Muutke oma paroolipäev vajab vastutasu
- Kategooria: Turvalisus
1. veebruar on paroolipäev; kuigi see pole ametlik, reklaamivad paljud tehnosaidid seda päeva oma lugejatele. Turvalisuse parandamiseks palutakse kasutajatel sel päeval paroolid vahetada.
Kuigi kindlasti on aegu, kus paroolide vahetamine on mõttekas, nt. pärast võrguteenuse rikkumist, edukat viiruse rünnakut, juhuslikku jagamist või parooli tugevuse suurendamist, öeldes üldiselt, et kõik paroolid tuleks sel päeval ära vahetada, pole sellel kunagi suurt mõtet.
Ma eelistaksin, et päev nimetataks ümber 'paroolide kontrollimise päevaks'. Kasutajad said testige nende paroole andmebaasi „Kas ma olen juba käinud” alusel (kohapeal) ja muutke Internetti lekitatud paroole.
Kasutajad saaksid kontrollida ka paroolide tugevust ja muuta paroolide tugevust, mida tugevuse kontrollimise algoritmid peavad nõrgaks, või hakata kasutama paroolide haldurit, kui see on keskkonnas lubatud.
Kahefaktoriline autentimine ja muud täiustatud turvavalikud, kui need on olemas, on samuti kaalumist väärt.
Kontrollige oma serveri turvalisuse päeva
Ma teen ettepaneku oma salasõna päeva muutmiseks: kontrollige oma serveri turvalisuse päeva (lõdvalt põhineb Jürgen Schmidti artikkel Heise kohta ), Minu enda Sisse parooliturbe artikkel aastast 2012 ja paroolide turvalisus: mida kasutajad teavad ja mida nad teevad . Kuigi kindlasti on nii, et julmad jõud või suunatud rünnakud võivad varastada kasutajate mandaate, tuleb üks suurimaid ohte häkitud ettevõtete serverites.
Kas häkkimine õnnestub sotsiaaltöötluse, valesti konfigureeritud serverite, turustamata turvaaukude, aegunud raamatukogude või komponentide või 0-päevaste turvaaukude tõttu, pole kasutaja seisukohast oluline.
Miljardid paroolikomplektid on Internetis vabalt saadaval. Need komplektid, Kas ma olen mõelnud loetleb ainuüksi 340 saidilt 6,4 miljardit pwn-kontot, see on vaid jäämäe tipp. Need pärinevad edukatest rikkumistest ja kas avaldatakse kohe netis, pakutakse müügiks või kasutatakse ilma, et neid kunagi avalikult lekitataks.
Ettevõtte maine kannatab, kui neid rünnatakse edukalt, kuid näib, et enamik naaseb pärast rikkumisi üsna kiiresti tavapärase tegevuse juurde.
Ettevõtted peaksid turvalisuse parandamiseks kasutama nuppu „kontrollige teie serveri turbepäeva”. Tõenäoliselt ei piisa sellest üks kord aastas, kuid seda päeva võiks kasutada põhjalike testide läbiviimiseks ja turvalisuse parandamiseks, nt. rakendades uusi turvalisuse vorme või täiustades olemasolevaid.
Isegi kui valite teenuse kasutajana tugevaima parooli, mida võite ette kujutada, võite selle siiski paroolide andmebaase loovate kurjategijate kätte langeda.
Üritan vaid öelda, et ettevõtted peavad võtma vastutuse. Konto paroolide lähtestamisest pärast rikkumist ei piisa ja seda tuleb teha kogu olukorraga; ettevõtted peavad ennetavalt turvalisust parandama ja regulaarselt kontrollima serverite turvalisust, et blokeerida teatud rünnakute vektorid otse.
Nüüd sina: Kas ettevõtted peaksid oma servereid paremini turvama?