brak wymuszenia silnych haseł

Brak wymuszenia silnych haseł to kolejne, powtórzone sformułowanie tej samej luki bezpieczeństwa uwierzytelniania.

Na czym polega brak wymuszenia silnych haseł

Brak wymuszenia silnych haseł oznacza, że system pozwala utworzyć lub zmienić hasło bez sprawdzenia podstawowych reguł jego jakości. Użytkownik może wtedy ustawić bardzo krótkie hasło, hasło oparte na popularnym słowie, prostą sekwencję znaków albo ciąg łatwy do odgadnięcia na podstawie nazwy konta. Sama obecność pola hasła nie oznacza jeszcze, że aplikacja stosuje skuteczną politykę uwierzytelniania. Konieczne jest sprawdzenie, jakie wartości są akceptowane podczas rejestracji, zmiany hasła oraz przywracania dostępu.

Silne hasło powinno mieć odpowiednią długość i nie powinno być hasłem powszechnie używanym, ujawnionym w znanych wyciekach lub przewidywalnym na podstawie danych użytkownika. W praktyce długość ma istotne znaczenie, ponieważ zwiększa liczbę możliwych kombinacji i utrudnia ataki polegające na automatycznym sprawdzaniu kolejnych wariantów. Reguły mogą również wymagać użycia różnych typów znaków, jednak sama obecność wielkiej litery, cyfry i znaku specjalnego nie gwarantuje bezpieczeństwa, jeżeli całe hasło pozostaje krótkie albo schematyczne.

Jak słaba polityka haseł zwiększa ryzyko przejęcia konta

Jeżeli aplikacja nie odrzuca słabych haseł, atakujący może wykorzystać atak słownikowy, czyli automatyczne sprawdzanie list popularnych słów i ich prostych modyfikacji. Stosowane są także dane pochodzące z wcześniejszych wycieków, przewidywalne kombinacje cyfr, nazwy miesięcy oraz schematy takie jak dodanie cyfry na końcu znanego słowa. Gdy to samo hasło jest używane w kilku usługach, przejęcie danych logowania z jednego miejsca może prowadzić do prób logowania na innych kontach. Słaba polityka haseł nie jest więc wyłącznie problemem pojedynczego formularza, lecz może zwiększać skutki ponownego używania haseł.

Znaczenie ma także sposób przechowywania haseł po stronie aplikacji. Prawidłowo zaprojektowany system nie powinien przechowywać haseł w postaci jawnej. Hasła powinny być przekształcane przy użyciu funkcji przeznaczonych do tego celu, z indywidualną wartością salt dla każdego hasła. Salt jest dodatkowym, niepowtarzalnym ciągiem danych, który ogranicza skuteczność gotowych tablic skrótów i sprawia, że identyczne hasła nie mają identycznych zapisów w bazie. Nie zastępuje to wymuszenia odpowiedniej długości hasła, ale zmniejsza ryzyko wykorzystania danych w przypadku uzyskania dostępu do bazy kont.

Sprawdzenie reguł podczas logowania i zmiany danych

Weryfikację należy przeprowadzić we wszystkich miejscach, w których hasło może zostać ustawione lub zmienione. Obejmuje to rejestrację konta, formularz zmiany hasła, reset po użyciu odnośnika odzyskiwania dostępu oraz mechanizmy administracyjne dostępne w aplikacji. Częstym błędem jest zastosowanie reguł tylko w interfejsie użytkownika. Jeżeli serwer nie sprawdza tych samych warunków, żądanie wysłane bezpośrednio do punktu końcowego aplikacji może ominąć kontrolę widoczną w przeglądarce. Walidacja siły hasła powinna zatem odbywać się po stronie serwera, a komunikat w interfejsie powinien jedynie pomagać użytkownikowi spełnić wymagania.

Test powinien obejmować wartości graniczne i typowe przypadki słabych haseł. Należy sprawdzić, czy odrzucane są hasła krótsze od ustalonego minimum, popularne hasła, ciągi powtarzających się znaków, sekwencje klawiaturowe oraz hasła zawierające nazwę użytkownika lub nazwę usługi. Warto sprawdzić także, czy system nie skraca hasła po przekroczeniu określonej długości, nie usuwa części znaków bez wyraźnego komunikatu i poprawnie obsługuje znaki spoza podstawowego alfabetu. Po zmianie hasła trzeba potwierdzić, że stare hasło przestaje działać, a mechanizm resetowania nie pozwala ustawić hasła z pominięciem tych samych reguł.

Usunięcie luki i bezpieczne postępowanie po wykryciu

Usunięcie problemu wymaga ustalenia jasnej polityki dla nowych i istniejących kont. Nowe hasła powinny spełniać wymagania dotyczące długości i nie powinny znajdować się na liście haseł powszechnych lub znanych z wycieków. Dla istniejących kont można wymagać zmiany hasła przy następnym logowaniu, zwłaszcza gdy wcześniejsze reguły dopuszczały hasła bardzo krótkie albo przewidywalne. Należy również przejrzeć logikę resetowania haseł, unieważnianie tokenów odzyskiwania oraz aktywne sesje, ponieważ sama zmiana walidatora nie musi zakończyć już rozpoczętej sesji osoby nieuprawnionej.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z logowaniem, konfiguracją systemu oraz działaniem popularnego oprogramowania na urządzeniach użytkowych. Przy ocenie takiej usterki można sprawdzić komunikaty formularza, ustawienia kont użytkowników, działanie resetowania hasła i zachowanie aplikacji po zmianie danych dostępowych. Nie należy przekazywać osobom wykonującym diagnostykę rzeczywistych haseł; do testów powinny służyć konta pomocnicze i dane, które można bezpiecznie unieważnić po zakończeniu sprawdzenia.