Protejarea parolelor. Studiul CPP din Marea Britanie

Ce-i drept, în ultimele două săptămâni, am preferat să vă fac cunoscute o serie de reduceri şi promoţii, în paralel cu o afişarea unei colecţii de resurse (teme, imagini de fundal, pictograme, ş.a.m.d.), fără a intra în subtilităţi sau în probleme de fond. Nu aveam dispoziţia necesară unor analize stufoase, şi cred că nici voi n-aţi fi fost dispuşi să vă „asezonaţi” sarmalelor şi friptura de revelion cu ameninţările informatice din luna decembrie.

Sărbătorile au trecut (sau cel puţin, majoritatea dintre ele) şi este vremea să redevenim serioşi, asta măcar în perspectiva datelor pe care am să vi le prezint în continuare. Subiectul este unul care s-a mai bucurat de atenţie în paginile acestui blog, şi anume: protejarea parolelor, iar dat fiind faptul că articolul de faţă face parte dintr-o colecţie, n-am să reiau discuţia despre ce sunt parolele şi cum ar trebui să arate o parolă sigură sau metoda de securizare a unei parole obişnuite (a se citi nesigure) cu ajutorul unei „fraze parolă”. Mai mult, în măsura timpului disponibil, voi încerca să actualizez şi celelalte materiale, luând în considerare şi comentariile voastre.

Dacă vă mai amintiţi, în jurul datei de 8 decembrie 2009, o ştire ce viza serviciul de microblogging Twitter a făcut înconjurul blogurilor de profil IT. Motivul ?! Includerea în pagina de înregistrare (twitter.com/signup) a unui script ce împiedica utilizatorii să folosească o serie de parole considerate nesigure. N-am să redau conţinutul twttr.BANNED_PASSWORDS (în speţă cele 370 de parole interzise), fiindcă nu mi se par a fi extrem de relevante (măcar prin comparaţie cu lista parolelor „preferate” de Conficker), iar voi le puteţi găsi foarte uşor verificând codul paginii respective. În plus, subiectul a fost tratat pe unul din blogurile partenere, worldit.info.

Altceva mi s-a părut interesant. Că uşor-uşor, furnizorii de servicii (e-mail, mesagerie instant, găzduire web, dar nu numai), sătui să mai repete (aproape obsesiv) aceleaşi sfaturi, au trecut la nivelul următor: blocarea unor parole şi sporirea securităţii (cred că aţi afla deja de obligativitatea confirmării contului prin SMS, recent introdusă de Google).

Întrebarea care se pune, este dacă majoritatea utilizatorilor nu s-au desprins până acum cu gestionarea gestionarea corectă parolelor, iar măsurile de precauţie şi articolele ce tratează subiectul, nu sunt cumva doar rodul unor minţi uşor paranoice, obişnuite să pună răul înainte.

Ei bine, o companie din Marea Britanie, CPP („Assistance, Identity Protection and Card Insurance”), a realizat un studiu destul de grăitor pentru situaţia existentă la ora actuală, iar graţie celor de la telegraph.co.uk care au preluat informaţiile, pot să vă prezint câteva cifre şi vă rog să-mi spuneţi dacă sunt veşti bune sau nu.

Studiul CPP din Marea Britanie

Plecând de la constatarea că unui utilizator care NU accesează internetul extrem de des, i se cere să introducă o parolă, în medie de 23 de ori pe lună, studiul CPP a demonstrat că 46% dintre utilizatorii din Marea Britanie (15,6 milioane) folosesc aceeaşi parolă pentru majoritatea conturilor online, iar 5% dintre ei, adică 1,7 milioane, folosesc EXACT aceeaşi parolă. Nu zâmbiţi că nu s-a terminat.

În jur de 29 de procente, folosesc diverse combinaţii ale unei parole standard, la care adaugă zilele săptămânii, ale lunii, ş.a.m.d. Aniversările (să nu spunem comemorările) sau numele copiilor sunt folosite pe post de parolă de un britanic din zece, în timp ce unul din cinci îşi încredinţează secretele în „mâinile” animalului de companie.

Un alt lucru extrem de interesant, demonstrat de studiul CPP, a fost acela că 40% dintre subiecţi au recunoscut că parola lor este cunoscută de familie sau de prietenii apropiaţi, iar două procente se află în postura, aş spune destul de ingrată, ca fostul partener de viaţă să aibă acces la conturilor web de e-mail şi nu numai. Tot ce le pot dori este un divorţ rapid, fiindcă în cazul unui partaj mi-e teamă că vor fi destule probe la dosar.

Poate uşor surprinşi de rezultate, telegraph.co.uk precizează că „aproape 16 milioane de oameni riscă să cadă victime fraudelor electronice, fiindcă se folosesc aceeaşi parolă pentru mai multe conturi”, iar Sarah Blaney de la CPP, abordează subiectul într-un mod destul de plastic, întrebându-se de ce o personală rezonabilă, care nu foloseşte aceeaşi cheie pentru casă, maşină şi garaj, s-ar baza pe o singură parolă pentru toate conturile ?!

Un exemplu recent l-am prezentat în luna octombrie 2009, când acele liste cu parole au început să circule pe internet… de-au ajuns până la BBC. Şi atunci, utilizatorii cei mai afectaţi, au fost cei care şi-au pus speranţele într-o singură parolă.

Dat fiind faptul că nu-mi place să împart poveţe în stânga şi-n dreapta, şi nici nu-i nevoie să mă credeţi „pe cuvânt”, puteţi citi  opiniile domnului Randy Abrams, director de Educaţie Tehnică de la Esset. E drept că unele lucruri s-au mai auzit pe acest blog, însă e mai bine să fie repetate, decât trecute cu vederea.

Am stabilit deja că parola trebuie să fie una SIGURĂ, şi acum rămâne de văzut care sunt câteva dintre metodele eficiente de protejare a parolelor:

Folosiţi parole diferite pentru fiecare cont

Astfel, dacă din motive independente de acţiunea voastră, unul din conturi este compromis, nu riscaţi celelalte conturi. Am văzut cazuri în care utilizatori, extrem de precauţi de altfel, au folosit parola contului de Yahoo pe te miri ce site, unde aceste informaţii erau stocate „în clar” (adică necriptate).

Actualizaţi-vă parolele o dată la câteva luni

Depinde foarte mult şi ce fel parolă aţi ales, sau cât importante sunt informaţii protejate, însă e recomandat ca parolele să fie schimbate, măcar trimestrial. Randy Abrams propune un interval între 6 şi 12 săptămâni.

Stocaţi-vă parolele într-un mediu securizat

Aici, părerile sunt împărţite între cei care spun că stocarea parolelor trebuie făcută exclusiv în memorie şi cei care recurg la soluţii precum KeePass, sau chiar la tipărirea acestor parole. E aproape imposibil însă, dacă respectaţi cele două condiţii anterioare, să vă bazaţi doar pe memorie. KeePass Password Safe sau alternativa sa pentru Linux: KeePassX, reprezintă mijloace eficiente de păstrare în siguranţă a parolelor.

Câteva gânduri la final…

Sunt conştient că cei mai mulţi dintre cititorii blogului Stefa Media ŞTIU deja să se protejeze (dovadă sunt comentariile trecute), iar acest articol nu are un grad de noutate crescut. Îmi asum riscul. Dacă măcar unul sau doi dintre vizitatori, vor conştientiza (urmare a materialului de faţă), importanţa protejării parolelor, mă declar mulţumit.

Nu ştiu dacă situaţia din România este mai îmbucurătoare decât cea din Marea Britanie şi care-a făcut obiectul studiului CPP, însă îmi vine greu să cred în transformări miraculoase. Voi sunteţi mai optimişti ?

Materiale bibliografice:

• http://www.eset.com/threat-center/blog/2009/06/25/password-mythology
• http://www.cpp.co.uk/
• http://blog.wundercounter.com/2009/12/twitter-and-avoiding-weak-passwords.html
• http://www.telegraph.co.uk/technology/news/6922207/Almost-16-million-use-same-password-for-every-website-study-finds.html
• http://www.google.com/support/accounts/bin/answer.py?hl=ro&answer=114129

Despre autor şi articol

Bogdan-Andrei a scris 281 articole pe blogul Stefa Media.

Student la Comunicare şi Relaţii Publice, cunoscător al jocurilor din perioada anilor '80 sau '90, interesat de IT şi WordPress, scriu despre ce-mi place şi, de cele mai multe ori, îmi place ceea ce scriu. Şi nu doar mie. De aceea continui.

• Site web
• Twitter
• Facebook

Categorii: Parolare şi criptare, Trucuri şi sfaturi Etichete: KeePass Password Safe, Marea Britanie, parolă, protejarea parolelor, studiul CPP