Як створити надійний пароль? Найпоширеніші помилки, яких (імовірно) припускаєтеся й Ви

«Ім’я дружини», 12345, «не знаю» або навіть «password». За даними опитувань, саме такі паролі чеські користувачі люблять найбільше вже давно. Так, Ви не помилилися. Навіть у 2018 році є десятки тисяч людей, які не надто турбуються про свою безпеку в інтернеті. А наслідки можуть бути трагічними. 

Удома, а також за комп’ютером

Чи можете Ви уявити, що їдете у відпустку і залишаєте вхідні двері навстіж? Імовірно, ні. Але коли йдеться про безпеку в інтернеті, ми не такі обережні.

А на кону багато. Слабкого пароля й пари кліків достатньо — у кращому разі колега прочитає Вашу пошту, у гіршому Ваші інтимні фото опиняться в інтернеті, а на банківському рахунку Ви побачите нуль. Хакери й кіберзлочинці стають дедалі винахідливішими. І ніщо не застраховане від них: ні Ваша електронна пошта, ні сховище фотографій, ні соціальні мережі, ні інтернет-банкінг.
Найбільші помилки, яких (імовірно) припускаєтеся й Ви

Щоб дістатися до Вашого пароля, людині не потрібна жодна витончена техніка. Як застерігають експерти з безпеки, якщо хтось отримав Ваш пароль, у більшості випадків Ви самі в цьому винні. Ви припускаєтеся деяких із найпоширеніших (і найбільших) помилок.

1. Ви використовуєте пароль, який легко вгадати

Ваша дата народження чи дата народження близьких, ім’я собаки або, може, «12345». Якщо Ви використовуєте щось із цього, це все одно що залишити ключ від вхідних дверей під килимком — щоб його підняв будь-хто, хто проходитиме повз.

І думаєте, що Вашу дату народження знають лише близькі? Подумайте ще раз. Будь-хто може знайти її або у Ваших соціальних мережах, або, наприклад, на сайті Комерційного реєстру.

2. Ви записуєте пароль на папірець

Чи то Ви приклеюєте його до монітора, ховаєте в гаманець, чи вписуєте в телефон, діє одне: це дуже погана ідея. 

3. Ви вводите пароль при інших людях

Якщо Ви входите десь поза безпекою власного дому, будьте обережні: остерігайтеся сторонніх людей і будь-яких камер. Підглядання за клавіатурою під час введення досі є одним із найпоширеніших способів дізнатися пароль. Будьте уважні.

4. Ви використовуєте один пароль у кількох місцях

Так, ми знаємо. Так простіше. А сервісів, яким потрібен пароль, десятки. Попри це, закликаємо Вас суворо дотримуватися правила «кожен сервіс — інший пароль».

Причина проста. Якщо зловмисник отримає Ваш пароль від будь-якого сервісу, він може отримати доступ і до багатьох інших місць. Початкова втрата пароля може бути навіть не Вашою провиною: на жаль, досі не всі інтернет-провайдери піклуються про безпеку своїх користувачів так, як мали б. 

До речі, чи пам’ятаєте Ви відомі випадки, коли великі сервіси LinkedIn і Dropbox визнали, що дані мільйонів їхніх користувачів потрапили у відкритий доступ? Паролі, серед яких міг бути й Ваш, потім продавали на чорному ринку. Але на початку була слабка безпека на серверах, де сервіси зберігали паролі користувачів.

5. Ви реєструєтеся на підозрілих серверах

Чи знаєте Ви справді, куди входите? І хто може «бачити» всі Ваші чутливі дані в інтернеті? Навіть якщо Ви переконані, що ніхто, будьте обережні: Ви можете, хай і несвідомо, розкрити свій пароль та інші дані оператору, який не обов’язково має щодо Вас найкращі наміри. 
Як хакери дістаються до Вашого пароля

У світі безпеки — а надто безпеки в інтернеті — на жаль, нічого не буває простим. Бо навіть коли Ви не припускаєтеся помилок (або припускаєтеся лише найменшої), Ви все одно можете втратити пароль (і доступ до важливих застосунків). Хакери дуже добре знають, як дістати паролі. Особливо чужі.
Фішинг: закинути гачок… і піймати

ПОРАДА: Прочитайте статтю Як розпізнати фішинг і як від нього захиститися.

Фішинг, тобто шахрайські електронні листи, — сьогодні найпоширеніший тип інтернет-атак, спрямованих на отримання Ваших чутливих даних. Лише за останні два роки майже половина чеських компаній, які повідомили про кібератаку, зіткнулася саме з таким видом кіберзлочинності. Зростає і кількість атак на мобільні мережі.

Слово «фішинг» походить від англійського «fishing» (риболовля) і дуже влучно описує діяльність інтернет-шахраїв. Вони розсилають електронні листи на найрізноманітніші адреси, намагаючись «піймати» якомога більше жертв.

Як виглядає така атака? Уявіть, що відкриваєте поштову скриньку і, окрім звичайної пошти, знаходите новий лист від Вашого банку. З тривожним змістом: безпеку Вашого пароля порушено, і щоб Ви не втратили гроші, потрібно негайно змінити пароль. Лист, звісно, містить і пряме посилання на сторінку Вашого інтернет-банкінгу.

Але є одне велике «але». Хоча сторінка, на яку Ви потрапляєте після кліку, виглядає майже так само, як сторінка Вашого банку, якщо глянути на адресний рядок, виявиться, що насправді Ви на зовсім іншому сайті — хоч і з ідентичним дизайном.

Так, Ви зрозуміли правильно. Пронесло — Ви ледь не віддали пароль від інтернет-банкінгу кіберзлочинцям. Достатньо скористатися здоровим глуздом. Подумайте: чи справді банк хотів би, щоб Ви вводили чутливі дані через електронну пошту?

Сніфінг: стережіться того, хто спостерігає

Слово «сніфінг» походить від англійського «to sniff» (винюхувати). Воно дуже добре описує, у чому полягає сніфінг. Простіше кажучи, це особлива техніка, що дає змогу «підслуховувати» потік даних у комунікації — зокрема паролі.

Для Вас як користувача це означає одне: не вводьте паролі в громадських незахищених мережах Wi-Fi і, за можливості, не входьте в сервіси, які не використовують захищений протокол HTTPS. Інакше хтось, кому там не місце, може «підслухати» Ваш пароль.

Атака за словником: перебір усіх можливостей

Чи використовуєте Ви як пароль конкретне слово? Тоді у Вас проблема. Довжина пароля особливого значення не має. За допомогою так званої атаки за словником хакери перебирають усі слова одне за одним (від найуживаніших до рідших), і рано чи пізно натрапляють і на Ваше. (Щоб Ви розуміли: сучасні комп’ютери можуть знайти простий пароль, що складається з конкретного слова, атакою за словником лише за кілька мілісекунд!)

До речі, чи пам’ятаєте Ви 2013 рік, коли інтернетом почали поширюватися величезні текстові файли із 152 мільйонами імен користувачів і паролів, які хакери здобули зі слабко захищених серверів Adobe? Здобуті таким чином паролі хакери використовують і як новий словник. А 150 мільйонів паролів — це досить солідна вибірка.

Груба сила: вимоглива до потужності

Принцип методу, який просто називають «груба сила» (brute force), нескладний. За допомогою потужного комп’ютера хакери намагаються «розв’язати» Ваш пароль, як задачу з комбінаторики для старшокласників. Людською мовою: вони просто пробують усі можливості, одну за одною.

У цьому зв’язку у нас одна хороша новина і одна погана. Спершу погана: завдяки цьому методу хакери можуть дістатися до будь-якого пароля у світі. А хороша? Якщо Ви доклали до пароля певних зусиль, їм це може коштувати сотні років. Завжди діє правило: чим складніший пароль, тим більше часу потрібно кіберзлочинцям, щоб його зламати. (Саме тому більшість сервісів сьогодні під час введення пароля вимагають мінімальну довжину та використання спеціальних символів.) 

Для Вас це чітке послання: чим більше спеціальних символів, цифр, малих і великих літер Ви використаєте в паролі, тим важче життя Ви ускладните хакерам і кіберзлочинцям. І тим певніше можете бути, що Ваш пароль (і Ваша приватність) у безпеці.

Будьте в безпеці в інтернеті. Ось кілька порад

Прочитавши попередні абзаци, чи відчуваєте Ви, що боротьба за Вашу приватність в інтернеті програна ще до початку? На щастя, усе не так сумно. Хоча сьогодні хакери мають багато інструментів для злому пароля, достатньо дотримуватися кількох принципів, і Ви будете в безпеці.

1. Створіть надійний пароль

Надійний пароль має містити щонайменше вісім символів, як малі, так і великі літери, а також один або кілька спеціальних символів (наприклад, «равлик», решітку тощо). Слово, яке Ви використовуєте як пароль, не повинно бути в жодному словнику. Уникайте того, щоб пароль містив Ваше ім’я користувача або назву сервісу, до якого Ви входите. І послідовно дотримуйтеся правила «кожен сервіс — інший пароль».

2. Увімкніть двофакторний захист

Якщо сервіс, до якого Ви входите, це дозволяє, обов’язково активуйте для входу так звану двоетапну автентифікацію.

Як вона працює? Просто: щоразу, коли Ви намагаєтеся увійти в сервіс, окрім пароля, Вас попросять ввести код безпеки (який зазвичай надходить на Ваш мобільний). Переваги очевидні: навіть якщо зловмисник дістане Ваш пароль, дуже малоймовірно, що одночасно він отримає доступ і до Вашого мобільного телефону.

3. Забудьте про контрольні запитання

Дівоче прізвище матері, улюблений фільм чи ім’я домашнього улюбленця. Якщо Ви для якогось сервісу активували так звані контрольні запитання, негайно припиніть читати й ідіть їх вимикати. Це одна з найбільших помилок в історії безпеки в інтернеті і водночас одна з найбільших дір у захисті.

Цікаво, чому? Уявіть, що Ви забули пароль від пошти. Не біда — просто введіть дівоче прізвище матері. За кілька секунд Ви знову дивитеся у вхідні та надсилаєте листи друзям.

Тільки це не Ви — це хакер (або «просто» хтось, кому Ви не надто подобаєтеся), який таким простим способом потрапив у Вашу поштову скриньку. І потрібно йому було майже нічого: лише за допомогою соціальної інженерії він дізнався, яке було дівоче прізвище Вашої матері. А в епоху інтернету це не надто складне завдання, чи не так?

4. Будьте уважні, де Ви входите

Безпека в інтернеті — одна з головних тем нашого часу. На жаль, не всі оператори сайтів і сервісів це усвідомили. І вони приділяють Вашому паролю (чи паролям інших користувачів) аж ніяк не ту увагу, на яку він заслуговує.

Щоб забезпечити безпеку своїх користувачів, більшість інтернет-операторів сьогодні використовують для зберігання паролів так звані «хешовані» бази даних. Простіше кажучи: навіть вони самі не можуть «бачити» Ваш пароль, бо він зберігається в базі в закодованому (хешованому) вигляді. (Саме тому, якщо Ви намагаєтеся нагадати забутий пароль, у листі, що надійде, буде не сам пароль, а код, за допомогою якого можна створити новий. Оператор Вашого пароля не знає.)

Інші оператори, на жаль, не такі відповідальні. Як відрізнити перших від других? Просто: коли Ви натискаєте «Забули пароль», надходить лист із точним текстом Вашого пароля. Для Вас це чіткий сигнал — той сервіс не дбає про безпеку паролів і зберігає їх у незахищених базах даних. Тікайте від такого сервісу якнайшвидше!

5. Не зберігайте паролі в браузері

Так, це зручно. І окремі браузери практично пропонують це самі. Один клік, і Вам більше не потрібно вводити пароль, бо браузер запам’ятає його за Вас і при кожному візиті входитиме автоматично.

Проте зберігати паролі безпосередньо в браузері — дуже погана ідея, і з двох причин. Деякі атаки націлені не стільки на Ваш пароль, скільки на доступ до Вашого комп’ютера. Щойно хакеру це вдасться, разом із доступом до комп’ютера він отримає повний доступ до всіх сервісів, дані для входу в які Ви зберегли в браузері.

До того ж зламати захист паролів, збережених у браузері, хакерам набагато легше, ніж паролі, які зазвичай зберігаються в різних хмарних сервісах. Експерти з безпеки нещодавно вказали на скрипти, які можуть непомітно витягувати збережені дані з браузерів.

6. Користуйтеся менеджером паролів

Спочатку коротке нагадування. Щоб пароль був справді надійним, він має бути достатньо довгим, складатися з різних типів символів і, крім того, бути унікальним для кожного сервісу. Легше сказати, ніж зробити? Ви маєте рацію. Людині не під силу запам’ятати таку кількість різних комбінацій — саме тому більшість користувачів не дбають про безпеку і зберігають паролі в телефоні або навіть записують їх на папірець, приклеєний до монітора.

На щастя, дехто з розробників це теж усвідомив і придумав так звані «менеджери паролів». Це застосунки, які запам’ятовують усі Ваші паролі за Вас і, щоб було ще простіше, можуть навіть допомогти придумати справді надійний пароль. Вам залишається лише пам’ятати головний пароль, яким Ви входите до менеджера паролів.

Серед найпопулярніших менеджерів паролів — LastPass, який, окрім надійного зберігання паролів, пропонує синхронізацію між пристроями, зокрема з мобільними телефонами. Інший популярний менеджер паролів, 1Password, працює подібно і дозволяє також завантажувати у сервіс Ваші документи (доступний 1 ГБ). На відміну від LastPass, однак, повністю безкоштовно ним користуватися не можна.

ПОРАДА: Рекомендуємо прочитати одну з наших найуспішніших статей — Десять правил безпеки в інтернеті

Майбутнє без паролів?

Експерти давно сходяться на тому, що безпека в інтернеті буде однією з головних тем найближчих років. І не дивно: наша робота й наше життя переселяються в інтернет, а питання безпеки та приватності відіграватиме дедалі більшу роль.

Ті самі експерти висувають і проривну думку: наше майбутнє може бути світом, у якому всі паролі зникнуть раз і назавжди. З однієї причини: це, мовляв, технологія, що давно випередила сьогоднішній світ — світ, у якому дедалі більше переважає біометрія. На їхню думку, майбутнє — у наших біометричних даних.

І, чесно кажучи, це має сенс. Чи існує справді надійніший ключ доступу, ніж Ваш голос, відбиток пальця чи скан райдужки? Експерти сьогодні, а особливо представники великих технологічних компаній, інтенсивно це обговорюють. І потроху втілюють результати своїх роздумів на практиці. 

Уже за кілька років може виявитися, що Touch ID чи Face ID, якими ми звикли сьогодні розблоковувати телефони, були насправді лише початком чогось набагато більшого. 

Окрім ретельно обраних паролів, безпеку в інтернеті забезпечує й надійне, захищене підключення. Підключайтеся до інтернету з нами в UVT, або прочитайте також статтю Залякування та виставляння рахунків — бізнес-практики деяких антивірусних компаній сповільнюють Ваш інтернет.

Оновлено 5 березня 2024 р.