مؤسسه یاهو اذعان كرد كه هكرها فایلی قدیمی حاوی اطلاعات متعلق به كاربران خدمات یاهو وویسز را از این مؤسسه ربودند. شیوه نگهداری این گذرواژه‌ها كه كدگذاری نشده بودند، نمونه‌ای شاخص از اقدامات ضعیف امنیتی و مدیریت ضعیف گذرواژه است.
به گزارش خبرگزاري دانشجويان ايران (ايسنا)، بنا بر اعلام شركت امنیت اِسِت از 440 هزار گذرواژه، متداول‌ترین گذرواژه‌ها به ترتیب عبارت بودند از "123456"، "password"، "welcome"، "ninja" و "abc123". فصل مشترك تمام هك‌ها استفاده از گنجینه گذرواژه‌هاست كه تأكیدی است بر دشواری مدیریت گذرواژه‌ها برای افراد و شركت‌ها.
بر اساس مطلب سايت سازمان فناوري اطلاعات، این موقعیت حقیقتی بنیادین را آشكار می‌كند: وقتی موضوع امنیت در میان است راحت می‌توان به دیگران گفت كه چه كار كنند؛ در واقع، آنچه دشوار است واداشتن افراد به اجرای توصیه‌ها است. در این متن مجموعه‌ای از نكات برای سازمانها و كاركنانشان ارائه شده است تا مدیریت گذرواژه‌ها و قدرتمندتر كردن آنها و در عین حال سهولت به خاطر سپردنشان میسر شود.
1. بازی‌های ذهنی: به خاطر سپردن گذرواژه برای همه مشكل است. بر اساس نتايج سنجشی كه شركت لیبرمن سافتور (Liberman Software) در اكتبر 2011 بر روی 300 متخصص آی‌تی انجام داد، 51 درصد از پاسخگویان حداقل 10 گذرواژه داشتند كه باید برای كاربرد در محیط كار به یاد می‌سپردند و 42 درصد گفتند كه در سازمان كاركنان بخش آی‌تی از گذرواژه‌های مشترك برای دسترسی به سیستم‌ها و نرم‌افزارهای كاربردی استفاده می‌كنند.
2. اندازه گذرواژه مهم است: گذرواژه هر چه طولانی‌تر باشد، بهتر است. هشت كاراكتر همیشه كارآمد نیست. در واقع، بسياري توصیه می‌كنند كه در صورت امكان از گذرواژه‌هایی با 12 تا 14 كاراكتر استفاده شود. به گفته پییرلوییجی استلا، مدیر بخش فناوری نتورك باكس (Network Box) نكته اصلی كه باید در هنگام تصمیم‌گیری درباره گذرواژه به خاطر سپرد، این است كه با انسان‌ها سروكار داریم.
او توصیه می‌كند كه جمله‌ای معنی‌دار برای خود بسازید و با حذف فاصله یا قرار دادن كاراكتری مابین كلمات، گذرواژه خود را شكل بدهید. بعد از آن مي‌توانید با تغییر بخش‌هایی كوچك آن را به گذرواژه‌های دیگر بدل سازید. به گفته وی، اساساً از فرایندی ذهنی استفاده كنید كه امكان بازسازی گذرواژه را در صورت فراموش كردنش فراهم سازد و حتماً از گذرواژه‌های طولانی استفاده كنید، مثلاً با 20 حرف یا بیشتر.
3. مشكل كاربرد گذرواژه‌های تكراری: بررسی گذرواژه‌های لورفته در اتفاق مربوط به یاهو نشان داد كه مردم برای سایت‌ها و خدمات متفاوت از گذرواژه‌های واحد استفاده می‌كنند. شاید این كار بعضی وقت‌ها خیلی مهم نباشد. برای مثال، اگر هكری به گذرواژهای دست یابد كه كسی در سایت‌های مختلف از آن استفاده كرده اما آن سایت‌ها حاوی اطلاعات حساسی درباره فرد مذكور نباشد، می‌توان از اثرات جانبی آن چشم‌پوشی كرد. اما اگر هكری گذرواژه ای‌میل كسی را بفهمد و این گذرواژه همانی باشد كه آن فرد برای سایت تجارت الكترونیك نیز از آن استفاده می‌كند، مشكل بروز خواهد كرد. به همین دلیل از كاربرد گذرواژه‌های تكراری باید اجتناب كرد.
4. تركیب حروف گذرواژه: در گذرواژه‌ها باید از انواع كاراكترها استفاده كرد، مثلاً اعداد یا علایم مختلف سجاوندی؛ البته در صورت امكان. این اقدام موجب می‌شود كه نتوان به آسانی گذرواژه را حدس زد. در واقع، استفاده از كلمات واقعی می‌تواند حساب كاربری را در برابر "حملات دیكشنری" آسیب‌پذیر سازد. در این نوع حملات، گذرواژه‌های متداول مورد حمله قرار می‌گیرند. به علاوه، از اطلاعات شخصی قابل كشف در گذرواژه‌ها، مثل روز تولد و امثال آن استفاده نكنید.
5. چرخه عمر گذرواژه: در حالی كه بعضی سازمانها كاربران را به تغییر گذرواژه‌ها در دوره‌های چندماهه وادار می‌سازند، این سیاست اگر منجر به تغییر بیش از حد گذرواژه‌ها شود می‌تواند به نتیجه عكس بیانجامد. نتیجه این وضعیت منجر به كاربرد گذرواژه‌های ضعیف‌تر می‌شود كه به یاد سپردنشان راحت‌تر است. سازمانها باید پیش از تعیین محدودیت زمانی به این نكته توجه كنند كه احتمال حدس زدن گذرواژه فعلی یا نفوذ در آن در مقابل احتمال سرقت آن در صورت تغییر نكردنش چقدر است. هوشمندانه‌تر این است كه از ابتدا كاربران به تعیین گذرواژهای قدرتمند ترغیب شوند، نه آن كه مرتب به تغییر گذرواژه واداشته شوند.
6. ذخیره كردن گذرواژه: دلیل دیگری كه به تأثیر بیشتر هك شدن یاهو انجامید، این بود كه گذرواژه‌ها رمزگذاری نشده بودند. این گذرواژه‌ها در فایلی قدیمی حاوی اطلاعات ورود به سیستم ذخیره شده بودند. اگر اطلاعات هویتی لازم برای ورود به سیستم رمزگذاری شده بود، مجرمان سایبری نمی‌توانستند بدون رمزگشایی از آنها استفاده كنند و رمزگشایی این اطلاعات نیز برای آنان كاری بسیار دشوار بود.
7. كنترل شدید حساب‌های كاربری برتر: استفاده از حساب‌های كاربری كه كاربران آنها از امتیاز بالایی برخوردارند باید به شدت تحت كنترل باشد. مؤسسه IOUG در سنجشی درباره امنیت پایگاه داده در سال 2011 دریافت كه 65 درصد از پاسخگویان یا نمی‌دانستند و یا مطمئن نبودند كه بتوانند سوءاستفاده از حساب‌های كاربری برتر را پیگیری كنند.
ردگیری كسانی كه از این حساب‌ها استفاده می‌كنند و چگونگی كاربرد آنها ممكن است برای شركت‌ها بسیار دشوار باشد. راب راشوالد، مدیر راهبرد امنیت ایمپروا (Imperva) می‌گوید: نكته اصلی این است كه این نوع حساب‌ها تحت نظارت باشند، نه فقط برای استفاده پنهانی یا برای زمانی كه برای این موضوع درخواست می‌شود، بلكه همچنین برای هنگام دسترسی غیرمجاز به داده/آی‌پی كه نشانه آلودگی است.
8. وقتی گذرواژه‌ها كافی نیستند: بعضی وقت‌ها گذرواژه‌ها به تنهایی امنیت كافی ایجاد نمی‌كنند. بسیاری از سازمانها استفاده از روش تأیید دو مرحله‌ای، مانند ارسال پیام به تلفن همراه جهت تأیید تبادلات بانكی آنلاین را آغاز كرده‌اند. در بعضی شرایط، برای مشاغل استفاده از این روش برای ایجاد یك لایه امنیتی دیگر منطقی است.
انتهاي پيام
نظرات