Tehdit aktörü yöntemleri gibi parola güvenliği de gelişmeye devam ediyor. Bilgi işlem gücü arttıkça, daha önce en iyi uygulama olan parolalar giderek daha savunmasız hale gelir. Parola yöneticileri, daha fazla şifreleme güvenliği ve daha iyi parola önerileri sunarak güncel kalmak için ellerinden geleni yaptı.
Ancak saldırılar tahmin edilemez ve hatta 2022’deki LastPass gibi parola yöneticilerinin kendilerinin de ele geçirilmesine yol açabilir. Güçlü bir parola ve gizli anahtarla bile, bir kimlik avı veya fidye yazılımı saldırısı, siz farkına bile varmadan sisteminize erişimi çalabilir. Bu, şu soruyu akla getiriyor: Buna karşı korunmaya yardımcı olmak için ne yapabilirsiniz?
Double-Blind Şifre Stratejisine Girin
Giderek daha fazla insan, daha iyi parola güvenliği için yalnızca teknolojiye güveniyor. Peki ya daha güvenli bir çözüm varsa? Çoğu kişi kısa bir PIN kodunu veya kelimeyi kolayca hatırlayabilir, ancak daha uzun parolalarla uğraşır. Genellikle bir parola yöneticisi gerektiren her site için farklı bir parola kullanılması yaygın bir öneridir.
“Korkma”, “şifre bölme” veya “kısmi şifreler” olarak da bilinen çift kör şifre stratejisi, bir şifrenin uzun ve karmaşık kısmının bir şifre yöneticisinde saklanmasını ve PIN gibi kısa benzersiz tanımlayıcının saklanmasını içerir. kod veya kelime, kendinize.
Bir hizmete veya web sitesine giriş yapmak için, şifre yöneticisini kullanarak karmaşık kısmı doldurun ve hatırlaması kolay benzersiz tanımlayıcıyı ekleyin.
Örneğin, kısa ifadenizin şöyle olduğunu söyleyin: abc5. Karmaşık, rastgele oluşturulmuş şifrelerinizi şifre yöneticinizde saklar ve aşağıdaki gibi kullanırsınız.
- 2k2kasdf9! olur 2k2kasdf9!abc5
- #a23k3k234 olur a23k3k234#abc5
- !213kk1vk1v2k!@3 olur !213kk1vk1v2k!@3abc5
Parolayı ikiye bölmek, bir saldırganın parola yöneticinizin parolasını ve sırrını çalmış olsa bile tam erişim elde etmesini çok daha zorlaştırır.
Parola yöneticisi hiçbir zaman bilmediği için abc5 Parola yöneticinizi ele geçirseler bile, saldırganlar hiçbir zaman tam resme ve erişime sahip olamazlar.
Bu, herkesin bu stratejiyi benimsemesi gerektiği anlamına mı geliyor?
Her güvenlik yönteminin artıları ve eksileri vardır. Örneğin, bazı web siteleri yalnızca kısa parolalara izin verebilir.
NIST 800-63B yönergeleri tarafından önerilen minimum 12 karakterlik parola uzunluğunu hedeflerseniz ve parolanın sonuna “koruyucu” gibi 5 karakterlik bir sözcük eklerseniz, 16 karakterlik parola sınırı olan bir hizmet geçerli olmayabilir. uyumlu olmak
Ek olarak, parola yöneticilerinin en iyi kullanılabilirlik özelliklerinden biri, kimlik doğrulama formlarını otomatik olarak doldurma ve gönderme yeteneğidir.
Ancak, çift-kör parola stratejisiyle, formu benzersiz tanımlayıcı olmadan göndermek başarısız olacağından, parola yöneticinizin yalnızca otomatik doldurmasını sağlamak önemlidir. Bu, güvenlik için kullanılabilirliğin bir kısmını feda edebilir.
Bu yöntem yalnızca bazı ortamlarda çalışabilir ve kullanıcılar tarafından benimsenmesi gerekir. Bir kuruluş bir parola yöneticisi kullanıyorsa, paylaşılan bir kasa kullanılıyorsa parolayı bölmek etkili olmayabilir çünkü tanımlayıcının da geniş çapta manuel olarak paylaşılması gerekecektir.
Ek olarak, işe giriş ve çıkış yapan kişiler, yalnızca depolananlar için değil, aynı zamanda yeni tanımlayıcıyı öğrenmek için erişimi olan herkes için parola değişikliği gerektirir – oldukça baş ağrısı.
Yaygın Şifre Hatalarından Kaçınma
Zaman içinde pek çok farklı strateji ve öneriyle, çift kör parola stratejisi bile her zaman beklendiği gibi çalışmayabilir.
Bu yönteme rağmen, kullanıcı yine de güvenli olmayan bir parola oluşturabilir veya güvenliği ihlal edilmiş bir parolayı kullanabilir. Artan bilgi işlem gücü, çeşitli karakterlere sahip rastgele parolaların bile kırılmaya karşı daha duyarlı olduğu anlamına gelir.
Aşağıdaki tabloda, makul miktarda donanıma ve modern yazılıma sahip bir saldırganın çeşitli uzunluk ve karmaşıklıktaki MD5 parolalarını kırması için gereken yaklaşık süreler gösterilmektedir.
Daha fazla kaynağa sahip herhangi bir saldırgan veya saldırgan grubu, ek donanım kapasitesine yapılan yatırımlarla bu süreleri hızlandırabilir.
Fidye yazılımı ödemesinin milyon dolar seviyelerine ulaşmasıyla, ek kurulum masrafı kolayca buna değer olarak görülebilir.
Kaynak: Specops
Aşağıdaki yaygın hatalardan herhangi biri, kuruluşunuzu parola güvenlik açıklarına açık bırakan bir parolayla sonuçlanabilir:
- Kolayca kırılabilen tekrarlanan diziler, yaygın sözcükler veya deyimler gibi kısa ve basit parolalar kullanma.
- Bir ihlalden sonra parolayı değiştirememek büyük bir sorun olabilir. Bu, özellikle yalnızca kullanıcı tarafından bilinen benzersiz tanımlayıcının potansiyel tehdit aktörleri tarafından ele geçirilebileceği senaryolarda geçerlidir.
- Çok faktörlü kimlik doğrulamanın (MFA) kullanılmaması, sizi belirteç çalma veya kimlik avı girişimlerine karşı savunmasız bırakabilir.
MFA, İhlal Edilmiş Parola Koruması ve Specops Parola Politikası
Güçlü bir Active Directory parola politikasına sahip olmak, güvenli bir parola stratejisinin temelidir. Çift kör parola stratejisi, parola yöneticisi ve daha fazlası gibi diğer teknikler ve araçlar kullanılabilir, ancak kuruluşların ön saflarını güvence altına alarak başlaması gerekir.
Specops Şifre Politikası, kuruluşunuzun güçlü bir şifre politikası oluşturmasına ve güvenlik uyumluluğu gereksinimlerini karşılamasına yardımcı olabilir
. NIST 800-63B yönergelerinin önerdiği gibi, İhlal Edilmiş Parola Korumalı Specops Parola İlkesi gibi hizmetler, kullanıcılarınızı ve kuruluşunuzu güvenliği ihlal edilmiş parolalar kullanmaktan korumaya yardımcı olur.
MFA ile birleştirildiğinde, çift kör parola stratejisi gibi stratejiler etkili olabilir, ancak yalnızca son kullanıcılar uygulamayı tam olarak benimsiyorsa.
Çoğu kuruluş için daha temiz ve dolayısıyla daha güvenli bir yaklaşım, MFA’nın, İhlal Edilmiş Parola Korumalı Specops Parola Politikası gibi bir araçla birleştirilmesiyle kuruluşunuzu olası ihlallere karşı korur ve süreci aşırı karmaşık hale getirmeden kurban olmamanızı sağlar.
Specops Parola İlkesi, kullanıcıların dinamik, bilgilendirici müşteri geri bildirimi ile Active Directory’de daha güçlü parolalar oluşturmasına yardımcı olur, böylece çift-kör bir yaklaşıma ihtiyaç duymadan parola güvenliğini nasıl geliştireceklerini ilk elden görebilirler.
Siber Güvenlik Zorluklarıyla Gelişen Parola Stratejileri
Yıllar boyunca, önerilen birçok şifre stratejisi olmuştur. Çift kör parola stratejisi güvenli olsa da, yalnızca kullanıcılar stratejiyi tam olarak benimsediğinde etkilidir, bu nedenle kişisel olarak kullanılması muhtemelen daha iyidir.
Kuruluşunuzdaki son kullanıcıları güvende tutmak ve parola tabanlı güvenlik açıklarını önlemek için güçlü bir parola politikasıyla başlamak, daha önce güvenliği ihlal edilmiş parolaları kullanmaktan kaçınmak ve mümkün olduğunda MFA’yı dahil etmek önemlidir.
Sponsorlu ve Specops Software tarafından yazılmıştır