Politica parolelor: de ce?

In linii mari, politica unui sistem de parole presupune un set de reguli impuse intr-o companie, ce trebuie stiute si acceptate de oricine lucreaza cu infrastructura informatica interna.

O politica de securitate de acest gen este deobicei construita sub forma unui document ce explica clar metoda de alegere a unei parole, de folosire a acesteia, si de penalizare in cazul nerespectarii prevederilor.

Lipsa unei astfel de politici atrage dupa sine o serie intreaga de vulnerabilitati ce pot duce la dezvaluirea de informatii cu caracter confidential pana la compromiterea partiala sau totala a unui sistem informatic.

Deci ce ar trebui sa avem in vedere in momentul in care construim o politica de securitate?

1. Lungimea unei parole trebuie sa fie de minim 8 caractere conform standardelor actuale.
Bineinteles, acest minim nu este recomandat si nu trebuie folosit. O parola sigura ar trebui sa fie un sir de macar 10-12 caractere. Cu cat sirul este mai lung, va fi nevoie de mai multe combinatii incercate pentru a forta o autentificare.

2. Parola trebuie sa fie puternica din punct de vedere lingvistic. Continutul parolei trebuie sa fie o combinatie cat mai complicata de caractere mari, caractere mici, cifre si eventual simboluri. Alaturi de lungime, acest lucru face atacurile de tip “brute force” sau “dictionary attack” dificile.

Un atac de tip brute force presupune rularea unei aplicatii care incearca toate combinatiile posibile de caractere pana gaseste sirul corespunzator, iar un atac bazat pe dictionar presupune incercarea cuvintelor si combinatiilor de cuvinte dintr-un dictionar.

Pare o munca dificila, dar eficienta unui atac bazat pe dictionar este foarte ridicata; din experienta pot spune ca o parola formata din trei cuvinte (ex: myemailaccount) se va afla intr-o perioada de timp rezonabila (sub o ora). Prin urmare, lungimea parolei este inutila daca se folosesc cuvinte uzuale.
Cateva conventii usor de tinut minte pot securiza parola destul de mult:

Caracterul “a” poate fi transformat in “@”, caracterul “e” in “3″, caracterul “O” poate devine “0″ si caracterul “i” in “!” si asa mai departe. O astfel de asociere este usor de tinut minte, iar parola veche devine “my3m@!l@cc0unt”, sir ce este net superior din punct de vedere al securitatii.

Spre exemplu, angajatii guvernului din Marea Britanie sunt obligati sa pastreze o succesiune de consoana, vocala, consoana, consoana, vocala, consoana, numar in parola dupa ce analizele au aratat ca astfel creste puterea criptografica a sirului.

In cazuri de sisteme cu factor de risc mare, se pot folosi caractere speciale obtinute prin combinatii de taste, precum Alt + 0174 care returneaza caracterul ®, Alt + 0169 returneaza caracterul © si asa mai departe (cifrele sunt tastate din NumPad). Astfel de caractere sunt destul de dificil de introdus pentru un utilizator normal si sunt recomandate doar in medii ce trebuie sa fie foarte sigure.

Astfel de reguli sunt extrem de eficiente si din perspectiva memorarii parolei de catre utilizator. Impunerea folosirii a siruri fara sens (ex: “gsdgrt4343ddd23″ poate avea consecinte dezastroase din perspectiva unei alte clase de atacuri: ingineria sociala.

Este celebru cazul in care un cetatean rus a jefuit o banca de zeci de milioane de dolari spargandu-le sistemul informatic, in contextul in care acesta nu avea nicio experienta tehnica. A exploatat o alta veriga slaba dintr-o structura informatica: angajatii bancii tineau scrise parolele pe o foaie care era lipita pe monitor, acestea fiind prea lungi si prea dificile ca sa fie memorate.
Astfel de cazuri pot fi usor evitate prin niste parole usor memorabile, dar criptografic puternice.

3. Parola trebuie schimbata periodic pentru a preveni compromiterea totala a sistemului in cazul unei scurgeri de informatii. Valoarea intervalului la care trebuie schimbata parola este strans legat de factorul de risc si de nivelul de confidentialitate al datelor accesate: daca autentificarea pe o statie-client Microsoft poate fi schimbata la 1-2 luni, parola de accesare a unui cont bancar on-line ar trebui schimbata dupa 10 autentificari efectuate.

Ca un plus de securitate, se recomanda ca parolele actualizate sa nu aiba inteles/parti din sir comun cu vechea parola. Spre exemplu daca vechea parola este “my3m@!l@cc0unt”, noua parola nu ar trebui sa fie “my3m@!l@cc0unt2″ pentru ca efectul este minim. Parolele se pot recicla odata la cateva schimbari. In general, ultimele 3 parole trebuie sa fie complet diferite pentru a exista un factor de risc cat mai mic.

4. Parolele de sistem si parolele de aplicatii ar trebui sa fie diferite. Astfel, daca sistemul este compromis prin orice metode, aplicatiile si datele acestora pot ramane in siguranta. Totusi, logarea la sisteme considerate cu factor de risc mic sau care nu contin informatii de valoare se poate face folosind o parola identica in multiple instante. Scopul este ca utilizatorul sa nu fie fortat sa memoreze zeci de parole diferite. In acest sens, se pot forma diferite reguli, de genul:

Email – “my3m@!l@cc0unt”
Sharing – “mysh@r!ng@cc0nt”, etc.

5. Parola nu trebuie spusa nimanui sub nicio forma si trebuie sa existe o regula care sa reglementeze ce se intampla in cazul divulgarii unei parole.

6. Parolele nu trebuie scrise niciodata altfel decat in scopul autentificarii pe sistem.

Pentru uz personal, pasii pentru a forma o parola puternica sunt urmatorii:
- se alege o fraza ce poate fi usor memorata
- se verifica daca nu s-a atins un numar maxim de caractere permise pentru parola (deobicei 63 pe unele sisteme)
- se adauga trasaturi de complexitate prin substitutia unor caractere cu cifre si simboluri, urmand o logica memorabila
- se schimba unele caractere din litere mici in litere mari, urmand o logica memorabila
- se testeaza parola folosind o aplicatie de verificare a gradului de complexitate; o astfel de aplicatie se poate folosi on-line pe site-ul Microsoft.com apasand aici.

Pentru a forta adoptarea unei politici de management a parolelor intr-o companie, un document de reglementare interna nu este suficient. Factorul uman de alegere a complexitatii parolei trebuie evitat prin fortarea unei politici centralizate (politici de securitate ce se gasesc pe orice sistem gen Active Directory, etc).

Pentru o intelegere mai buna a tipurilor de atac posibile, recomand urmatoarele referinte:

Wikipedia: Brute force attacks
Wikipedia: Dictionary attacks
Wikipedia: Password cracking
Security Focus – password strength