Keresés
Hírek
Elsősegély
 Gyorsmentesítés
 Vírparancsolat
Vírusok és férgek
 Mi a vírus?
 Vírusleírások
 Vírushatározó
 Statisztikák
 Mobilvírusok
Spam és tartalomszűrés
 Mi a spam?
 Mire jó a tartalom és      URLszűrés?
 Fogalmak
 Áttekintés
 Statisztikák
Megoldások
 Mit használjunk?
   Vírusok ellen
   Spamek ellen
   A hatékonyság növelése        érdekében
 Ingyenes próbaverziók
 Jótanácsok
 Vírusirtók tesztje
 Lexikon
Hírlevél
Magazin
 Publikációk
 Háttér
 ITBN 2008
Szakértői rovatok
 Jogi háttér
 Elektronikus aláírás
 Fogyasztóvédelem
Letöltés
 Gyorsmentesítés
 Próbaverziók letöltése
Archívum
Ajánló
Hírlevél
Ha elsőként szeretne tudni a legfrissebb vírusokról és a védekezés módjáról, akkor iratkozzon fel ingyenes heti hírlevelelünkre!
Az Ön e-mail címe:
Főoldal > Hírek





Száz jelszónak is egy a vége

(2015. október 07.)

- HP Technology at Work nyomán -

Ne használjuk őket, amíg nem tájékozódtunk a kockázatokról!
Nyomtatható verzió Nyomtatható verzió  | Küldje el ezt a cikket ismerősének Küldje el ezt a cikket ismerősének

A Hewlett-Packard cég októberi hírlevele arra hívja fel a figyelmet, hogy a jelszavak használata egyelőre nem nélkülözhető a számítástechnikában - miközben az ezzel járó kockázatokat és mellékhatásokat ma már nem csak az üzemeltetőknek, hanem az átlagos felhasználóknak is meg kell ismerniük, ha biztonságban kívánják tudni magukat a neten.

A felhasználó által választott titkos jelszó másik fél (pl. webes postafiók, online ügyfélszolgálat vagy e-bolt üzemeltető) általi megőrzésének legegyszerűbb módja a nyílt szövegű adattárolás lenne. Ez azonban már régen elfogadhatatlan, mert egy esetleges feltörés vagy téves konfigurálás nyomán a hackerek hozzájuthatnak a teljes tartalomhoz, amelyet azonnal felhasználhatnak a további illetéktelen tevékenységükhöz!

Hash, hash hacker!

A legtöbb netes szolgáltató inkább nem tárolja a jelszavakat, csak azok egyirányú módosításon átesett ellenőrző összegeit (ún. hash). Bejelentkezéskor a felhasználó által begépelt jelszóból ugyanilyen módszerrel digitális ujjlenyomat képződik és a kettő összehasonlítása alapján engedélyezi vagy tagadja meg a rendszer a hozzáférést.

Ez jelentős infóbiztonsági előrelépés, hiszen a hackerek még sikeres betörés esetén is csak zagyva és igen nehezen vagy egyáltalán nem visszafejthető adathalmazhoz jutnak hozzá - amellyel jelentős további anyagi és időbeli befektetés nélkül elvileg nem lehet visszaélni.

A kódtörési módszerek gyors fejlődése miatt ez az elmélet önmagában már nem állja meg a helyét: a két leggyakoribb hash algoritmus, a régi MD5 és utódja, az SHA-1 is ismert matematikai gyengeségekkel küzd. Ezek az előbbi esetében lehetővé teszik a 128-bites kulcstér órák alatti kimerítését, sőt igény szerinti manipulálását, amint azt a Flamer kártevő demonstrálta - míg az utód esetében az ütköző másolatok létrehozása elleni védelem napjainkra már a civil kutatások szerint is a tervezett szint 1/2000-ed részére csökkent!

Nem játék a videokártya

Az elődök problémái miatt a felelős üzemeltetők gyakran a (még) nem sebezhető, 256-bites kivitelű SHA-2 hash algoritmust alkalmazzák a jelszavaink védelmére - csakhogy nekik a hardver gyors fejlődése és a felhasználók lustasága együttesen tesz keresztbe!

A HP cég közlése szerint a legmodernebb, általános célú GP-GPU utasításkészlettel is ellátott videokártyák csúcsmodelljei képesek másodpercenként több mint 600 millió SHA-256 hash művelet végrehajtására - ami jóval több a megszokott Intel és AMD CPU processzorok által elérhetőnél. Több videokártyát SLI üzemmódban összekötve a teljesítmény is megsokszorozódik, miközben áruk a hackerbandák számára megfizethető marad.

Ez a gyakorlatban azt jelenti, hogy minden lehetséges kombináció végigpróbálásával egy héten belül helyreállítható az összes 8 karakter hosszú vagy annál rövidebb jelszó tartalma, de a puszta gépi erővel végzett kódtörésnél jóval fejlettebb módszerek is léteznek. Figyelembe véve azt, hogy a felhasználók bőven nem használnak ki minden lehetséges kombinációt - mert ódzkodnak a bonyolult, nem megjegyezhető jelszavaktól - a visszaélések megelőzésére az adatlopás után csak rövid napok, esetleg órák maradnak!

Kérdezz-felelek

Az üzemeltetők tisztában vannak a fenti kockázattal és több módon is igyekeznek megakadályozni a jelszavak tartalmához, illetve az azokkal védett fiókokhoz történő hozzáférést. Az egyik lehetőség a salt technika alkalmazása, amely minden jelszót véletlenszerű adattal told meg a hash művelet elvégzése előtt - megnehezítve ezzel a nagyobb ellopott adathalmazok elleni, szótár alapú támadásokat.

Másik gyakori módszer a jelszót kiegészítő biztonsági kérdések alkalmazása, pl. Mi volt az édesanyja leánykori neve? vagy Ki volt a legjobb barátja középiskolában? Ezen válaszok tárolása azonban a személyes adatok felhasználásával kapcsolatos jogi problémát vethet fel, főleg Európában - míg az amerikai felhasználókat támadó hackerek akár adatbányászat útján vagy kereskedelmi adat-aggregátor cégektől vásárolva is megszerezhetik az ilyen információkat. [ Lásd Sarah Palin alelnök-jelöltnő esetét a webmail fiókjával - Szerk. ]

Még nem volt tizenhat

A fenti okok miatt a HP és a CNET hírportál közös javaslata az, hogy a jelszavaknak önmagukban is biztonságosnak, legalább 16 (!) karakter hosszúnak, számokból, kis- és nagybetűkből, szimbólumokból és szóközből állónak, továbbá teljesen egyedinek kellene lenniük. Soha nem szabad tehát több helyen vagy újra felhasználni őket, miközben a Telesign cég felmérése szerint a nethasználók több mint háromnegyede (76%) jelenleg csak öt vagy kevesebb jelszót váltogat!

Az ijesztően erős követelmény-rendszer teljesítése a gyakorlatban csak a felhasználót segítő "jelszó trezor" (password safe) szoftverekkel lehetséges. Ekkor azonban online, felhő alapú szinkronizáló szolgáltatásra is szükségünk lehet a modern, mobil, több eszközös életmód jelszó-igényeinek kielégítésére - amely kiegészítő szintén védelmi aggályokat vet fel az azonosítók hálózati átvitele és felhőbeli tárolása során. Erre a célra tehát csak jól ismert, infobiztonsági tapasztalattal rendelkező cégek szoftvereit érdemes választani!

Szegény ember széffel főz

Igazán erős megoldást a lehetőleg célhardver alapú, több faktoros és sokrétű azonosítás jelentene, például ujjlenyomat-olvasó és PIN-kóddal védett chipkártya kombinációja, amelyet magas biztonsági igény esetén írisz-szkennerrel is ki lehet egészíteni. Ennek a fejlesztésnek azonban jelentős költségei vannak, amelyet még a bankok sem mind hajlandóak finanszírozni - másrészről a jogvédők tartanak a biometrikus azonosító adatok széles körének tárolásával együtt járó kormányzati túlhatalomtól.

A jelszó alapú azonosításnak ezért - a legfejlettebb gazdaságú régiókon kívül - egyelőre nincs teljes körű alternatívája, miközben a felhasználók 70%-a már nem bízik teljes mértékben a jelszavai által nyújtott online hozzáférés-védelemben. Az ő számukra megnyugvást jelenthet, ha megismerik a jelszó-használattal kapcsolatos főbb tudnivalókat és értesülnek a "jelszó széf" szoftverek nyújtotta gyakorlati előnyökről, amelyek már a szkeptikus szakértőket is meggyőzték arról, hogy biztonságosabbak a cédulára írt kódoknál!



Partnerünk

Kérdés / Vélemény | GYIK | Sitemap | Impresszum | Jogi feltételek        2004-2011 © Vírushiradó -- 2F 2000 Kft. - Az információ védelmében.