Bydd yr erthygl hon yn trafod sut i greu cyfrinair diogel, pa egwyddorion y dylid eu dilyn wrth eu creu, sut i storio cyfrineiriau a lleihau'r tebygolrwydd y bydd defnyddwyr maleisus yn cael mynediad i'ch gwybodaeth a'ch cyfrifon.
Mae'r deunydd hwn yn barhad o'r erthygl “Sut y gellir cracio'ch cyfrinair” ac mae'n awgrymu eich bod chi'n gyfarwydd â'r deunydd a gyflwynir yno neu eisoes yn gwybod yr holl brif ffyrdd y gellir peryglu cyfrineiriau.
Creu cyfrineiriau
Heddiw, wrth gofrestru cyfrif Rhyngrwyd, creu cyfrinair, byddwch fel arfer yn gweld dangosydd o gryfder cyfrinair. Bron ym mhobman mae'n gweithio ar sail asesiad o'r ddau ffactor canlynol: hyd cyfrinair; presenoldeb cymeriadau arbennig, priflythrennau a rhifau yn y cyfrinair.
Er gwaethaf y ffaith bod y rhain yn baramedrau pwysig iawn o ran gwrthsefyll cyfrinair i hacio gan rym 'n Ysgrublaidd, nid yw cyfrinair sy'n ymddangos yn ddibynadwy i'r system bob amser yn gymaint. Er enghraifft, mae'n debyg y bydd cyfrinair fel "Pa $ $ w0rd" (ac mae cymeriadau a rhifau arbennig yma) yn cael ei gracio'n gyflym iawn - oherwydd y ffaith mai anaml y mae pobl (fel y disgrifiwyd yn yr erthygl flaenorol) yn creu cyfrineiriau unigryw (mae llai na 50% o'r cyfrineiriau yn unigryw) ac mae'r opsiwn a nodwyd yn fwyaf tebygol eisoes yn y cronfeydd data a ddatgelwyd sydd ar gael i'r ymosodwyr.
Sut i fod Y dewis gorau yw defnyddio generaduron cyfrinair (ar gael ar y Rhyngrwyd ar ffurf cyfleustodau ar-lein, yn ogystal ag yn y mwyafrif o reolwyr cyfrinair ar gyfer cyfrifiaduron), gan greu cyfrineiriau hir ar hap gan ddefnyddio nodau arbennig. Yn y rhan fwyaf o achosion, yn syml, ni fydd cyfrinair o 10 neu fwy o'r cymeriadau hyn o ddiddordeb i'r cracer (h.y., ni fydd ei feddalwedd wedi'i ffurfweddu i ddewis opsiynau o'r fath) oherwydd y ffaith na fydd yr amser a dreulir yn talu ar ei ganfed. Yn ddiweddar, ymddangosodd generadur cyfrinair adeiledig ym mhorwr Google Chrome.
Yn y dull hwn, y brif anfantais yw ei bod hi'n anodd cofio cyfrineiriau o'r fath. Os oes angen cadw'r cyfrinair mewn cof, mae yna opsiwn arall yn seiliedig ar y ffaith bod cyfrinair 10-cymeriad sy'n cynnwys llythrennau uchaf a chymeriadau arbennig yn cael ei gracio trwy chwilio trwy filoedd neu fwy (mae rhifau penodol yn dibynnu ar y set nodau ddilys), mae'r amseroedd yn haws, na chyfrinair 20-cymeriad sy'n cynnwys nodau Lladin llythrennau bach yn unig (hyd yn oed os yw'r craciwr yn gwybod amdano).
Felly, bydd cyfrinair sy'n cynnwys 3-5 gair Saesneg ar hap syml yn hawdd i'w gofio a bron yn amhosibl ei gracio. Ac ar ôl ysgrifennu pob gair gyda phriflythyren, rydyn ni'n codi nifer yr opsiynau i'r ail radd. Os bydd yn 3-5 gair Rwsiaidd (eto ar hap, yn hytrach nag enwau a dyddiadau) wedi'u hysgrifennu yn y cynllun Saesneg, bydd y posibilrwydd damcaniaethol o ddulliau soffistigedig o ddefnyddio geiriaduron ar gyfer dewis cyfrinair hefyd yn cael ei ddileu.
Efallai nad oes dull cwbl gywir o greu cyfrineiriau: mae manteision ac anfanteision mewn amrywiol ddulliau (sy'n gysylltiedig â'r gallu i'w gofio, dibynadwyedd a pharamedrau eraill), ond mae'r egwyddorion sylfaenol fel a ganlyn:
- Rhaid i'r cyfrinair gynnwys nifer sylweddol o nodau. Y cyfyngiad mwyaf cyffredin heddiw yw 8 nod. Ac nid yw hyn yn ddigon os oes angen cyfrinair diogel arnoch chi.
- Os yn bosibl, dylid cynnwys nodau arbennig, llythrennau bach a llythrennau bach, rhifau yn y cyfrinair.
- Peidiwch byth â chynnwys data personol yn y cyfrinair, hyd yn oed wedi'i gofnodi trwy ddulliau sy'n ymddangos yn “anodd”. Dim dyddiadau, enwau a chyfenwau. Er enghraifft, bydd torri cyfrinair sy'n cynrychioli unrhyw ddyddiad o galendr modern Julian o'r 0fed flwyddyn hyd heddiw (o'r math Gorffennaf 18, 2015 neu 18072015, ac ati) yn cymryd o eiliadau i oriau (a hyd yn oed wedyn, dim ond oherwydd oedi y bydd y cloc yn troi allan. rhwng ymdrechion ar gyfer rhai achosion).
Gallwch wirio pa mor gryf yw'ch cyfrinair ar y wefan (er nad nodi cyfrineiriau ar rai gwefannau, yn enwedig heb https yw'r arfer mwyaf diogel) //rumkin.com/tools/password/passchk.php. Os nad ydych am wirio'ch cyfrinair go iawn, nodwch un tebyg (o'r un nifer o nodau a chyda'r un set o nodau) i gael syniad o'i gryfder.
Yn y broses o nodi nodau, mae'r gwasanaeth yn cyfrifo'r entropi (yn amodol, nifer yr opsiynau ar gyfer entropi yw 10 darn, nifer yr opsiynau yw 2 i'r degfed pŵer) ar gyfer cyfrinair penodol ac mae'n darparu gwybodaeth am ddibynadwyedd gwahanol werthoedd. Mae cyfrineiriau ag entropi o fwy na 60 bron yn amhosibl eu cracio hyd yn oed yn ystod y dewis wedi'i dargedu.
Peidiwch â defnyddio'r un cyfrineiriau ar gyfer gwahanol gyfrifon
Os oes gennych gyfrinair cymhleth, gwych, ond rydych chi'n ei ddefnyddio lle bynnag y gallwch, mae'n dod yn gwbl annibynadwy yn awtomatig. Cyn gynted ag y bydd hacwyr yn torri i mewn i unrhyw un o'r gwefannau lle rydych chi'n defnyddio cyfrinair o'r fath ac yn cael mynediad iddo, gwnewch yn siŵr y bydd yn cael ei brofi ar unwaith (yn awtomatig, gan ddefnyddio meddalwedd arbennig) ar bob e-bost poblogaidd arall, hapchwarae, gwasanaethau cymdeithasol, ac efallai hyd yn oed banciau ar-lein (Rhoddir ffyrdd i weld a yw'ch cyfrinair eisoes wedi gollwng ar ddiwedd yr erthygl flaenorol).
Mae'r cyfrinair unigryw ar gyfer pob cyfrif yn anodd, mae'n anghyfleus, ond mae'n angenrheidiol os yw'r cyfrifon hyn o leiaf o rywfaint o bwysigrwydd i chi. Er, ar gyfer rhai cofrestriadau nad oes ganddynt unrhyw werth i chi (hynny yw, rydych chi'n barod i'w colli ac ni fyddwch yn poeni) ac nid ydych yn cynnwys gwybodaeth bersonol, ni allwch straenio â chyfrineiriau unigryw.
Dilysu dau ffactor
Nid yw hyd yn oed cyfrineiriau cryf yn gwarantu na all unrhyw un fewngofnodi i'ch cyfrif. Gellir dwyn y cyfrinair mewn un ffordd neu'r llall (gwe-rwydo, er enghraifft, fel yr opsiwn mwyaf cyffredin) neu ei gael gennych chi.
Mae bron pob cwmni ar-lein mawr gan gynnwys Google, Yandex, Mail.ru, Facebook, VKontakte, Microsoft, Dropbox, LastPass, Steam ac eraill wedi ychwanegu'r gallu i alluogi dilysu dau ffactor (neu ddau gam) mewn cyfrifon ers yn gymharol ddiweddar. Ac, os yw diogelwch yn bwysig i chi, rwy'n argymell yn fawr ei droi ymlaen.
Mae gweithredu dilysu dau ffactor yn gweithio ychydig yn wahanol ar gyfer gwahanol wasanaethau, ond mae'r egwyddor sylfaenol fel a ganlyn:
- Pan fyddwch yn mewngofnodi i'ch cyfrif o ddyfais anhysbys, ar ôl nodi'r cyfrinair cywir, gofynnir ichi fynd trwy wiriad ychwanegol.
- Mae'r gwiriad yn digwydd gan ddefnyddio'r cod SMS, cymhwysiad arbennig ar y ffôn clyfar, gan ddefnyddio codau printiedig wedi'u paratoi ymlaen llaw, neges E-bost, allwedd caledwedd (daeth yr opsiwn olaf gan Google, mae'r cwmni hwn yn arweinydd yn gyffredinol o ran dilysu dau ffactor).
Felly, hyd yn oed pe bai ymosodwr yn darganfod eich cyfrinair, ni fyddai'n gallu mewngofnodi i'ch cyfrif heb fynediad i'ch dyfeisiau, ffôn, e-bost.
Os nad ydych yn deall yn iawn sut mae dilysu dau ffactor yn gweithio, rwy'n argymell darllen erthyglau ar y Rhyngrwyd ar y pwnc hwn neu ddisgrifiadau a chanllawiau ar gyfer gweithredu ar y gwefannau eu hunain, lle mae'n cael ei weithredu (ni fyddaf yn gallu cynnwys cyfarwyddiadau manwl yn yr erthygl hon).
Storio cyfrinair
Mae cyfrineiriau unigryw soffistigedig ar gyfer pob safle yn wych, ond sut mae eu storio? Mae'n annhebygol y gellir cadw'r holl gyfrineiriau hyn mewn cof. Mae storio cyfrineiriau wedi'u cadw mewn porwr yn ymgymeriad peryglus: maent nid yn unig yn dod yn fwy agored i fynediad heb awdurdod, ond yn syml gellir eu colli os bydd damweiniau system a phan fydd cydamseru yn anabl.
Ystyrir mai'r ateb gorau yw rheolwyr cyfrinair, sydd yn gyffredinol yn rhaglenni sy'n storio'ch holl ddata cyfrinachol mewn storfa ddiogel wedi'i hamgryptio (all-lein ac ar-lein), y gellir ei chyrchu gan ddefnyddio un prif gyfrinair (gallwch hefyd alluogi dilysu dau ffactor). Mae gan y mwyafrif o'r rhaglenni hyn hefyd offer ar gyfer cynhyrchu a gwerthuso cryfder cyfrinair.
Ychydig flynyddoedd yn ôl ysgrifennais erthygl ar wahân am y Rheolwyr Cyfrinair Gorau (mae'n werth ei hailysgrifennu, ond gallwch gael syniad o beth ydyw a pha raglenni sy'n boblogaidd o'r erthygl). Mae'n well gan rai atebion all-lein syml, fel KeePass neu 1Password, sy'n storio'r holl gyfrineiriau ar eich dyfais, mae'n well gan eraill gyfleustodau mwy swyddogaethol sydd hefyd yn darparu galluoedd cydamseru (LastPass, Dashlane).
Yn gyffredinol, mae rheolwyr cyfrinair adnabyddus yn cael eu hystyried yn ffordd ddiogel a dibynadwy iawn i'w storio. Fodd bynnag, mae'n werth ystyried rhai manylion:
- I gael mynediad i'ch holl gyfrineiriau mae angen i chi wybod dim ond un prif gyfrinair.
- Yn achos hacio storio ar-lein (yn llythrennol fis yn ôl, cafodd y gwasanaeth rheoli cyfrinair LastPass mwyaf poblogaidd yn y byd ei hacio), bydd yn rhaid i chi newid eich holl gyfrineiriau.
Sut arall y gallaf arbed fy nghyfrineiriau pwysig? Dyma un neu ddau o opsiynau:
- Ar bapur mewn sêff y bydd gennych chi ac aelodau'ch teulu fynediad iddo (ddim yn addas ar gyfer cyfrineiriau y mae angen eu defnyddio'n aml).
- Cronfa ddata cyfrinair all-lein (er enghraifft, KeePass) wedi'i storio ar ddyfais storio tymor hir a'i dyblygu yn rhywle rhag ofn y bydd colled.
Yn fy marn i, y cyfuniad gorau posibl o'r uchod i gyd yw'r dull canlynol: mae'r cyfrineiriau pwysicaf (y prif E-bost, y gallwch chi adfer cyfrifon eraill, banc, ac ati) yn cael eu storio yn y pen a (neu) ar bapur mewn man diogel. Dylid rhoi rhai llai pwysig ac, ar yr un pryd, rhai a ddefnyddir yn aml i raglenni rheolwr cyfrinair.
Gwybodaeth Ychwanegol
Gobeithio bod cyfuniad o ddwy erthygl ar bwnc cyfrineiriau wedi helpu rhai ohonoch i roi sylw i rai agweddau ar ddiogelwch na wnaethoch chi feddwl amdanynt. Wrth gwrs, ni wnes i ystyried yr holl opsiynau posib, ond bydd rhesymeg syml a rhywfaint o ddealltwriaeth o'r egwyddorion yn fy helpu i benderfynu pa mor ddiogel yw'r hyn rydych chi'n ei wneud ar foment benodol. Unwaith eto, soniodd rhai ac ychydig o bwyntiau ychwanegol:
- Defnyddiwch gyfrineiriau gwahanol ar gyfer gwahanol wefannau.
- Dylai cyfrineiriau fod yn gymhleth, a gallwch gynyddu cymhlethdod fwyaf trwy gynyddu hyd y cyfrinair.
- Peidiwch â defnyddio data personol (y gellir ei ddarganfod) wrth greu'r cyfrinair ei hun, awgrymiadau ar ei gyfer, cwestiynau diogelwch ar gyfer adferiad.
- Defnyddiwch ddilysu 2 gam lle bo hynny'n bosibl.
- Dewch o hyd i'r ffordd orau o gadw'ch cyfrineiriau'n ddiogel.
- Byddwch yn wyliadwrus o we-rwydo (gwiriwch gyfeiriadau gwefan, amgryptio) ac ysbïwedd. Lle bynnag y gofynnir ichi nodi cyfrinair, gwiriwch a ydych yn ei nodi ar y safle cywir ai peidio. Cadwch eich cyfrifiadur yn rhydd o ddrwgwedd.
- Os yn bosibl, peidiwch â defnyddio'ch cyfrineiriau ar gyfrifiaduron pobl eraill (os oes angen, gwnewch hynny yn y modd “incognito” o'r porwr, a theipiwch hyd yn oed yn well o'r bysellfwrdd ar y sgrin), mewn rhwydweithiau Wi-Fi agored cyhoeddus, yn enwedig os nad oes amgryptio https wrth gysylltu â'r wefan. .
- Efallai na ddylech storio'r cyfrineiriau pwysicaf ar gyfrifiadur neu ar-lein sy'n wirioneddol werthfawr.
Rhywbeth felly. Rwy'n credu fy mod wedi llwyddo i godi gradd paranoia. Rwy'n deall bod llawer o'r hyn sy'n cael ei ddisgrifio yn ymddangos yn anghyfleus, gall meddyliau fel “wel, bydd yn fy osgoi”, ond yr unig esgus dros ddiogi wrth ddilyn rheolau diogelwch syml wrth storio gwybodaeth gyfrinachol yw'r diffyg pwysigrwydd a'ch parodrwydd i wneud hynny. y bydd yn dod yn eiddo i drydydd partïon.
