Nädal14: Paroolid, Paroolid ja veelkord paroolid

Parool "123456" on endiselt maailma levinum parool. Miks me ei õpi?

Iga aasta avaldatakse nimekiri maailma lekkinud paroolidest. Ja iga aasta on esinumber enam-vähem sama. 123456. Password. Qwerty. Vahel on järjekord natuke erinev, aga sisuliselt on pilt muutumatu juba aastakümneid.

See ei ole tehnoloogia probleem. Tehnoloogia oskaks paroole kaitsta üsna hästi. See on inimese probleem, ja just sellepärast on see nii raske lahendada.

Miks paroolid üldse ebaõnnestuvad

Parool on idee poolest lihtne: sa tead midagi, mida keegi teine ei tea, ja see tõestab, et sa oled sina. Probleem on selles, et inimese mälu ei ole selleks loodud.

Tänapäeval on keskmisel inimesel kümneid, mõnel isegi sadu kontosid. Iga teenus tahab parooli. Paljud nõuavad suurt tähte, numbrit, erimärki. Tulemus on ennustatav: inimesed valivad paroolid, mida on lihtne meelde jätta, kasutavad sama parooli mitmel lehel ja kirjutavad need üles sedelile, mis kleebitud kuvarite servale.

Ründaja jaoks on see ideaalne olukord. Kui üks leht lekib ja parool saab teatavaks, proovitakse sama parooli automaatselt kõigil teistel lehtedel. Seda nimetatakse credential stuffingiks ja see toimib üllatavalt hästi, sest inimesed kordavad ennast.

Mis tegelikult toimib

Pikk parool on tugevam kui keeruline parool. "KoerEiViiuldaEkraani" on palju raskem murda kui "K0er!", isegi kui viimane tundub keerulisem. Pikkus kaitseb jõuga ründamise eest paremini kui erimärkide hulk.

Paroolihaldurid on sellele probleemile tegelikult üsna hea vastus. Rakendus genereerib iga lehe jaoks unikaalse, pika ja juhusliku parooli ning sa pead meeles pidama vaid ühte peaparooli. See tundub alguses ebamugav, aga harjumiseks kulub tavaliselt paar päeva.

Kaheastmeline autentimine on aga see koht, kus asjad päriselt muutuvad. Isegi kui ründajal on su parool, vajab ta lisaks telefoni, mille sõnum saadetakse, või rakenduse koodi, mis vahetub iga poole minuti tagant. See ei tee sissemurdmist võimatuks, aga muudab selle märksa keerulisemaks ja enamiku ründajate jaoks lihtsalt liiga palju vaeva nõudvaks.

Miks koolitus üksi ei piisa

Infoturbespetsialistid on aastakümneid rääkinud headest parooliharjumustest. Tulemus on see nimekiri, millest alustasime.

Probleem on selles, et teadmine ei muuda käitumist, kui käitumine on ebamugav. Inimene teab, et peaks sööma vähem suhkrut. Ta sööb ikkagi. Sama loogika kehtib paroolide kohta.

Lahendus ei ole rohkem koolitust, vaid süsteemide muutmist nii, et turvaline käitumine oleks ka mugav käitumine. Paroolihaldur peaks olema vaikimisi paigaldatud. Kaheastmeline autentimine peaks olema vaikimisi sisse lülitatud. Nõrgad paroolid peaksid olema vaikimisi blokeeritud, mitte lihtsalt hoiatusega kaasas.

Reeglid, mis päriselt aitavad

Organisatsioonides on paroolid sageli reguleeritud, aga reeglid on tihti kirjutatud nii, et need tekitavad rohkem probleeme kui lahendavad. Nõue vahetada parooli iga kuu tagab, et inimesed lisavad numbri lõppu: Parool1, Parool2, Parool3. See ei ole turvalisem, see on lihtsalt tüütum.

Mõistlikumad reeglid näeksid välja teisiti. Parool vahetatakse siis, kui on põhjust arvata, et see on lekkinud, mitte kalenderist lähtudes. Paroolihaldurite kasutamine on lubatud ja soositud, mitte keelatud. Kaheastmeline autentimine on kohustuslik kõigil kontodel, millel on ligipääs tundlikele andmetele.

Mis siis, kui parool lekib ikkagi?

Siin jõuame ühe olulise mõtteni, mida turvaspetsialistid üha rohkem rõhutavad. Traditsiooniline turvamudel lähtub loogikast: kui sa oled juba sisse loginud, siis oled sa usaldusväärne. Parool on nagu ukselukk. Kui lähed ukse seest sisse, eeldatakse, et oled majaomanik.

Zerotrust ehk nullusalduse lähenemine ütleb, et see eeldus on vale ja ohtlik. Selle asemel lähtutakse põhimõttest: ära usalda kedagi automaatselt, kontrolli alati. See tähendab, et ka pärast sisselogimist vaadatakse pidevalt, kas kasutaja käitumine tundub normaalne. Kas ta logib sisse tavapärasest kohast? Kas ta avab faile, mida ta tavaliselt ei ava? Kas ta teeb päringuid süsteemidesse, kuhu tal pole tavapäraselt asja?

Paroolide kontekstis tähendab zerotrust seda, et ainult õige parooliga sisselogimine ei anna automaatselt ligipääsu kõigele. Igale toimingule, igale süsteemile ja igale andmekogumile hinnatakse ligipääsu eraldi. Kui midagi tundub kahtlane, küsitakse lisatõendust või blokeeritakse ligipääs üldse.

See on oluline muutus mõtteviisis. Vana küsimus oli: kas see inimene sai sisse? Uus küsimus on: kas see inimene peaks praegu seda tegema? Esimene küsimus vastab parool. Teisele küsimusele vastab süsteem ise, pidevalt ja automaatselt.

Praktiliselt tähendab see näiteks seda, et töötaja, kelle parool on varastatud, ei saa ründajale automaatselt avada kogu ettevõtte andmebaasi. Ründaja pääseb küll sisse, aga tema tegevus tõstab kiiresti punase lipu, sest ta käitub teisiti kui see töötaja tavaliselt käitub.

Lõpuks

Paroolide probleem ei lahene sellega, et inimesed muutuvad targemaks. See laheneb siis, kui süsteemid muutuvad selliseks, et rumal käitumine on lihtsalt raskem kui tark käitumine. Zerotrust on üks osa sellest pildist, paroolihaldurid ja kaheastmeline autentimine teine.

Seni aga, kuni suured süsteemid ümber ehitatakse: võta kasutusele paroolihaldur, lülita sisse kaheastmeline autentimine ja ära kasuta sama parooli kahel lehel. Need kolm asja ei nõua IT-haridust ega erilisi teadmisi. Nad nõuavad pool tundi aega.