Parolele azi

„Parola e ca periuţa de dinţi: o alegi cu grijă să fie cât mai bună şi nu o împărtăşeşti cu nimeni!„ (Laura Varteressian - Yahoo! Security Center)

Duminică, 6 octombrie, Adobe m-a anunţat că mă aflu printre „fericiţii” 2,9 milioane de clienţi cărora li s-au furat ID-urile şi parolele (criptate, e drept) într-un atac informatic asupra serverelor Adobe (atac recunoscut public pe 3 octombrie). O parte din mesajul lor sună aşa:

Am descoperit recent că un atacator a intrat ilegal în reţeaua noastră şi a obţinut probabil acces la ID-ul şi parola dumneavoastră Adobe criptată. Momentan nu avem niciun indiciu că ar fi avut loc activităţi neautorizate în contul dvs. Pentru a evita accesul neautorizat la contul dvs., v-am resetat parola. Vizitaţi www.adobe.com/go/passwordreset_ro pentru a crea o parolă nouă. Vă recomandăm să vă schimbaţi parola şi pe orice alt site web unde utilizaţi acelaşi ID de utilizator sau aceeaşi parolă. În plus, fiţi vigilenţi în privinţa oricărei încercări de înşelăciune prin e-mail sau telefon care vă solicită informaţiile personale. [sursa Adobe].

Neplăcut – Adobe este o companie foarte importantă, de încredere şi cu mare nivel de securitate. Parola era deci una importantă şi toată după-amiaza de duminică mi-am petrecut-o revizuindu-mi parole. Aşa am descoperit că recomandările privind siguranţa parolelor au evoluat mult în ultimii ani şi că marile companii de încredere – gen: Amazon, Apple, Google, eBay, Microsoft, PayPal, Yahoo etc. – recomandă şi chiar obligă la standarde înalte în alegerea parolelor.

Apoi, dacă tot mi-am petrecut atâtea ore cu parolele, am zis să scriu un bilet de blog în care să explic cum se aleg şi gestionează parolele azi. Am tot întârziat până azi, când Yahoo, care tocmai a trecut definitiv, de pe 14 octombrie, la criptarea SSL (Secure Socket Layer) [SSL pe Wikipedia] a serviciului de email [blog oficial Yahoo], m-a obligat pur şi simplu să-mi schimb parola, cu una teoretic la cele mai înainte standarde de securitate, pentru că au descoperit o „activitate suspectă” pe serviciile mele la ei. Aşa că am zis să scriu. Nu după capul meu, ci după recomandările celor mari: Apple, Google, Microsoft, Yahoo.

Introducere

În zilele noastre cu parolele nu e de joacă. Ele pot să dea acces la o bună parte din viaţa privată a persoanei (email, reţele sociale etc.), la informaţii profesionale şi, nu în ultimul rând, la buzunarul omului, prin serviciile financiar-bancare online (online banking, PayPal etc.). Yahoo vrea să fie haios şi adevărat în acelaşi timp când spune că parola e ca periuţa de dinţi: o alegi cu grijă să fie cât mai bună şi nu o împărtăşeşti cu nimeni!

Diferite nivele

Mai întâi de toate, înainte de o alege o parolă, analizaţi bine ce fel de parolă aveţi nevoie pentru un anumit site. Clasaţi siturile pe nivele de risc şi de seriozitate, pentru că ciber-criminalii atacă mai întâi siturile cu securitate scăzută ca să folosească eventual acele informaţii pentru a ataca situri şi servicii mai securizate, precum băncile (sursă: Microsoft).

Pentru situri cu risc redus pentru utilizator în caz de atac, cum ar fi un site de ştiri on-line (la care daţi cât mai puţine informaţii posibile), puteţi utiliza o parolă uşor de amintit; aceeaşi parolă o puteţi folosi pe alte situri sau servicii cu risc scăzut (sursă: Apple).

Pentru siturile cu informaţii sensibile, cum ar fi parola de administrator de sistem sau un cont bancar online, dar şi emailuri şi reţele sociale, folosiţi parole unice şi greu de ghicit, câte o parolă pentru fiecare zonă separată, şi nu-o reutilizaţi în altă parte. În acest fel, în cazul în care o parolă este compromisă, alte zone sensibile nu vor fi afectate (sursă: Apple).

Relaţii între situri şi servicii

Aproape toate siturile de „servicii” – cum ar fi Apple, Amazon, Adobe, eBay etc. –, dar şi reţelele sociale (Facebook, Twitter etc.) necesită un email. Dar şi serviciile de email necesită azi adesea un alt email. Nu puneţi niciodată aceeaşi parolă la cele două emailuri, şi nici aceeaşi parolă ca la email la serviciul care foloseşte acel email. Astfel, dacă vreodată un serviciu e compromis, cel care este legat cu el rămâne în siguranţă şi poate fi folosit pentru recupera serviciul compromis.

Emailul (sau emailurile) prin care se face recuperarea parolelor sau a accesului la servicii eventual compromise – pe care să îl consideraţi ca un bunker de refugiu în caz de atac –, trebuie să aibă o parolă foarte solidă şi cu siguranţă unică.

În rezumat minimal:

• Două emailuri – două parole.
• Facebook foloseşte email-nr-1 – parola de Facebook diferă de parola de la email-nr-1.
• Emailul de recuperare – parolă foarte solidă şi unică.

Nu aşa

Înainte de a spune ce trebuie să conţină o parolă bună, trebuie neapărat să spunem ce NU trebuie să conţină o parolă bună:

• Nu trebuie să conţină date de naştere familiale sau alte date uşor de ghicit.
• Nu trebuie să conţină numere de telefon uşor de ghicit.
• Nu trebuie să conţină nume din familie (nici ale câinilor şi pisicilor din familie).
• Nu trebuie să conţină nici un fel alte informaţii personale uşor de obţinut azi (numărul sau tipul maşinii, numele angajatorului, al şcolii, al străzii, al oraşului, etc.).
• Nu trebuie să conţină serii comune de numere sau litere (12345, 7777, abcdef, FFFFF etc.).
• Nu trebuie să conţină cuvinte din dicţionar, din nicio limbă (fără numai dacă sunt modificate – vezi mai jos).

Cum să-mi creez o parolă bună

În sfârşit, am ajuns la una din ultimele etape: cum să-mi creez parola.

Azi o parolă trebuie să aibă cel puţin 8 caractere şi caractere variate: litere mici şi mari, cifre, semne de punctuaţie şi simboluri.

Toate cele patru articole serioase pe care le folosesc în acest articol (Apple, Google, Microsoft, Yahoo) recomandă ca să ne creăm parolele pornind de la scurte propoziţii familiare nouă, urmând mai multe etape de consolidare a securităţii, după cum urmează:

• Etapa 1: Caută o propoziţie familiară, de exemplu: „Lapte acru şi bătut se numeşte atribut”. De acord, e cam lungă totuşi, dar poţi lua „Lapte acru şi bătut”.
• Etapa 2: Elimină spaţiile dintre cuvinte (şi diacriticele). Rezultă: „Lapteacrusibatut”.
• Etapa 3: Introdu nişte greşeli sau alterări intenţionate, gen: „LaptakruzibaTTut”.
• Etapa 4: Introdu cifre şi, semne de punctuaţie şi simboluri, gen: „L@ptakruz1baTTu!5721”

Poate nu veţi face chiar aşa, dar acesta e principiul pentru o parolă bună, tare, complexă.

Recomandări finale

Desigur, nu trebuie să vadă nimeni ce scrieţi pe tastatură când introduceţi undeva parola.

Nu vă scrieţi parolele pe post-it sau hârtuiţe care zac cine ştie pe unde.

Nu trimiteţi parolele pe chat (gen: Yahoo!Messenger) şi pe email şi, în general, nu le împărtăşiţi electronic cu nimeni (nici măcar daca aveţi antiviruşi).

Schimbaţi parolele regulat, la 3-6 luni spun recomandările (ştiu, ştiu, e o bătaie de cap…).

Dacă folosiţi generatoare de parole, să fie sigure. De pildă, online folosiţi Norton sau PCTools.

Dacă folosiţi un manager de parole, alegeţi unul din cele mai sigure şi complete, cum ar fi RoboForm sau LastPass.

Niciun serviciu serios nu vă cere, niciodată, datele prin email. Un astfel de email este în mod sigur fraudulos.

Nu daţi click pe niciun link înainte de a survola cursorul acel link pentru a vedea unde duce şi că acel site vă este cunoscut.

Să fiţi sănătoşi şi voioşi !