Slaptažodis: apibrėžimas, tipai, saugumas ir geros praktikos

Slaptažodis yra autentiškumo patvirtinimo būdas, naudojamas asmens tapatybei nustatyti ir prieigai prie paskyrų ar duomenų apsaugoti. Kadangi slaptažodis atskleidžia prieigos kontrolės raktą, jis turi būti laikomas paslaptyje ir saugomas taip, kad jo neįgytų pašaliniai asmenys. Slaptažodžiai gali būti statiniai (išlieka tie patys tol, kol naudotojas jų nepakeičia) arba dinamiški (reguliariai keičiasi). Vienas iš dinaminio slaptažodžio tipų yra vienkartinis slaptažodis (OTP), kurį galima panaudoti tik vieną kartą.

Trumpa istorija

Slaptažodžių naudojimo pradžia siejama su kariniais signalais ir identifikavimo sistemomis: pirmieji jų panaudojimo pavyzdžiai kilo kariuomenėje, kur vakarėjant ar tamsoje reikėjo atpažinti draugus nuo priešo. Technologijų plėtra perkėlė slaptažodžius į kompiuterių ir interneto sritis.

Tipai ir formos

Šiuolaikiniai slaptažodžiai dažniausiai sudaryti iš simbolių, raidžių ir skaičių. Daugelyje paslaugų taikomos minimalios taisyklės: slaptažodis turi turėti tam tikrą simbolių skaičių (dažniausiai 6–8 arba daugiau). Kai kurios interneto svetainės riboja leidžiamus simbolius (pvz., tik raides ir skaičius), kitos skatina naudoti specialiuosius klaviatūros simbolius ir įvairius simbolių tipus, kad padidintų slaptažodžio „stiprumą“.

• Statinis slaptažodis – tas pats kodas naudojamas ilgą laiką.
• Dinaminis / vienkartinis slaptažodis (OTP) – trumpalaikis kodas, pvz., TOTP (laikui priklausomas) arba HOTP (skaitliavimo pagrindu), dažnai generuojamas autentifikatoriaus programėlėje arba siunčiamas SMS.
• Passphrase – kelių žodžių ar ilgesnė frazė, kurią lengviau įsiminti ir kuri dažnai būna saugesnė už trumpą sudėtingą slaptažodį.

Slaptažodžio stiprumas

Stiprumas priklauso nuo ilgumo, simbolių įvairovės ir nenuspėjamumo. Ilgesnis slaptažodis su atsitiktinėmis raidėmis, skaičiais ir simboliais apsunkina spėjimą (brute-force) ar žodynų atakas. Taip pat svarbu vengti asmeninės informacijos (vardai, gimimo datos), dažnai naudojamų frazių ir pasikartojančių šablonų.

Dažniausios grėsmės

• Brute-force – išbandomi visi galimi kombinacijos variantai; apsaugai taikomas ilgesnis slaptažodis ir užrakinimas po kelis kartus nepavykus.
• Dictionary attack – bandomi dažniausiai naudojami žodžiai ar frazės.
• Phishing – netikri el. laiškai ar svetainės, siekiančios išgauti slaptažodį.
• Keyloggers ir kenkėjiškos programos – registruoja klavišų paspaudimus arba vagia duomenis.
• Socialinė inžinerija – manipuliacija žmogumi, kad šis atskleistų slaptažodį.
• Duomenų nutekėjimai – jei slaptažodžiai saugomi nesaugiai, jie gali nutekėti iš serverių.

Saugus slaptažodžių saugojimas (serverio pusė)

Vartotojo paskyros slaptažodžių saugojimas yra atsakingas proceso dalis. Vietoj slaptažodžių saugojimo atviru tekstu, modernios sistemos naudoja maišos (hash) funkcijas (pvz., bcrypt, scrypt, Argon2) kartu su salt (atsitiktine pridėtine reikšme), kad užkirstų kelią atskleidimui, jei duomenų bazė nutekėtų. Maišos funkcija yra vienpusė ir negrįžtama — iš maišos reikšmės grąžinti pirminio slaptažodžio praktiškai neįmanoma.

Priešingai, šifravimas yra duomenų transformavimas, kurio atgalinį atstatymą užtikrina raktas; šifruotą eilutę galima iššifruoti, jei turimas teisingas raktas. Todėl slaptažodžiai dažniausiai ne šifruojami, o maišomi ir saugomi saugiai.

Serverio pusėje taip pat svarbu: transporto sluoksnio apsauga (TLS), prisijungimų dažnio ribojimas, saugi slaptažodžio atstatymo procedūra (laikini tokenai su galiojimo laiku), ir stebėjimas dėl įtartinų prisijungimų.

Geros praktikos rekomendacijos

• Naudokite ilgas slaptažodžių frazes (pvz., 12–16 ir daugiau simbolių) arba atsitiktinius slaptažodžius, sugeneruotus password manager programėle.
• Visur naudokite unikalų slaptažodį — kad vienos paskyros nutekėjimas nesuteiktų prieigos prie kitų.
• Įjunkite daugialypę autentifikaciją (2FA/MFA): TOTP programėlės (Authenticator), aparatiniai raktai (FIDO2), arba SMS kaip papildomas, bet mažiau saugus, sluoksnis.
• Venkite slaptažodžių išsiuntimo el. paštu ar saugojimo atvirame faile. Naudokite patikimus password manager, kurie saugo ir pildo prisijungimus už jus.
• Keiskite slaptažodį tik tada, kai yra įtarimas dėl kompromitacijos; prievartinis periodinis keitimas be priežasties gali skatinti silpnesnius pasirinkimus.
• Naudokite dviejų veiksnių autentifikaciją ir saugias atkūrimo procedūras (ne vien tik saugos klausimus su lengvai atspėjamais atsakymais).

Biometrija ir alternatyvos

Kiti asmens tapatybės tikrinimo būdai — pirštų atspaudų skaitytuvai, veido atpažinimas ir kitos biometrinės priemonės. Jos patogios, tačiau turi savo trūkumų: biometrikos negalima „pakeisti“ kaip slaptažodžio, o jos saugojimas ir apsauga reikalauja ypatingo dėmesio. Geriausia naudoti biometriką kartu su papildomu saugumo sluoksniu (MFA).

Praktiniai patarimai vartotojams

• Pasitelkite slaptažodžių tvarkyklę, kad turėtumėte unikalius ir stiprius slaptažodžius visoms paskyroms.
• Pasirinkite frazes arba ilgas atsitiktines eilutes vietoje paprastų žodžių.
• Patikrinkite, ar jūsų el. pašto adresas nebuvo įtrauktas į viešus duomenų nutekėjimus (naudokite patikimas paslaugas, bet būkite atsargūs su trečiųjų šalių portalu nuorodomis).
• Nenaudokite to paties slaptažodžio kelioms svarbioms paskyroms (el. paštas, bankas, darbo paskyra).
• Saugokite prisijungimus ir nepateikite jų nepatikimose svetainėse ar telefonu neinicijuotoms užklausoms.

Atkūrimas ir administravimas

Slaptažodžio atstatymas turi būti saugus: naudoti laikinus vienkartinius tokenus su trumpu galiojimo laiku, patvirtinti per registruotą el. paštą arba telefono numerį ir reikalauti papildomos autentifikacijos, jei atstatymas kelia įtarimų. Administratoriai turėtų įdiegti politiką, kuri riboja prieigos bandymų skaičių, taiko prisijungimų stebėjimą ir blokavimą įtartinais atvejais bei naudoja stiprias maišos funkcijas slaptažodžių duomenų bazėje.

Apibendrinant: slaptažodžiai vis dar yra pagrindinė autentifikacijos priemonė daugelyje sistemų, bet jų saugumas priklauso nuo teisingo kūrimo, saugojimo ir papildomų apsaugos sluoksnių (pvz., MFA, saugi infrastruktūra). Tinkamai taikomos geros praktikos ženkliai sumažina riziką būti atakintam ar prarasti prieigą prie savo paskyrų.

Klausimai ir atsakymai

K: Kas yra slaptažodis?

K: Kodėl svarbu slaptažodžius laikyti paslaptyje?

K: Ką reiškia, kad slaptažodis yra statiškas?

K: Ką reiškia, kai slaptažodis yra dinamiškas?

K: Kokio tipo dinaminis slaptažodis gali būti naudojamas tik vieną kartą?

Paieška pagal raidę