה) שמאפשר להגדיל את טווח הסיסמאות בקלות.
יוצרים סיסמת בסיס חזקה (=ארוכה, מכילה מספרים ואותיות וסימנים מיוחדים) ומוסיפים לה במקום קבוע 2-3 אותיות קשורות לאתר המתאים. למשל mh בתוך סיסמת הבסיס לאתר "עושים היסטוריה", gm בתוך סיסמת הבסיס לאתר ג'ימייל וכו'.
הפתרון הכי טוב שאני מצאתי עד כה:
1. סיסמה אחת, חזקה ככל האפשר, שאתה יודע לזכור בע"פ. להלן תיקרא "הסיסמה הראשית"
2. תוכנה לשמירת סיסמאות, המוגנת על ידי הסיסמה הראשית, ובתוכה שמים את הסיסמאות לכל שאר האתרים - בעדיפות לסיסמאות חזקות ככל האפשר
3. תוכנת גיבוי/סנכרון לקובץ הנתונים של התוכנה מסעיף 2.
אני אישית משתמש ב PasswordSafe למספר 2, וב DropBox למספר 3.
עובד יופי טופי כבר הרבה זמן.
תודה למגיבים!
אייל- ראשית, ההצעות אינן שלי אלא של סטיב גיבסון (וכנראה אפילו לא שלו). אני מניח שהכוונה כאן לאנשים פרטיים, אבל גם למנהלי אבטחת המידע בחברות גדולות.
אריאל, קן- הצעות מצוינות. חשוב לזכור, עם זאת, שאנחנו מכוונים כאן לאנשים שהם חסרי ניסיון במחשבים ולא רוצים לזכור סיסמאות משונות\מתוחכמות ובטח לא רוצים להעזר בתוכנות אחסון סיסמאות...
נשתמע,
רן
לאנשים פרטיים- ניחא. לאנשי אבטחה זה לא ממש רלוונטי, ברור שסיסמא לבנק זה לא האישו אלא הסיסמא בחברה, הפרס האמיתי הוא לא החשבון שלך בבנק אלא התוכנה/מפרט חומרה בשווי מיליוני דולרים של החברה שהאקר גונב ומוכר למתחרים (רצוי סינים עם מדינה שמדיניות האכיפה שלה בנושא זכויות יוצרים קצת מעורפלת)..
שורה תחתונה- מרגע שיש סיסמא לרשת ועד שהגנב מגיע לקבצים שהוא צריך לוקח לו לא מעט זמן ולכן אם תשנה לו אותה באמצע, זה יכול למנוע את הגנבה
1. לחשבון בנק של מישהו שאין פורץ שמתמקד עליו אכן אין משמעות רבה לשינוי תכוף של הסיסמה,
אבל למשתמש שיש פורץ המתמקד בו יש חשיבות להחלפת סיסמה, מכיוון שכך ההסתברות לפרוץ סיסמה (בעלת מספר אפשרויות מוגבל) אם הזמן אינסופי יהיה רק שואף ל100% ולא 100%.
2. תלוי בהקשר, לפעמים אדם יכול לפרוץ לבית אך לא לפרוץ לכספת או לחשבון בנק, ולפעמים אנשים יעדיפו שגם מי שהסתכסך איתם עד כדי פריצה לבית לא יוכל לכתוב בשמם בפייסבוק לדוגמה.
3. אתה סומך על בעל האתר שלא יעשה בזה שימוש לרעה? אתה סומך עליו שאבטח את האתר בצורה טובה?
4. כידוע החלק הבעייתי ביותר באבטחה הוא החלק המחבר בין הכסא למקלדת והעכבר.
אם אתה רוצה להעביר מידע סודי לאתר, בדוק אם יש תעודה תקפה.
בקיצור, ככלל- אמירות כוללניות הם לא נכונות.. ;-)
משתמשים שאינם רוצים את הבלאגן שבא עם אבטחה תמיד יהיו, והרבה פעמים הם צודקים, אבל לא תמיד.
אם אתה מעוניין לראות דוגמה למתי הם לדעתי לא צודקים,
קח מחשב נייד והפעל עליו תוכנה כגון air-mon-ng של air-crack-ng ואת התוכנה wireshark במקום ציבורי,
האזן למה שעובר ברשתות האלחוטיות הלא מוצפנות,
המידע שעובר לרוב יאפשר לך להתחבר לחשבונות משתמשים של אנשים באתרים למיניהם וסוגיהם השונים, אם היו משתמשים בתעודות ssl לא היה ניתן בצורה זו להאזין לרשת ולהשתמש במידע.
הי, אייל, פינגווין,
אתם מעלים כאן נקודות מצוינות.
אני מסכים לגבי מצב שבו ההאקר מנסה לפרוץ למידע מסוים- דהיינו, יש לו מטרה ברורה להגיע אליה. במצב כזה, חייבים להתגונן בכל האמצעים מכיוון שאחרת הוא ימצא את הדרך פנימה.
הרעיונות בפוסט מתאימים למשתמשים הפרטיים, כאלה שאין לפורץ מוטיבציה להתאמץ במשך זמן ארוך כדי לפרוץ אותם. במילים אחרות, כאלה שחשופים להתקפות מקריות ואקראיות.
ואם זה המצב, כדאי לשקול את התועלת הכלכלית (בכסף או בזמן) להשקעה באמצעי אבטחה, לעומת הסכנה שמולה המשתמשים ניצבים. מה הסיכוי שמישהו יצוטט למשתמש באמצעות סורקי wifi למיניהן? מה הסיכוי שהוא ינסה לגלוש לאתר זדוני שהתוקף שהקים אותו טרח ליישם פרוטוקול SSL- ואז הזניח את פברוק הסרטיפיקציה הדיגיטלית?
כשאנחנו ממליצים למשתמשים לא-מנוסים אילו אמצעים כדאי לנקוט כדי לאבטח את עצמם, כדאי לכל הפחות לשקול להקל עליהם במקומות שבהם זה ישתלם, לא?
נשתמע,
רן
אני נוטה להסכים לכל האמירות, בהסתייגויות, כמובן.
בתור אחד שתפקידו לאבטח רשת של כ-1500 משתמשים, ומאות אלפי לקוחות, אני כל פעם מפתיע אנשים כשאני חולק איתם חוויות התעצבנות מהקושי של ניהול הסיסמה.
אני באמת חושב שסיסמה צריכה להיות קלה לזכירה, גמישה מספיק לבחירת המשתמש, ושהחלפה תדירה רק מסבכת את העניינים.
מנהלי סיסמאותזה נחמד. אני לא יכול לשכוח מנהל בכיר אחד ששמר את כל קובץ הסיסמאות בפורמט HTML על המחשב שלו.
נושא הסרטיפיקטים דווקא נהיה רלוונטי בתקופה זה של פישינג פורח, אבל אני עדיין מתעצבן כל פעם שכותבים שהאתר "מאובטח באמצעות SSL", כשההצפנה אולי מאבטחת את התמסורת אבל לא את האתר.
כל פעם שאני פוגש מישהו מהברנז'ה, אני מנסה להבין אם נתקלו אי פעם במישהו שגנב נתונים מאתרים באמצעות האזנה לתקשורת. פריצות למאגר הנתונים הסטטי של האתר ראיתי פעמים רבות.
למה להחליף סיסמאות?
אני אגיד לך למה:
זה לא דווקא בקטע של לגנוב מהבנק. זה יכול להיות למשל מעקב אחר אנשים. למשל בני משפחה או חברים / עמיתים וכד'. ברגע שמישהו פיתה אותך להתחבר לחשבון הגוגל שלך מהמחשב שלו, אחרי שהוא התקין שם תוכנה שעוקבת אחרי הקשות מקלדת, פשוט יש לו עכשיו את הסיסמה שלך. כרגע הוא יכול לקרוא את המיילים שלך חופשי חופשי ואפילו לשלוח מילים בשמך. לא נעים.
ברגע שאתה מחליף סיסמה בתדירות מסוימת, הפרצה הזו מתמעטת - הוא יוכל לחגוג רק למשך פרק זמן קצר יחסית - עד שתחליף את הסיסמה.
אני חושב שזה מה שעבר בראש למי שהמציא את המנגנון הזה.
הי, דוד, תודה על התגובה!
אין ספק שהחלפת סיסמאות טובה כנגד התרחיש שציינת. השאלה הנשאלת היא עד כמה התרחיש הזה רלוונטי לרוב האנשים? במילים אחרות- מה התועלת הצפויה למשתמש שגרתי ופשוט, לעומת ההשקעה בזמן ומאמץ של החלפת סיסמאות?
רן
הוסף רשומת תגובה