A számítógép biztonságos használata,
3. lecke Jelszavak és hozzáférésvezérlés
Írta: Paul Mobbs az Association for Progressive Communications számára, 2002. márciusában.
Fordította: Korn András

3.03 A jelszavak használata

Amint a fentiekből látszik, a jelszavak használata nem kifejezetten biztonságos. Hogy mégis említésre méltó biztonságot nyújtsanak, körültekintően kell bánnunk velük, és ügyesen kell őket megválasztanunk. Könnyen meg kell, hogy tudjuk jegyezni őket, hogy ne kelljen papírra felírnunk, ugyanakkor annyira bonyolultnak kell lenniük, hogy más ne találhassa ki őket.

Egy jelszó "ereje" a hosszától és a benne előforduló karakterek változatosságától függ. Általában használhatjuk a kis- és nagybetűket, a számokat, valamint az aláhúzást ("_"); esetleg más írásjeleket is. Bizonyos rendszerek a jelszó maximális, míg mások a minimális hosszát korlátozzák. Puhatoljuk ki, milyen szabályok vonatkoznak az általunk használt jelszóra; így tudni fogjuk, hogyan növelhetjük az "erejét". Az erős jelszót nehéz (vagyis sokáig tart) próbálkozással kitalálni.

Egy jelszót annál nehezebb kitalálni, minél kevesebb köze van bármilyen értelmes információhoz: szótári szavakhoz, dátumokhoz, házszámokhoz, barátaink vagy házastársunk nevéhez stb. A "hY3m/aR" nehezen található ki, míg az "alma1" vagy a "Kati75" triviálisnak mondható. Az elsőt csak az összes lehetőség végigpróbálásával lehet biztosan megtalálni; a próbálgatásos támadások azonban a gyorsabb siker reményében először szótári szavakkal, nevekkel, ezek megfordításával, elferdítésével, számokkal való kombinációival, különböző kisbetűs-nagybetűs írásmódjaival stb. próbálkoznak. Ilyenből a látszat ellenére több nagyságrenddel kevesebb van, mint az összes lehetséges kombináció. Az összes szótári szón vagy néven alapuló jelszó végigpróbálgatása ritkán vesz igénybe néhány napnál többet, ha a próbálkozás automatizálható; az összes lehetőség végigpróbálására egy év is kevés lehet.

Az angol ábécé nagybetűiből (26 ilyen van) álló hat karakter hosszú jelszót kb. háromszázmillióféleképpen választhatunk (266). Ha valamennyi, a PC-billentyűzeten könnyen elérhető karaktert felhasználhatjuk (kb. 96 ilyen van), a hat karakteres jelszó lehetséges kombinációinak száma mintegy hétszáznyolcvanmilliárdra, az előbbi szám kétezer-ötszázszorosára emelkedik. Ha csak szótári szavakat vagy neveket használunk, a lehetőségek száma néhány tízezer; ha a szótári szót vagy nevet megfordítjuk, számokat írunk elé vagy mögé, és másképp is elferdítjük (pl. "42iDna"-t csinálunk az "Andi" névből), a lehetséges kombinációk száma még mindig csupán néhány százezer, elvetemült csűrés-csavarás esetén pár millió.

Számos "szigorúan betartandó" szabály létezik a jelszavak megválasztásával, kezelésével és változtatásával kapcsolatban; az összes szabály betartása azonban valószínűleg nagyobb ráfordítást igényel, mint amekkora tényleges biztonságot nyerünk vele (tényleg roppant fárasztó lenne). A leghelyesebb, ha az alább felsorolt szempontok közül annyit igyekszünk figyelembe venni, amennyit még elviselhetőnek tartunk:

  • A jelszó legyen legalább hat karakter hosszú, és véletlenszerűen kiválasztott betűket, számokat és írásjeleket tartalmazzon. Ha ezt képtelenek vagyunk teljesíteni, legalább arra ügyeljünk, hogy a jelszó ne jelentsen semmit, és betűkön kívül számot és/vagy írásjelet is tartalmazzon.
  • A jelszavaink között sose legyen összefüggés (pl. ne használjuk szentek vagy hónapok neveit, kedvenc együttesünk számainak címeit, vagy effélét).
  • Ne használjuk fel ugyanazt a jelszót megváltoztatása után újra, legalábbis egy-két éven belül ne.
  • A "frontvonal" jelszavait, tehát azokat, amik a teljes rendszer használatához kapcsolódnak (bekapcsoláskor vagy az operációs rendszerbe való bejelentkezéskor kért jelszó), aránylag gyakran változtassuk, különösen akkor, ha másoknak érdekében állhat kitalálni őket. Időnként akkor is váltsunk, ha úgy érezzük, senki nem lehet rájuk kíváncsi és nem is találhatta ki egyiket sem.
  • Azokat a jelszavakat, amelyekre csak "beljebb" (tehát egy másik jelszó sikeres megadása után) van szükség, nem szükséges olyan gyakran megváltoztatni. Windows 95/98/ME alatt azonban, mivel minden fájl minden felhasználó számára hozzáférhető, a "belső" jelszavakat nem védi semmi, így azokat is ugyanolyan gyakran kell cserélni. Hasonlóképpen gyakran kell cserélni a belső jelszavakat, ha időnként magára hagyjuk a számítógépet úgy, hogy a "frontvonalbeli" jelszavakat már beírtuk (pl. az irodában anélkül megyünk ki WC-re, hogy kijelentkeznénk vagy legalábbis a "munkaállomás zárolása" funkciót üzembe helyeznénk).
  • Ha okunk van feltételezni, hogy valaki engedély vagy felügyelet nélkül használta a számítógépünket, azonnal változtassunk jelszót.
  • Ha okunk van feltételezni, hogy számítógépünkről valaki adatokat töltött le vagy vitt el más módon, akkor nemcsak a jelszavakat kell megváltoztatni, hanem a gépen tartott titkosító kulcsokat (pl. a PGP-kulcspárt) is.
  • Sose bízzuk rá magunkat a különböző alkalmazások (pl. irodai szoftverek, tömörítők) nyújtotta titkosításra, mivel ezeknek az ereje erősen változó. Használjunk titkosító célszoftvert, például GPG-t (GNU Privacy Guard) vagy PGP-t (Pretty Good Privacy).
  • Sose beszéljünk a jelszavainkról, sem nyilvánosan, sem telefonon; ne írjuk le őket, ne adjuk fel sem e-mailben, sem postán.
  • Ne használjuk személyes adatainkat (név, személyi szám, bankszámlaszám, rendszám stb.) jelszavaink generálására
  • Ne használjuk ugyanazt a jelszót két különböző helyen

[előző]  [index]  [következő]