Znaczenie haseł

Hasła do usług stanowią istotne dane bezpieczeństwa zarówno dla instytucji i przedsiębiorstw, jak i osób prywatnych, ponieważ mogą zapewniać dostęp do usług, które są niezbędne dla działania firmy, czy użytku osobistego. Posiadając hasła do systemów, które mogą w istotny sposób wpłynąć m. in. na pracę przedsiębiorstwa, powinniśmy dużą uwagę przywiązać do zabezpieczenia tych haseł i do ich regularnej rotacji. W zależności od przyjętych zasad hasło powinno być zmieniane możliwie często, przynajmniej raz na 3 miesiące i powinno ono spełniać określone zasady, jeśli chodzi o siłę hasła. Przez siłę hasła rozumiemy jego skomplikowanie, a także nieużywanie wyrażeń słownikowych, które mogą być łatwo złamane przez hackera. Idealne hasło powinno składać się z małych i dużych liter, cyfr i znaków specjalnych, a jego długość powinna wynosić przynajmniej kilkanaście znaków. Warto także zwrócić uwagę na to, aby hasła były inne do każdego z systemów.

Banki haseł

To wszystko wyłącznie teoria, ponieważ w praktyce bywa z tym różnie. Bez względu jednak na to, jak skomplikowanych haseł będziemy używać, powinniśmy zadbać o to, aby były przechowywane w sposób bezpieczny. Dawniej popularne było zapisywanie haseł na papierze, w notatkach lub samoprzylepnych karteczkach. Na szczęście czasy te odchodzą powoli do lamusa, a ludzie coraz chętniej korzystają z nowoczesnych i wygodnych rozwiązań. Zasadniczo najlepszym i najczęściej stosowanym rozwiązaniem są tak zwane banki haseł, czyli aplikacje, do których dostęp uzyskujemy na przynajmniej jeden z kilku sposobów (logowanie może następować z hasłem głównym, kluczem RSA, kartą kryptograficzną, czy czytnikiem odcisku palca). Po poprawnej autentykacji za pomocą zdefiniowanych metod uzyskujemy dostęp do bazy haseł, które możemy posegregować w wygodny dla nas sposób, zaś same hasła w trakcie ich używania są kopiowane do schowka wyłącznie na określony czas, wynoszący zwykle kilkanaście sekund. Niektóre z programów umożliwiają automatyczne wklejanie haseł do wcześniej określonych pól w formularzach logowania na stronach lub systemach, do których należy wprowadzić hasło.

Serwer zdalny i chmura

Twórcy rozwiązań do zarządzania hasłami przygotowali je w taki sposób, by można z nich korzystać na wielu urządzeniach. Poza wsparciem dla różnych systemów, w tym urządzeń mobilnych, pojawiła się możliwość wygodnego przechowywania pliku bazy haseł na serwerze zdalnym lub na wskazanej usłudze Cloud i jego automatyczną synchronizację ze wszystkimi urządzeniami klienckimi. Na tym poziomie można również zastosować dodatkowe zabezpieczenie przed nieautoryzowanym pobraniem pliku haseł. Plik ten zwykle jest zaszyfrowany jednokierunkowo, to znaczy bez możliwości odzyskania w przypadku utraty danych do logowania do bazy haseł. W związku z tym nie powinniśmy obawiać się, że ukradziony plik z bazą haseł przyda się komukolwiek, kto nie zna kluczy deszyfrujących.

Dedykowane aplikacje

Z programów stacjonarnych warto wyróżnić aplikację Keepass, która jest dostępna bezpłatnie i posiada bardzo dużo funkcji przydatnych zarówno osobom indywidualnym, jak i do zastosowania w przedsiębiorstwie. Niektóre firmy decydują się jednak na niekorzystanie z aplikacji desktopowych, czy mobilnych, a zamiast tego stosują systemy opierające się o przeglądarki internetowe. Zasadnicza wada wymienionych rozwiązań jest taka, że bardziej zaawansowane metody autoryzacji są często trudno dostępne lub wymagają instalacji dodatkowego oprogramowania. Niewątpliwą zaletą jest natomiast dostęp z każdego urządzenia.

Dwuetapowa autoryzacja

Poza samymi hasłami warto zastanowić się również nad korzystaniem, jeśli to możliwe, z tak zwanego 2FA (Two Factor Authentication). Jest to rozwiązanie, które wymusza dodatkową metodę autoryzacji dla każdego urządzenia, które wcześniej nie korzystało z danego systemu. Najczęściej stosowanymi metodami 2FA jest wysyłka SMSa z kodem jednorazowym lub wysłanie powiadomienia push na aplikację mobilną zainstalowaną na urządzeniu osoby uprawnionej do autoryzacji w firmie. Inną często stosowaną metodą 2FA jest Yubikey, czyli urządzenie sprzętowe w postaci dongle’a USB, który musimy umieścić w urządzeniu przed próbą zalogowania się do określonego systemu, tak aby system mógł zweryfikować, że loguje się uprawniona osoba posiadająca taki klucz.