Biztonságos jelszótárolás

Korábbi cikkeinkben már igen sokat írtunk arról, hogy mely jelszavak jók, és melyek nem töltik be szerepüket.
Most egy kicsit más megvilágításban szereténk taglalni ezt a témát.

Egyre több helyen van szükségünk különböző kódok megadására. Bankkártyánk használatához PIN-kódra van szükség. Aki vállalkozó, vagy más okból netalántán több kártyával rendelkezik, annak több PIN-kódja is van. Ha bekapcsoljuk a mobiltelefonunkat, akkor is ugyanilyen négyjegyű szám megadására van szükség. Egyes cégeknél bizonyos területekre való bejutáshoz, sok lakásban pedig a riasztó kikapcsolásához van efféle adatok megadására szükség. Telebank szolgáltatás igénybevételéhez hosszabb ellenőrzőkódok meghatározott részeit kell begépelni. A laptop indításához, a gépbe való belépéshez, egyes hálózati, vagy internetes helyek eléréséhez jelszavak megadására van szükségünk. És a sor folytatható.
A biztonság persze úgy az igazi, ha gyakran cseréljük az azonosítókat.

Lássuk be, ennyi kódot igen nehéz fejben tartani, főleg, ha mondjuk pl. kéthetente le is kell cserélni őket. Mit tehet ilyenkor a szegény felhasználó? Erre vonatkozóan több megoldás is közkeletűnek számít:

1. Felírjuk a kódokat olyan helyre, ahonnan bármikor el tudjuk érni.

Körülbelül hat éve jellemző volt a monitorokra ragasztott sárga cédulák látványa, felhasználónévvel, jelszóval, elérési utakkal és a használathoz szükséges lépések leírásával. Ez a gyakorlat mostanában már tűnőben van, de néhány hivatalban még azért találkozhatunk vele. "Kulcs a lábtörlő alatt!" - mondhatnánk. Egy nagy szoftvercég képviselője mondta egyszer, hogy ha más is odafér a gépedhez, akkor az már nem is a tiéd, azt tesznek vele, amit csak akarnak. Ez fokozottan érvényes, ha még használati utasítást is mellékelünk hozzá.

Ennek az eldurvult megoldásnak ma újabb változatai kaptak lábra. Szokássá vált az összes kódot, jelszót, stb. noteszba felírni és betenni a táskánkba, amit persze nem cipelhetünk mindig magunkkal. Vagy egyszerűen csak feljegyezni a mobiltelefonunkba vagy a menedzser-kalkulátorunkba. Ha ezt tesszük, legalább védjük le egy jelszóval az eszközt, és hogy ezt az újabb jelszót ne felejtsük el, írjuk fel egy sárga cetlire, és ragasszuk ki a monitorra.

2. Ugyanazt a jelszót több helyen is használjuk

Egy kódszám vagy jelszó sokkal könnyebben megjegyezhető, ha gyakran használjuk. Az a telefonszámot szinte automatikusan megjegyezzük, melyet nap, mint nap felhívunk. Az otthoni telefonszámukat például sokan nem tudják fejből, mert soha sem szokták hívni.

Ha úgy próbáljuk meg könnyebben megjegyezni a jelszavainkat, hogy több helyen használjuk, igen nagy veszélynek tesszük ki rendszereinket. A legkönnyebben feltörhető helyről megszerzett kódot ugyanis azonnal fel lehet használni más helyeken is.

A rendszergazdák tipikus szokása, hogy több helyen is ugyanazt az adminisztrátori jelszót használják. A rendszereket feltörők, az esetek túlnyomó többségében mondhatnák: "Ez a rendszerfeltörés nem jöhetett volna létre a rendszergazda közreműködése nélkül". Az egyik nagy hálózati operációs rendszernél volt igen bevett gyakorlat, hogy a szerveren egy igen könnyen hozzáférhető, kicsiny védelmi igényű helyre rendszeresen ugyanazt a jelszót adták meg, amivel magát a rendszergazdai belépésüket védték. Így a hálózat korlátlan urává több esetben tette már magát olyan felhasználó, aki le tudott ülni a szerver elé.

A felhasználókat azonban elsősorban az internetes alkalmazások jelszavai sodorhatják veszélybe, ugyanis, a távoli gépeken felhasznált jelszavakat elvileg könnyebben meg lehet szerezni, különösen akkor, ha eleve kétes helyeket látogatunk meg. Az idegen helyeken választott jelszavak soha se egyezzenek meg más jelszavainkkal

3. Könnyen megjegyezhető jelszavakat választunk.

Sokan családtagjaik neveit, hozzájuk közelálló csapatok, szervezetek, személyek, háziállatok, stb. neveit használják jelszónak. Ez eleve helytelen gyakorlat, hiszen a konkrét személy ismeretében, ezek viszonylag könnyedén kitalálhatók. Sokszor a könnyű kódokat nem is mi választjuk. A mobiltelefon kártyájának, és a bankkártyának a pinkódja, az esetek döntő többségében eleve könnyen megjegyezhető (de könnyen ki is található). Ez a módszer jó a felejtés ellen, de rossz a kitalálhatóság szempontjából.

4. Megkíséreljük az összes azonosítót fejben tartani

Elvileg ez a legjobb megoldás, sőt erre bíztatnak a különféle szolgáltatók is, hogy jegyezzük meg a kódot, azután semmisítsük meg a kapott lapot. Ez csak akkor lehet igen kellemetlen, amikor például hónapokig nem nyúlunk például a bankszámlánkhoz, mert mondjuk nincsen rajta egy árva vas sem. Ha egy azonosítót jó ideig nem használunk, azt óhatatlanul elfelejtjük. Nem feltétlenül jó érzés a bankautomata előtt úgy állni, hogy na még egy utolsót próbálkozhatunk, utána már nem kapjuk vissza a kártyánkat.

Jelszavak esetében sok cégnél eleve olyanokat adnak meg, amelyeket senki el nem felejthet (üres jelszó, vagy mindenkinek azonos, netalántán a cég nevével megegyező). Miért? Bizonyos cégeknél olyan az informatikai felkészültsége a dolgozóknak, hogy mindenki mellé kellene egy rendszergazda, hogy lecserélje az elfelejtett jelszavakat.

Az egyik cégnél például úgy sikerült 80%-kkal csökkenteni a Helpdesk igénybevételét, hogy olyan szoftvert telepítettek a hálózaton, amelyik néhány kérdés helyes megválaszolása után törölte a felhasználó korábbi jelszavát, és alapértelmezettet állított be.

Az eddigiekből látszik, hogy csak fejben tartani sem célszerű a kódokat, felírni pedig veszélyes. Mit lehet akkor tenni?

Érdemes papíron is rögzíteni, de csak úgy, hogy ha a leírtakat nem lehet közvetlenül felhasználni. PIN kódot rögzíthetünk például telefonszámként, ahol tudjuk, hogy mondjuk az ötödik jegytől kezdődik a tényleges kód (körzetszámmal számolva). Pl.: az egyik legismertebb bank bankkártyájának PIN kódját feljegyezhetjük a nevek közé így is:

Otpányi László 06 (30) 620 567 => 6205 (az itt megadott név persze innentől kezdve nem jó módszer, mert cikkünk által közkinccsé vált, így javasolt más név használata.

Az efféle feljegyzések tárolásának helye munkahelyünkön lehet például egy biztonságos páncélszekrény, ahonnan felejtés esetén puskázhatunk. Saját használatú információk esetén pedig nem célszerű ezeket állandóan magunkkal vinni.