A jelszó önmagában nem kínál elegendő védelmet, de még mindig nincs helyette jobb. Szerencsére többféle módszer is kínálkozik megerősítésére vagy kiegészítésére.
Talán sehol nem jelentkezik olyan egyértelműen a könnyű használhatóság és a biztonság ellentétének örök dilemmája, mint a jelszavaknál. A felhasználókat minden lehetséges fórumon arra intik – jobb vállalatoknál egyenesen kötelezik –, hogy minden rendszerhez és alkalmazáshoz külön, erős jelszavakat használjanak és rendszeresen cseréljék is őket. De ki az, aki hónapról hónapra meg tud jegyezni tucatnyi, „k7H#J9nl” típusú jelszót?!
Így aztán az egészből az lesz, hogy a felhasználó egy biztonságos(nak vélt) helyre feljegyzi aktuális jelszavait (örüljünk, ha nem ragasztja ki a monitor szélére), vagy ha a cég biztonsági politikája lehetővé teszi, mindenhol ugyanazt az egyet használja. A nagy adatlopások után közzétett sok milliónyi jelszóból egyértelmű, hogy még mindig sokan hiszik, hogy a ‚password’ vagy az ‚123456’ kifog a hekkereken. (Az igazán cselesek már eljutottak a ‚654321’-ig is…)
Ez azonban nem jelenti azt, hogy a jelszavak feleslegesek vagy idejétmúltak lennének – csak éppen ésszel kell használni azokat és kiegészítő technológiákkal kell fokozni biztonságukat.
Hosszú, de megjegyezhető
Biztonsági szakemberek szerint bizonyos mértékig mítosz az az elv, hogy a jelszó legyen legalább nyolc karakter hosszú, és tartalmazzon kis- és nagybetűket, számokat és speciális karaktereket. Az ilyen jelszavakat ugyanis a felhasználók nehezen jegyzik meg, a jelszótörő programok viszont meglehetősen egyszerűen megbirkóznak velük, mert már nem az angol (vagy más nyelv) értelmes szavait próbálgatják behelyettesíteni, hanem az egyes karaktereket cserélgetik.
Sokkal többet érhetnek az úgynevezett passphrase-ek, kulcsmondatok: a több szóból álló, értelmes kifejezések, például ‚utálom a jelszavakat’. (Ne használd, már fenn van a hekkerlistákon… – a szerk.) Ezekre sokkal könnyebben emlékszik a felhasználó, a hossza miatt a jelszótörő programok meg nehezebben boldogulnak vele, mint a 6-8 karakteres jelszavakkal. Nagyvállalati környezetben ennek nemcsak a fokozott biztonság lehet az előnye, hanem az is, hogy a felhasználók ritkábban telefonálnak a helpdeskre elfelejtett jelszavaik miatt.
Feloldhatja a bonyolult jelszavak iránti igény és a véges emberi memória közötti ellentmondást valamilyen jelszókezelő szoftver is. Egy ilyen eszköz képes bármilyen alkalmazáshoz és internetes szolgáltatáshoz megfelelően erős jelszavakat generálni és tárolni, hogy a felhasználónak csak egyetlen központi jelszót kelljen megjegyeznie; a többit a program megcsinálja helyette. Ennek az egy jelszónak persze bombabiztosnak kell lennie, és nem szabad sehova se leírni, mert annak birtokában nyitva áll minden kapu a támadó előtt. A jelszókezelő programoknak van egy további előnye: titkosítva tárolják a jelszavakat, plusz védelmi réteget biztosítva.
Kettő több, mint egy
Két zár jobb, mint egy – ezért terjedtek el a kétfaktoros azonosítást használó biztonsági rendszerek. Ezeknél az egyik faktor mindig a jelszó (valami, amit tudsz), a másik általában egy egyszeri jelszót generáló token vagy sms-ben kapott kód (valami, ami nálad van), vagy pedig valamilyen biometrikus azonosító, rendszerint ujjlenyomat (valami, ami te vagy). Előbbieket elsősorban nagyvállalati környezetben alkalmazzák a távoli hozzáférés vagy a különösen kritikus belső erőforrások elérésének biztonságosabbá tételére, utóbbi pedig leginkább a noteszgépeknél vagy más mobileszközöknél terjedt el.
Tisztában kell azonban lenni azzal is, hogy a kétfaktoros azonosítás sem csodaszer, ha a védelem egyéb tényezőit elhanyagolják. Mit sem ér az ujjlenyomat-olvasó, ha a merevlemezt kiszerelik a noteszgépből, és kiolvassák belőle a többi jelszót. Ez ellen csak a titkosítva tárolt jelszavak vagy éppen a teljes merevlemez titkosítása nyújthat védelmet. Az úgynevezett man-in-the-middle (közbenső személy) típusú támadásnak is ki vannak téve az egyszeri jelszót (vagy akár sms-ben küldött kódot) használó megoldások: ilyen esetben a támadó valahol elfogja és lehallgatja a felhasználó és a távoli rendszer közötti teljes kommunikációt, beleértve a bejelentkezési adatokat.
A hang súlya
Meglévő korlátai ellenére a biometrikus azonosítás egyre szélesebb körben terjed. Egyszerűsége és (most már) alacsony ára miatt továbbra is az ujjlenyomat-leolvasás a legnépszerűbb: a noteszgépek mellett mind több mobiltelefont is ellátnak ilyen védelemmel. Egyes becslések szerint az okostelefonokba épített biometrikus azonosítás piaca pár éven belül az ötszörösére nő. Ennek további lökést adhat, hogy a mobilok hamarosan nemcsak kommunikációs eszközök, hanem az nfc-technológiának köszönhetően elektronikus pénztárcák is lesznek. A személyes adatait még csak-csak hajlamosak hanyagul kezelni az emberek, de ha már a zsebükről van szó, talán jobban odafigyelnek a biztonságra. Az egyéb biometrikus azonosítási formák közül az íriszszkennelés és a tenyérlenyomat nagyon pontos, de még túl drága ahhoz, hogy végfelhasználói eszközökben is elterjedjen.
Nem így a hangazonosítás. Kezdik is alkalmazni egyes külföldi bankok, mert a funkció viszonylag könnyen integrálható az automata híváskezelő (ivr) rendszerekkel. Ilyenkor a bank nem sms-ben küld ki egy egyszer használandó kódot, hanem az automata rendszer felhívja az ügyfelet, akinek egy előre meghatározott kifejezést (például számsort) kell bemondania a telefonba, hogy aztán a hangját összevessék a korábban felvett mintával.
Már viszonylag rövid, négy-hat szavas szöveg is kellő alapot teremt a biztonságos azonosításhoz, állítják szakértők. A hangminták összevetésével ki lehet szűrni, ha utánozzák valaki más hangját, mint ahogy egy esetleges megfázás miatt nazálissá váló hang sem zavarja össze a rendszert. Nem is drága, hiszen a telefon tényleg mindenütt ott van, és még annyi gond sincs vele, mint az ujjlenyomat-olvasókkal. További biztonsági előny, hogy ez a módszer nem az internetet, hanem más csatornát vesz igénybe az azonosításhoz. Hiába figyeli az adatfolyamot a man-in-the-middle, ha a bejelentkezési azonosító a számítógépes hálózattól teljesen elkülönülő átviteli csatornán érkezik a központi rendszerbe.
Schopp Attila
