brak polityki haseł

Brak polityki haseł to luka bezpieczeństwa dopuszczająca stosowanie słabych, łatwych do złamania danych uwierzytelniających.

Na czym polega brak polityki haseł

Brak polityki haseł oznacza, że w systemie komputerowym, usłudze sieciowej albo aplikacji nie określono minimalnych zasad tworzenia, używania i zmiany danych uwierzytelniających. Użytkownik może wtedy ustawić hasło krótkie, przewidywalne lub identyczne z hasłem używanym w innym miejscu, a system nie musi tego zablokować. Problem nie polega wyłącznie na samym haśle, lecz także na braku reguł ograniczających sposób jego wykorzystywania.

Polityka haseł może obejmować między innymi minimalną długość, zakaz używania haseł znajdujących się na liście haseł najczęściej przejmowanych, wymaganie dodatkowego składnika uwierzytelniania oraz ograniczenie liczby nieudanych prób logowania. Powinna również określać sposób postępowania po podejrzeniu ujawnienia hasła. Bez takich zasad bezpieczeństwo zależy całkowicie od indywidualnych nawyków użytkownika, a te mogą być niespójne w obrębie jednego komputera lub całej organizacji.

Dlaczego słabe hasło ułatwia przejęcie dostępu

Hasło przewidywalne może zostać odgadnięte na podstawie informacji dostępnych w otoczeniu użytkownika, takich jak imię, nazwa firmy, model urządzenia, adres, rok urodzenia albo prosty ciąg znaków. Atakujący często wykorzystuje również tzw. credential stuffing, czyli automatyczne sprawdzanie par login–hasło pochodzących z wcześniejszych wycieków. Jeżeli to samo hasło zostało użyte w kilku serwisach, przejęcie jednego konta może ułatwić dostęp do kolejnych.

Znaczenie ma także sposób przechowywania haseł po stronie aplikacji. Poprawnie zaprojektowany system nie powinien przechowywać ich w postaci jawnego tekstu, lecz używać funkcji przeznaczonej do ochrony haseł, wraz z indywidualną solą dla każdego wpisu. Jeżeli baza danych zostanie skopiowana, dobrze dobrany mechanizm utrudnia odtworzenie haseł, ale nie usuwa ryzyka. Hasła krótkie i popularne mogą nadal zostać znalezione metodą słownikową lub przez wielokrotne testowanie kandydatów.

Elementy rozsądnej kontroli uwierzytelniania

Podstawą jest stosowanie długich, unikalnych haseł lub fraz, których nie używa się w innych usługach. Menedżer haseł może generować losowe dane dla każdego konta i przechowywać je w zaszyfrowanym magazynie. W praktyce zmniejsza to potrzebę zapamiętywania wielu haseł i ogranicza ryzyko ich zapisywania w plikach tekstowych, notatkach lub łatwo dostępnych dokumentach.

Sama wymiana hasła w regularnych, krótkich odstępach nie zawsze poprawia bezpieczeństwo. Większe znaczenie ma zmiana hasła po podejrzeniu ujawnienia, używanie blokady lub opóźnienia po wielu nieudanych logowaniach oraz włączenie uwierzytelniania wieloskładnikowego, jeżeli dana usługa je obsługuje. Dodatkowy składnik może być kodem z aplikacji, kluczem sprzętowym albo inną metodą niezależną od głównego hasła. Należy też kontrolować uprawnienia kont: zwykła praca nie powinna wymagać stałego korzystania z konta administratora.

Rozpoznanie problemu na komputerze i dalsze działania

Weryfikacja braku polityki haseł powinna rozpocząć się od ustalenia, gdzie występuje problem: na koncie lokalnym systemu, w aplikacji, w przeglądarce, w usłudze internetowej czy w urządzeniu sieciowym. Trzeba sprawdzić, czy system wymusza minimalne wymagania, czy zapisuje informacje o nieudanych logowaniach oraz czy dostępne jest uwierzytelnianie wieloskładnikowe. Warto również przejrzeć ustawienia automatycznego logowania, zapisanych poświadczeń i kont o uprawnieniach administratora.

Jeżeli podejrzewa się wykorzystanie słabego hasła, bezpieczna kolejność działań obejmuje zmianę danych dostępowych z zaufanego urządzenia, wylogowanie aktywnych sesji, usunięcie nieznanych metod odzyskiwania dostępu i sprawdzenie, czy nie dodano obcego konta. Na laptopie lub komputerze PC trzeba dodatkowo zwrócić uwagę na złośliwe oprogramowanie, rozszerzenia przeglądarki oraz programy uzyskujące dostęp do klawiatury lub schowka. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego diagnostyka sprzętu może obejmować także sprawdzenie objawów wskazujących na problem z oprogramowaniem lub bezpieczeństwem konta.