Online jelenlétünk megerősítésére szolgálnának, ám az emberi gyengeség miatt a jelszavak immár komoly biztonsági kockázatot jelentenek. Egy jelszó nélküli világban is tudjuk azonosítani magunkat, összeállításunkban megmutatjuk, hogyan.
Amikor jelszavakról beszéltünk gyermekkoromban, akkor mindig a kémregények és a titkos cselszövések világa sejlett fel, ahol a főhős egy titkos jelszó vagy jelmondat segítségével került felül a gonoszon. A romantikus, tőlünk távol álló jelszavakból az online világban szomorú valóság kerekedett ki, amelyben az emberi gyengeség és lustaság felülkerekedésének köszönhetően immár komoly biztonsági kockázatot jelentenek, mintsem az azonosság feltétel nélküli bizonyítását.
Ennek tükrében nem meglepő, hogy a Microsoft idén ősszel úgy döntött, búcsút mond a jelszavas azonosításnak. Ez a gyakorlatban azt jelenti, hogy a magánfelhasználói fiókok esetében már kikapcsolható a jelszó. Az iskolai vagy a vállalati felhasználók esetében, ahol a jelszó esetleg más rendszerekhez is belépést biztosít, ez a lehetőség nem érhető el. A változásokat bejelentő blogbejegyzésben Vasu Jakkal, a vállalat biztonságért felelős alelnöke szerint minden másodpercben 579, a jelszavakhoz kapcsolódó támadást észlelnek, ami éves szinten 18 milliárd támadást jelent.
De mi a baj a jelszavakkal?
Legyen elég egy adat: a NordPass 2020-as kutatása szerint egy átlagos felhasználónak 100 jelszót kellene megjegyeznie, ami, lássuk be, képtelenség. Az emberek nem tudnak és nem is szeretnének száz jelszót megjegyezni. Ilyenkor jönnek azok a kreatív megoldások, amelyek megkönnyítik a jelszavak felidézését: „gyenge”, jelszó, könnyen megjegyezhető vagy kitalálható jelszót használunk, egy jelszót használunk minden szolgáltatáshoz, leírjuk őket az egérpad hátuljára, a monitor szélére ragasztott cetlire vagy a laptop aljára.
Vállalati szinten több kötelező módszerrel próbálják a biztonságosabb jelszavak felé terelni a felhasználókat. Például kötelezővé teszik a havi, rendszeres jelszóváltoztatást – ami még több gyenge jelszóhoz vezet.
A könnyen kitalálható, „gyenge” jelszavak közé tartoznak például az „12345678” és ennek kombinációi, vagy a „password12345678” – sok internetes szolgáltató külön adatbázist állított fel a könnyen kitalálható és emiatt nem javasolt jelszavakból. A jelszavak ismételt felhasználását kihasználják a hekkerek: ha egy szolgáltató felhasználónév, jelszó kombinációi nyilvánosságra kerülnek, akkor a többinél is ezzel próbálkoznak. Emiatt a biztonsági szakemberek körében tartja magát egy mondás, hogy a hekkerek már nem törnek be, hanem megvásárolják, megszerzik vagy kitalálják adatainkat, így lépnek be rendszereinkbe.
A jelszó alternatívái
|
Népszerű második faktorok (válaszolók százalékában) 72% SMS több opciót lehetett választani Forrás: DUO Security 2019 |
Szerencsére az idejétmúlt és senki által sem szeretett jelszavak helyett már vannak jó megoldások. Az azonosításhoz használható faktorokat három kategóriába sorolják a szakértők:
– valami, amit tudunk: ez az ismereten alapuló azonosító. Ebbe a kategóriába tartozik a jelszó mellett a PIN-kód, biztonsági kérdés, jelmondat – vagyis mindaz, amit egy felhasználó előszeretettel lejegyez, mert különben elfelejt. A tudáson alapuló faktorok észbe tartásához találták ki a jelszómenedzser megoldásokat, ahogy a böngészők is meg tudják jegyezni őket;
– valami, amit birtokolunk: ez szoftveres vagy hardveres „tokent” jelenthet. A Google és a Microsoft is ingyenesen kínálja az Authenticator alkalmazást, amelyet be lehet építeni az azonosítási folyamatba. A mobileszközön futó, felhasználóhoz regisztrált alkalmazás egy hat számjegyű kódot generál, amelyet a jelszó helyett kell megadnunk. Mobiltelefon app helyett SMS-ben vagy e-mailben is érkezhet ez a jelkód. Kísérleteztek azzal is, hogy egy általunk birtokolt egyedi tárgyat, egy karkötőt, vagy akár egy kibontott csomag rágógumit használjanak az azonosításhoz. A „Pixie” nevű egyetemi projektben régebbi mobiltelefonokon használható azonosítási módszereken gondolkodtak el, és így rukkoltak elő a körülöttünk lévő tárgyak ötletével.
– valami, ami fiziológiailag a sajátunk, a biometrikus azonosító: lehet az arc, az ujj-, fül- vagy egyéb testrész-lenyomat, tenyérvénák rajzolata, a szem szivárványhártyájának (az írisznek) a mintája – vagyis az egyén sajátos, egyedi biológiai vonása. Az okostelefonok (és a high-end számítógépek…) ujjlenyomattal oldhatók fel, lehetővé téve például a gyors mobilfizetést.
Ugyancsak a kényelmünket szolgálják a single sign on (SSO-) megoldások, amikor egy erős azonosítási faktor segítségével az összes, a munkánk elvégzéséhez szükséges erőforráshoz hozzá tudunk férni.
A kétfaktoros azonosítás
Ha mégis ragaszkodunk a jól bejáratott jelszóhoz, akkor a kétfaktoros azonosítással lehet szinte a nullára csökkenteni az illetéktelen belépés kockázatát. A fenti alternatívák bármelyikét lehet választani második faktornak, még az SMS-t is, miután a Nemzeti Média- és Hírközlési Hatóság javaslatára idén ősszel a hazai mobilszolgáltatók szigorították a SIM-csere szabályait, ezzel csökkentve az illetéktelen csere és a csalás lehetőségét.
Az immár több millió magyar állampolgár irattárcájában lapuló e-személyit is használhatnánk kétfaktoros azonosításra. Ehhez az e-személyibe beépített chipolvasók államilag támogatott, avagy ingyenes beszerzésére lenne szükség. A közigazgatásban, egészségügyben dolgozók napi szinten használják az e-személyi és ügyfélkapus regisztráció kombinációját megbízható azonosításra, a magánszférában azonban elmaradt ennek a lehetőségnek az elterjedése.
Kellő infrastruktúra hiányában a 2021 nyarán bejelentett uniós digitális irattárca és azonosításra alkalmas személyazonossági sem fog igazán elterjedni a magánszolgáltatásokban. Az elképzelés szintjén létező tervek szerint az európai állampolgárok egyetlen kattintással igazolhatják majd személyazonosságukat, életkorukat például egy banki hitelfelvétel során.
Vass Enikő
