Hasła i polityki haseł

Hasła i polityki haseł to zbiorcze określenie zasad regulujących tworzenie i zmianę danych uwierzytelniających w systemie.

Hasło jako element uwierzytelniania użytkownika

Hasła i polityki haseł obejmują zasady tworzenia, przechowywania, zmiany oraz sprawdzania danych uwierzytelniających. Hasło jest sekretem znanym użytkownikowi i systemowi w sposób pośredni: poprawnie zaprojektowana aplikacja nie powinna przechowywać go w postaci jawnego tekstu. Zamiast tego przechowuje wynik funkcji przeznaczonej do ochrony haseł, razem z unikalną wartością losową, czyli solą. Podczas logowania wpisana wartość jest przetwarzana ponownie i porównywana z zapisanym wynikiem.

W praktyce bezpieczeństwo hasła zależy nie tylko od jego długości. Znaczenie ma także to, czy nie jest ono używane w kilku miejscach, czy nie zawiera łatwych do odgadnięcia informacji oraz czy system ogranicza próby logowania. Hasło używane jednocześnie do poczty, konta systemowego i sklepu internetowego zwiększa skutki wycieku z dowolnej z tych usług. Z tego powodu osobne hasła dla różnych kont są podstawową zasadą, niezależnie od rodzaju laptopa, komputera stacjonarnego czy używanego systemu operacyjnego.

Długość, przewidywalność i dobór reguł

Polityka haseł powinna określać minimalną długość oraz sposób odrzucania haseł oczywiście słabych. Dłuższa fraza z kilku niezależnych słów może być trudniejsza do odgadnięcia niż krótkie hasło z przypadkowymi znakami specjalnymi, zwłaszcza gdy użytkownik stosuje przewidywalny schemat, taki jak dopisanie cyfry na końcu. Nie należy jednak traktować samej obecności wielkiej litery, cyfry i znaku specjalnego jako dowodu wysokiej odporności. Reguły kompozycji mogą prowadzić do powtarzalnych haseł, jeżeli użytkownicy muszą regularnie zmieniać je według tego samego wzoru.

Wytyczne NIST SP 800-63B wskazują na sprawdzanie nowych haseł względem list wartości powszechnie używanych, przewidywalnych lub ujawnionych w znanych wyciekach. System może odrzucać na przykład hasła zawierające nazwę użytkownika, nazwę urządzenia, popularne ciągi znaków albo hasła znajdujące się na liście skompromitowanych danych. Taka kontrola powinna odbywać się bez ujawniania pełnej listy osobie postronnej. Warto również zapewnić możliwość używania spacji i dłuższych fraz, o ile konkretna aplikacja prawidłowo obsługuje te znaki.

Zmiana, blokowanie i przechowywanie danych uwierzytelniających

Okresowa, wymuszona zmiana hasła nie zawsze poprawia bezpieczeństwo. Jeżeli nie ma oznak przejęcia konta, częsta zmiana może skłaniać do tworzenia prostych wariantów poprzedniej wartości. Zmiana powinna być wymagana przede wszystkim po podejrzeniu ujawnienia hasła, po incydencie dotyczącym usługi albo gdy istnieje ryzyko, że hasło znała osoba nieuprawniona. Nowe hasło nie powinno być jedynie niewielką modyfikacją poprzedniego, a system powinien uniemożliwiać ponowne użycie ostatnich wartości, jeżeli taka funkcja jest dostępna i właściwa dla danego środowiska.

Mechanizm logowania powinien ograniczać automatyczne zgadywanie. Stosuje się między innymi opóźnienia między kolejnymi próbami, czasowe blokady lub dodatkowe wymagania po serii nieudanych logowań. Zbyt agresywna blokada może jednak umożliwić prosty atak polegający na celowym blokowaniu kont innych osób, dlatego reguły trzeba dobrać do sposobu korzystania z urządzenia. Hasła zapisane przez aplikację powinny być chronione funkcją odporną na masowe zgadywanie, taką jak Argon2id, scrypt, bcrypt albo PBKDF2, z parametrami dobranymi do środowiska. Sam zwykły skrót SHA-256 bez mechanizmu spowalniającego próby nie jest właściwym sposobem przechowywania haseł.

Polityka haseł na używanym komputerze

Na laptopie lub komputerze stacjonarnym polityka haseł powinna obejmować wszystkie konta, które mogą zmieniać ustawienia systemu albo instalować oprogramowanie. W systemie Windows można rozróżnić konto standardowe i konto administratora; codzienna praca na koncie standardowym ogranicza skutki przypadkowego uruchomienia programu wymagającego podwyższonych uprawnień. Hasło do konta systemowego nie powinno być zapisywane na kartce przy urządzeniu ani wysyłane w zwykłej wiadomości. Przy wielu kontach pomocne może być użycie menedżera haseł, który generuje odrębne wartości i przechowuje je w zaszyfrowanym magazynie chronionym hasłem głównym.

Podczas diagnostyki problemów z logowaniem trzeba ustalić, czy błąd dotyczy samego hasła, nazwy konta, układu klawiatury, klawisza Caps Lock, wygasłej sesji, blokady konta czy połączenia z usługą sieciową. Warto sprawdzić także, czy użytkownik nie próbuje zalogować się do konta lokalnego zamiast sieciowego albo odwrotnie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego przy problemach z dostępem można przeanalizować stan systemu, ustawienia kont oraz działanie urządzenia w zakresie potrzebnym do przywrócenia prawidłowego logowania.