Zaščita z geslom je učinkovita tehnika nadzora dostopa, ki jo vsi uporabljamo vsakodnevno. Verjetno bo v prihodnjih letih ostal pomemben steber kibernetske varnosti.
Po drugi strani kibernetski kriminalci uporabljajo različne metode za razbijanje gesel in pridobitev nepooblaščenega dostopa. To vključuje napade z mavrično mizo. Toda kaj so napadi na mavrične mize in kako nevarni so? Še pomembneje pa je, kaj lahko storite, da se zaščitite pred njimi?
Kako so shranjena gesla?
Nobena platforma ali aplikacija, ki varnost jemlje resno, ne shranjuje gesel v navadnem besedilu. To pomeni, da če je vaše geslo "password123" (in iz očitnih razlogov nikakor ne bi smelo biti), ne bo shranjeno kot tako, temveč kot kombinacija črk in številk.
Ta postopek pretvorbe navadnega besedila v navidezno naključno kombinacijo znakov se imenuje zgoščevanje gesel. in gesla so zgoščena
s pomočjo algoritmov, avtomatiziranih programov, ki uporabljajo matematične formule za randomiziranje in zakrivanje golega besedila. Nekateri najbolj znani algoritmi zgoščevanja so: MD5, SHA, Whirlpool, BCrypt in PBKDF2.Torej, če vzamete geslo "password123" in ga zaženete skozi algoritem MD5, tole dobite: 482c811da5d5b4bc6d497ffa98491e38. Ta niz znakov je zgoščena različica »password123« in oblika, v kateri bi bilo vaše geslo shranjeno v spletu.
Recimo, da se prijavljate v svoj e-poštni račun. Vnesete svoje uporabniško ime ali e-poštni naslov in nato še geslo. Ponudnik e-pošte samodejno pretvori golo besedilo, ki ste ga vnesli, v njegovo zgoščeno vrednost in ga primerja z zgoščeno vrednostjo, ki jo je prvotno shranil, ko ste prvič nastavili geslo. Če se vrednosti ujemajo, ste overjeni in pridobite dostop do svojega računa.
Kako bi se potem razvil tipičen napad na mavrično mizo? Akter grožnje bi moral najprej pridobiti zgoščene vrednosti gesel. Da bi to naredili, bi izvedli neko vrsto kibernetskega napada ali našli način, kako obiti varnostno strukturo organizacije. Ali pa bi kupili odlagališče ukradenih hashov na temnem spletu.
Kako delujejo napadi Rainbow Table
Naslednji korak bi bila pretvorba zgoščenih vrednosti v golo besedilo. Očitno bi napadalec pri napadu z mavrično tabelo to naredil z uporabo mavrične tabele.
Mavrične tabele je izumil IT strokovnjak Philippe Oechslin, čigar delo je temeljilo na raziskavah kriptologa in matematika Martina Hellmana. Mavrične tabele, imenovane po barvah, ki predstavljajo različne funkcije v tabeli, skrajšajo čas potreben za pretvorbo zgoščene vrednosti v golo besedilo, kar kiberkriminalcu omogoči večjo izvedbo napada učinkovito.
V navadnem napad s surovo silo, na primer, akter grožnje bi moral dekodirati vsako zgoščeno geslo posebej, izračunati na tisoče besednih kombinacij in jih nato primerjati. Ta metoda poskusov in napak še vedno deluje in verjetno vedno bo, vendar zahteva veliko časa in izjemno računalniško moč. Toda pri napadu z mavrično tabelo bi moral napadalec le zagnati pridobljeno zgoščeno vrednost gesla skozi bazo podatkov o zgoščenih vrednostih, nato pa jo večkrat razdeliti in zmanjšati, dokler se ne razkrije navadno besedilo.
Na kratko, tako delujejo napadi z mavrično mizo. Po razbijanju gesla ima akter grožnje nešteto možnosti, kako naprej. Svojo žrtev lahko ciljajo na različne načine, pri čemer pridobijo nepooblaščen dostop do vseh vrst občutljivih podatkov, vključno z informacijami, povezanimi s spletnim pečenjem itd.
Kako se zaščititi pred napadi Rainbow Table
Napadi na mavrične mize niso tako pogosti kot nekoč, vendar še vedno predstavljajo veliko grožnjo organizacijam vseh velikosti in tudi posameznikom. Na srečo obstajajo načini za zaščito pred njimi. Tukaj je pet stvari, ki jih lahko storite, da preprečite napad mavrične mize.
1. Nastavite zapletena gesla
Uporaba dolgih, zapletenih gesel je nujna. Dobro geslo mora biti edinstveno in mora vsebovati male in velike črke, številke in posebne znake. Večina platform in aplikacij dandanes od uporabnikov tako ali tako zahteva, da to storijo, zato se prepričajte ustvarite nezlomljivo geslo da ne boš pozabil.
2. Uporabite večfaktorsko avtentikacijo
Večfaktorsko preverjanje pristnosti (MFA) je preprost, a zmogljiv varnostni mehanizem, zaradi katerega je večina napadov z geslom nesmiselna. Ko je MFA nastavljen, ne morete dostopati do računa samo z uporabniškim imenom in geslom. Namesto tega morate predložiti dodatno dokazilo o svoji identiteti. To lahko zajema vse od potrditve vaše telefonske številke in vnosa začasne kode PIN do preverjanja vašega prstnega odtisa in odgovora na osebno varnostno vprašanje.
3. Popestrite svoja gesla
Če povsod uporabljate isto geslo, je samo ena kršitev dovolj, da ogrozi vse vaše račune, ne glede na to, kako dobro je geslo. Zato je pomembno, da za vsak račun uporabite drugačno geslo. Če je možnost brez gesla, upoštevajte tudi to: če ne uporabljate gesla, ne morete postati žrtev napada z mavrično tabelo ali katerega koli drugega napada, ki temelji na geslu.
4. Izogibajte se šibkim algoritmom zgoščevanja
Nekateri algoritmi zgoščevanja, kot je MD5, so šibki, zaradi česar so lahka tarča. Organizacije bi se morale držati najsodobnejših algoritmov, kot je SHA-256, ki je tako varen, da ga uporabljajo vladne agencije v Združenih državah, Avstraliji in drugod. Kot navadna oseba se morate izogibati platformam in aplikacijam, ki uporabljajo zastarelo tehnologijo.
5. Uporabite Soliranje gesel
Zgoščevanje gesel je odličen in potreben varnostni ukrep, a kaj, če vi in druga oseba uporabljate isto geslo? Tudi njihove zgoščene različice bi bile enake. Tu nastopi postopek, imenovan soljenje. Soliranje gesel se v bistvu zmanjša na dodajanje naključnih znakov vsakemu zgoščenemu geslu, tako da je popolnoma edinstveno. Tudi ta nasvet velja za organizacije in posameznike.
Razumejte varnost gesel, da ostanete varni
Varnost gesel kot taka je ključna, ko gre za preprečevanje nepooblaščenega dostopa in različnih vrst kibernetskih napadov. Vendar vključuje več kot le pripravo edinstvene fraze, ki si jo je lahko zapomniti.
Če želite povečati svojo splošno kibernetsko varnost, morate razumeti, kako zaščita z geslom v resnici deluje, in nato sprejeti ukrepe za zaščito svojih računov. Za nekatere je to lahko nekoliko preobremenjeno, vendar lahko uporaba zanesljivih metod preverjanja pristnosti in upravitelja gesel veliko spremeni.