polityka haseł

Polityka haseł określa wymaganą długość, złożoność i częstotliwość zmiany danych uwierzytelniających.

Elementy polityki haseł

Polityka haseł opisuje zasady tworzenia, używania i ochrony danych uwierzytelniających w systemach komputerowych. Obejmuje między innymi minimalną długość hasła, sposób sprawdzania jego złożoności, zakaz używania haseł łatwych do odgadnięcia oraz reguły dotyczące blokowania kont po wielokrotnych nieudanych próbach logowania. W środowisku domowym zasady te mogą dotyczyć konta systemu Windows, poczty elektronicznej, bankowości internetowej, routera Wi-Fi, menedżera haseł i usług internetowych. W firmie polityka powinna obejmować również konta pracowników, dostęp do aplikacji biurowych i urządzeń współdzielonych.

Bezpieczne hasło powinno być unikatowe dla każdego konta. Ponowne używanie tego samego ciągu znaków powoduje, że wyciek danych z jednego serwisu może ułatwić nieuprawniony dostęp do innych usług. Praktycznym rozwiązaniem jest stosowanie długich fraz składających się z kilku niepowiązanych słów albo korzystanie z menedżera haseł, który generuje losowe hasła i przechowuje je w zaszyfrowanej bazie. Sama obecność wielkich liter, cyfr i znaków specjalnych nie gwarantuje odporności, jeżeli hasło jest krótkie lub oparte na popularnym wzorcu.

Długość, unikatowość i odporność na zgadywanie

Długość hasła zwiększa liczbę możliwych kombinacji, dlatego zwykle ma większe znaczenie niż mechaniczne wymaganie określonego zestawu znaków. Hasła zawierające imię, nazwę firmy, numer telefonu, datę urodzenia albo popularne słowo mogą zostać odgadnięte na podstawie informacji dostępnych publicznie. Należy także unikać przewidywalnych modyfikacji, takich jak zastępowanie litery „a” znakiem „@” lub dopisywanie cyfry „1” na końcu. System powinien odrzucać hasła znajdujące się na listach haseł popularnych, ujawnionych w wyciekach albo wynikających z nazwy użytkownika.

Polityka powinna określać sposób obsługi nieudanych prób logowania. Opóźnienie kolejnych prób, czasowa blokada konta lub dodatkowa weryfikacja utrudniają ataki polegające na automatycznym sprawdzaniu wielu kombinacji. Zbyt krótka, bezterminowa blokada może jednak powodować łatwe blokowanie cudzych kont przez celowe wpisywanie błędnych haseł. W praktyce stosuje się ograniczenie częstotliwości prób oraz alerty o nietypowych logowaniach. Hasła nie powinny być zapisywane w plikach tekstowych, arkuszach kalkulacyjnych ani w wiadomościach przesyłanych bez szyfrowania.

Zmiana haseł i dodatkowe uwierzytelnianie

Regularna, automatyczna zmiana haseł nie zawsze poprawia bezpieczeństwo. Jeżeli użytkownik musi często zmieniać hasło bez konkretnej przyczyny, może zacząć tworzyć przewidywalne warianty, dopisywać kolejne cyfry albo zapisywać hasła w łatwo dostępnym miejscu. Zmianę należy wymusić przede wszystkim po podejrzeniu ujawnienia hasła, wykryciu nieautoryzowanego logowania, przekazaniu konta innej osobie lub odzyskaniu dostępu po incydencie. Każde nowe hasło powinno być niezależne od poprzedniego i nie może być używane w innym serwisie.

Polityka haseł powinna uwzględniać uwierzytelnianie wieloskładnikowe. Poza hasłem użytkownik może potwierdzić tożsamość kodem z aplikacji uwierzytelniającej, kluczem sprzętowym albo innym składnikiem przypisanym do urządzenia. Kod wysłany wiadomością SMS zapewnia dodatkową barierę, ale jest słabszy niż klucz sprzętowy lub aplikacja generująca kody, ponieważ numer telefonu może zostać przejęty w wyniku oszustwa związanego z kartą SIM. Kody odzyskiwania powinny być przechowywane poza skrzynką pocztową i dostępne tylko dla właściciela konta.

Polityka haseł na komputerze użytkownika

Na laptopie lub komputerze PC zasady dotyczące haseł powinny obejmować konto użytkownika, konto administratora, ekran blokady oraz dane zapisane w przeglądarce i aplikacjach. Do codziennej pracy lepiej używać konta bez uprawnień administracyjnych, a konto administratora wykorzystywać tylko podczas instalacji oprogramowania lub zmiany konfiguracji. Automatyczne blokowanie ekranu ogranicza dostęp do urządzenia pozostawionego bez nadzoru. Hasło do systemu nie powinno być takie samo jak hasło do konta pocztowego, chmury ani routera.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z logowaniem, konfiguracją kont użytkowników oraz przywracaniem dostępu po zapomnieniu hasła. Przed przekazaniem urządzenia do serwisu warto poinformować właściciela sprzętu o konieczności wykonania kopii zapasowej i usunięcia zapisanych sesji, jeżeli jest to możliwe. Samo hasło należy przekazywać wyłącznie w uzgodniony, bezpieczny sposób, a po zakończeniu prac zmienić je na nowe. W przypadku podejrzenia infekcji złośliwym oprogramowaniem zmiana hasła powinna nastąpić z zaufanego urządzenia, po sprawdzeniu komputera i wylogowaniu aktywnych sesji.