Klucze do królestwa — zabezpieczanie urządzeń i kont

W tym artykule zamieszczono informacje dotyczące lepszego zabezpieczania urządzeń i kont online.

Co to jest uwierzytelnianie i dlaczego warto postanowić?

Często, gdy chcesz uzyskać dostęp do czegoś — urządzenia, konta lub nawet miejsca — musisz mieć taki sposób, aby udowodnić, że jesteś osobą, lub co najmniej może mieć dostęp do tego przedmiotu. Jest to proces, do którego jest wywoływana funkcja uwierzytelniania.

Podstawowym przykładem jest Twój dom. Gdy zechcesz wprowadzić swój dom, prawdopodobnie musisz użyć dowolnego rodzaju klawisza, aby odblokować drzwi. Ten klucz fizyczny to token, który udowadnia, że można go wprowadzać. Jest to bardzo prosta metoda uwierzytelniania, ale poniesiona jest z jednego dużego problemu: Jeśli ktoś znajdzie lub ukraść klucz, może uzyskać do domu.

Innym typowym przykładem uwierzytelniania jest automat kasowy w banku. Jest to nieco bardziej zaawansowany przykład, ponieważ zamiast samego klucza fizycznego (zwykle plastikowej karty w portfelu) trzeba również mieć zapamiętany fakt — Twój kod PIN.

Jest to bezpieczniejszy system, ponieważ nawet jeśli ktoś ma Twój klucz fizyczny — to karta nie może odebrać pieniędzy z maszyny kasowej, ponieważ nadal musimy znać kod PIN. Jeśli wszyscy mają już swój kod PIN, nadal nie mogą uzyskać pieniędzy z tego komputera, ponieważ potrzebuje on także karty. Muszą mieć obie rzeczy.

Zdjęcie rodziny wchodzącej do domu.

Na komputerze jest to Twój rodzaj uwierzytelniania, z którym wszyscy są zaznajomieni, logując się przy użyciu nazwy użytkownika i hasła. Dni, w których nasze urządzenia zawierają bardzo ważne dane, które są krytyczne dla naszych ważnych danych. Jeśli Crooks może zalogowanie się do swoich urządzeń lub usług, może to robić wiele nieprawidłowych rzeczy.

Przyjrzyjmy się, jak łatwo je zabezpieczyć.

Pierwszy krok: włączenie uwierzytelniania na urządzeniach przenośnych.

Większość nowoczesnych urządzeń smartphone może odblokować się za pomocą odcisku palca lub urządzenia do rozpoznawania twarzy, jednak nawet te, które nie obsługują tych metod, mogą być skonfigurowane w taki sposób, aby można było odblokować kod PIN. Włącz tę funkcję. Tak, wymaga to dodatkowego kroku do odblokowania telefonu, gdy chcesz go używać, ale ten niewielki krok sprawia, że Twoje urządzenie jest znacznie bezpieczniejsze. Jeśli Twój telefon zostanie zgubiony lub skradziony, osoba, która ma Twój telefon, jest mniej prawdopodobne, aby móc uzyskać dostęp do poufnych danych. Jest to szczególnie ważne, jeśli korzystasz z urządzenia w pracy lub w bankowości.

Uwierzytelnianie wieloczynnikowe

Po wyświetleniu w domu i wstawieniu klawisza w celu odblokowania drzwi, jest to, że dzwonimy do "czynników". Podstawowe drzwi zablokowane to uwierzytelnianie jednoczynnikowe. Wystarczy, że jest to klucz fizyczny.

W uwierzytelnianiu są używane trzy podstawowe rodzaje czynników:

  • Coś, co znasz, na przykład hasła lub zapamiętania kodu PIN.

  • Coś, na przykład telefonu smartphone lub fizycznego, jakiegoś rodzaju.

  • Coś, na który lubisz się odszukać, i możesz je sprawdzić, aby umożliwić skanowanie.

Uwierzytelnianie wieloczynnikowe oznacza, że w celu uzyskania dostępu potrzebny jest więcej niż jeden rodzaj czynników. Rozmówca, z którą porozmawiamy, to dwuskładnikowa karta ATM, a Twoja plastikowa karta ATM jest jednym z czynników, a ten zapamiętany numer PIN jest drugim czynnikiem.

Niemal wszystkie usługi online umożliwiają zalogowanie się również za pomocą uwierzytelniania wieloskładnikowego. Pierwszym czynnikiem jest zazwyczaj Twoja nazwa użytkownika i hasło. Drugim czynnikiem jest zwykle specjalny kod wysyłany do telefonu smartphone za pomocą wiadomości SMS. Każdemu próbuje zalogować się do swojego konta, potrzebuje Twojej nazwy użytkownika i hasła, ale również muszą mieć możliwość uzyskania specjalnej wiadomości SMS. Sprawia to, że Crooks się to znacznie utrudnić.

Inną opcją dla tego drugiego czynnika może być aplikacja uwierzytelniania na telefonie Smartphone, na przykład bezpłatna wystawca Microsoft Authenticator. Aplikacja Wystawca ma kilka różnych sposobów działania, ale najpopularniejsza metoda jest podobna do metody wiadomości SMS. Wystawca uwierzytelnienia generuje specjalny kod na telefonie, który można wprowadzić. Jest to bezpieczniejsze niż wiadomości tekstowe, ponieważ ustalona osoba atakująca może przechwycić wiadomości tekstowe. jednak nie mogą przechwycić kodu wygenerowanego lokalnie z poziomu aplikacji uwierzytelniania.

Aplikacja Microsoft Authenticator z wyświetlonymi kilkoma kontami.

W obu przypadkach kod specjalny zmienia się każdorazowo i wygasa po krótkim czasie. Nawet jeśli osoba atakująca uznała kod, w którym zarejestrowano wczoraj, nie zrób to już dzisiaj.

Czy nie jest to kłopoty?

Częsta niepoprawna koncepcja uwierzytelniania wieloskładnikowego lub weryfikacji dwuetapowej polega na tym, że do zalogowania się jest wymagane przekazanie większej ilości danych. Jednak w większości przypadków drugi współczynnik jest wymagany tylko po pierwszym zalogowaniu się do nowej aplikacji lub urządzenia albo po zmianie hasła. Po sprawdzeniu przez usługę, że logujesz się przy użyciu podstawowego czynnika (nazwy użytkownika i hasła) na aplikacji i urządzeniu, które wcześniej było używane, a dzięki temu nie wymaga to dodatkowego czynnika.

Jeśli jednak osoba atakująca spróbuje zalogowanie się do swojego konta, prawdopodobnie nie korzystasz z Twojej aplikacji lub urządzenia. Prawdopodobnie próbują oni zalogować się z urządzenia, z dala od komputera, a następnie usługa poprosi o drugi współczynnik uwierzytelnienia, który prawie nie będzie miał!

Następny krok: Włączanie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie można to zrobić!

Włączanie uwierzytelniania wieloskładnikowego w banku, kontach na nośnikach społecznościowych, zakupów online i innych usług, które go obsługują. Niektóre usługi mogą dzwonić na "weryfikację dwuetapową" lub "dwuetapowe logowanie", ale jest to jednak zasadniczo identyczne.

Zwykle znajdziesz go w ustawieniach zabezpieczeń konta.

Ataki związane z naruszeniem hasła są odpowiedzialne za większość udanych kont Hacks, które widzą, oraz uwierzytelnianie wieloczynnikowe może wypaczyć prawie wszystkie.

Aby uzyskać więcej informacji, zobacz co to jest: Uwierzytelnianie wieloczynnikowe.

Witamy w usłudze Windows Hello

Windows Hello to nowy, bezpieczniejszy sposób zarejestrowania się na urządzeniach z systemem Windows 10. Ułatwia Ci odwracanie się do starej metody hasła za pomocą rozpoznawania twarzy, odcisku palca lub zapamiętanego kodu PIN.

Uwaga: Aby skorzystać z twarzy, urządzenie musi mieć kamerę zgodną z powitaniem i używać odcisku palca powitania urządzenie musi mieć czytnik linii papilarnych zgodny z powitaniem. Jeśli nie masz żadnego z tych elementów, możesz kupić zgodne aparaty fotograficzne i czytniki linii papilarnych albo po prostu skorzystać z kodu PIN powitalny.

Funkcja powitanie lub powitanie jest równie szybkie i proste, jak w przypadku urządzeń smartphone i czytników linii papilarnych. Po wyświetleniu monitu o zalogowanie się systemu Windows zamiast monitu o wprowadzenie hasła wystarczy przeszukać kamerę lub umieścić palec na czytniku linii papilarnych. Gdy tylko uznasz Cię za Ciebie, jesteś w trakcie. Zwykle jest to prawie natychmiastowe.

KOD PIN powitania działa tak samo jak większość systemów wprowadzania numeru PIN. Gdy przejdziesz do logowania, system Windows wyświetli monit o podanie kodu PIN i zalogujesz się. Co oznacza, że kod PIN powitania jest specjalny, jest on kojarzony z urządzeniem, z którym się logujesz. Oznacza to, że tak samo jak inne formy uwierzytelniania wieloskładnikowego, jeśli osoba atakująca uzyskała kod PIN, będzie działać tylko na Twoim urządzeniu.

Następny krok: włączanie opcji Windows Hello

Na urządzeniach z systemem Windows 10 przejdź do obszaru ustawienia > konta > Opcje logowania. Możesz sprawdzić, które typy funkcji Windows Hello mogą być obsługiwane przez urządzenie i łatwo je skonfigurować.

Wybieranie lepszych haseł

Osobami atakującymi są jedyne osoby, które lubią hasła. Należy pamiętać, że inne mogą być trudne do zapamiętania, a inne osoby mają możliwość ponownego użycia tych samych haseł. Nie tylko niektóre hasła są dość popularne dla dużej grupy osób — "123456" to nie tylko złe hasło, ale jest również jednym z najczęściej używanych. Nie jesteś w każdemu, jeśli "ILOVEYOU" to hasło, czyli 8-tego samego hasła w programie 2019.

Hopefully korzystasz z uwierzytelniania wieloskładnikowego i systemu Windows Hello, więc nie korzystasz teraz z haseł. Jednak w przypadku tych usług, w których hasło jest wciąż konieczne, można wybrać dobry.

Co oznacza dobre hasło?

Aby wybrać dobre hasło, warto znać kilka sposobów, w których osoby odwiedzające często starają się odgadnąć hasła:

  • Ataki słownikowe — wiele osób używa często występujących wyrazów, takich jak "oprogramowania Dragon umożliwiającego" lub "Princess", tak aby intruzi mogli wypróbować wszystkie wyrazy w słowniku. Odmianą jest wypróbowanie wszystkich typowych haseł, takich jak "123456", "QWERTY" i "123qwe".

  • Siła przednia — osoby odatakowane mogą wypróbować każdą możliwą kombinację znaków, aż znajdziesz tę, która działa. Naturalnie każdy dodany znak zwiększa wykładniczo więcej czasu, dlatego w przypadku większości przypadków nie jest to zalecane w przypadku większości osób atakujących.

W obu przypadkach osoba atakująca nie pisze tych danych w odniesieniu do tego, że ich system próbuje tysiące kombinacji sekund.

Biorąc pod uwagę te typy ataków, wiemy, że długość jest ważniejsze niż złożoność, a nasze hasło nie powinno być słowem angielskim. Nieparzysta "affectionately", która ma 14 znaków.  Idealnym rozwiązaniem jest, że hasło powinno zawierać co najmniej 12-14 znaków, zarówno litery wielkie, jak i małe, a co najmniej jeden numer lub symbol.

Następny krok: Tworzenie właściwego hasła

Oto Porada dotycząca tworzenia hasła o długości i złożoności, które nie są zbyt trudne do zapamiętania. Wybierz ulubiony cytat filmowy, wiersz z książki lub Lyric utworu muzycznego i zrób pierwszą literę każdego wyrazu. W razie potrzeby podstawiaj numery i symbole, aby spełnić wymagania dotyczące haseł.

Być może jesteś wentylatorem dyplom. Pierwsze dwa wiersze klasycznego utworu dyplom "przejęcie mnie do Ballgame" są następujące:

Zabierz mnie do Ballgame,

Zapoznaj się ze zbyt dużo

Zrób pierwszą literę każdego wyrazu z jednym oczywistym substytutem:

Tmo2tb,Tmowtc

O długości 13 znaków, z różną literą, z numerami i symbolami. Wygląda na to, że jest dość losowo i trudno go przygadnąć. Możesz wykonać te same czynności z dowolną ofertą, Lyric lub wierszem, jeśli jest wystarczająco długi. Musisz tylko zapamiętać, jakie oferty lub Lyric zostały użyte dla tego konta, i porozmawiaj z powrotem w głowie podczas pisania.

Porady: 

  • Jeśli system, w którym się logujesz, obsługuje spacje w hasłach, należy go użyć.

  • Skorzystaj z aplikacji Menedżer haseł. Dobry Menedżer haseł może generować długie, losowe hasła, a także zapamiętać je. Aby zalogowanie się do Menedżera haseł, a Menedżer haseł może wykonać pozostałe czynności, wystarczy tylko jedno dobre hasło lub jeszcze lepsze jest odciskiem palca lub twarzy.

Teraz, gdy masz dobre hasło

Istnieje kilka innych typów ataków na hasło, które można oglądać za pomocą następujących funkcji:

  • Ponownie użyte poświadczenia — Jeśli korzystasz z tej samej nazwy użytkownika i hasła w banku, a pod adresem TailwindToys.com i Tailwind nastąpi złamanie, osoby te będą miały wszystkie kombinacje nazwy użytkownika i hasła, które otrzymają z Tailwind, i wypróbuj je we wszystkich witrynach bankowych i kart kredytowych.

  • Wyłudzanie informacji — osoby atakujące mogą próbować nawiązać rozmowę lub wysłać do Ciebie wiadomości, z których może korzystać w witrynie lub usłudze, a także próbować do "potwierdzenia hasła".

Nie używaj ponownie haseł w wielu witrynach i należy zachować ostrożność w każdemu osoby, która kontaktuje się z użytkownikiem (nawet jeśli jest to osoba lub organizacja, której ufasz) i chce przekazać im dane osobowe lub informacje o koncie, albo kliknąć link lub otworzyć załącznik, którego nie oczekiwano.

Czy zapisywanie haseł jest złe?

Niekoniecznie, dopóki papier jest zachowywany w bezpiecznym miejscu. Dobrym pomysłem może być również zapisanie przypomnienia dotyczącego hasła, a nie samego hasła, na wypadek, gdyby papier miał niewłaściwe ręce. Jeśli na przykład użyto powyższego przykładu "Zabierz mnie do Ballgame", możesz napisać imię i nazwisko ulubionego zespołu dyplom jako przypomnienie dotyczące tego, co zostało użyte jako hasło.

Zobacz też

Zapewnianie bezpieczeństwa przy korzystaniu z połączeń bezprzewodowych

Ochrona przed oszustwami i atakami internetowymi

Potrzebna dalsza pomoc?

Rozwijaj swoje umiejętności
Poznaj szkolenia
Uzyskuj nowe funkcje w pierwszej kolejności
Dołącz do niejawnych testerów firmy Microsoft

Czy te informacje były pomocne?

Dziękujemy za opinię!

×