Heslo jako první možnost ochrany

Světový den hesel - čas pro úklid v heslech

Světový den hesel možná nepatří mezi nejpopulárnější, ale určitě by měl patřit mezi důležitá data v našich kalendářích.

Proč? Opět nám připomíná, že dostatečně silné heslo nás může ochránit před přístupem k citlivým datům, před krádeží internetové identity či před krádeží peněz. V tento den bychom se měli zaměřit na „malý“ úklid hesel k našim účtům; kde jsme je dlouho nezměnili – změnit a kde máme nastavena slabá hesla – zvýšit jejich bezpečnost zadáním složitějšího hesla.

Jak mít bezpečné heslo

Při tvorbě bezpečného hesla byste se měli vyhnout všemu, což snižuje celkově unikátnost a bezpečnost samotného hesla.

Čemu se vyhnout

heslo neopakujte ve více službách/kontech (v žádném případě nepoužívejte heslo do doménového účtu nikam jinam, vyhněte se používání stejných hesel do e-mailových účtů, sociálních sítí apod.),
stará hesla opětovně nepoužívejte po určité době (nenastavím si heslo „jožkomrkvička123“ každé 3 roky, protože mi to systém umožňuje),
heslo by se nemělo skládat z jmen (našich, příbuzných, zvířat), dat (např. výročí, data narození) nebo názvů jiných věcí, které máte/měli jste zveřejněny na sociálních sítích (Facebook, Instagram apod.).
Silné heslo musí být unikátní a přiměřeně složité

Podstatou je kombinace:

malých a velkých písmen
speciálních znaků
číslic
a nakonec i dostatečně dlouhé – min. 8 a více znaků, ideálně by mělo obsahovat až 16 znaků!

Jak může vypadat silné heslo

Například takto: QcSCTC#zrKk47PRU, ZY!RAdsmXvNrkvYd, RzmST5@LysRKMRqx...

TOP 10 nejpoužívanějších hesel

Navzdory všem doporučením IT odborníků zůstávají i nadále podle nedávných průzkumů mezi TOP 10 nejpoužívanějšími hesly:

1. 123456
2. 123456789
3. qwerty
4. password
5. 1234567
6. 12345678
7. 12345
8. iloveyou
9. 111111
10. 123123

Vyšší úroveň zabezpečení - password manažer

Mezi další doporučená řešení, která zvýší úroveň bezpečnosti hesla, patří použití password manažera (aplikace), který odbremění uživatele od toho, aby si musel hesla pamatovat a dokonce i vymýšlet. Taková aplikace toto vše udělá za uživatele. Jediné, co si budete muset nastavit, je jedno heslo a tím je master password. Password manažera však nedoporučujeme používat k zapisování přihlašovacích údajů do bankovních institucí.

Zabudované „password manažery“ mají i samotné webové prohlížeče jako Chrome či Firefox, ale bezpečnost samotného úložiště a přístup těchto společností k němu zůstávají neznámou.

Použití dvoufaktorové autentizace (2FA), která se skládá z jedinečného hesla, jedinečného uživatelského jména a dalšího bezpečnostního prvku jako např. ověřovacího kódu (SMS, email, softwarové aplikace, hardwarový token). Zde je třeba poznamenat, že 2FA prostřednictvím SMS je méně bezpečná kvůli tzv. „SIM swap-u“. Doporučuje se použít raději aplikace jako Authy, Google Authenticator nebo Microsoft Authenticator, zda použít samotný hardwarový token.

Vyšší úroveň zabezpečení - použití vícefaktorové autentizace (MFA)

Použití vícefaktorové autentizace (MFA) je metoda ochrany přístupu k systému (např. webu či informačnímu systému), založená na kombinaci zabezpečení ve třech oblastech (takzvaných "faktorech"):

• Znalost - něco, co uživatel zná nebo ví (jméno a heslo)
• Vlastnictví - něco, co uživatel vlastní (hardwarový token, aplikace v mobilu)
• Biometrie - něco, co představuje samotného uživatele - čím uživatel sám je (např. otisk prstu, face recognition apod.)

MFA zajišťuje velmi vysokou úroveň bezpečnosti, protože i když získá útočník přihlašovací jméno a heslo, stále musí získat přístup k něčemu, co uživatel i má, resp. k biometrii a k ​​té se už jen tak snadno nedostane.

Buďte proaktivní a nečekejte na útok

Na závěr je třeba podotknout, že pokud se jedná o bezpečnost hesel, nejlepší ochranou je být proaktivní – mít nastavena co nejsilnější hesla, používat MFA nebo minimálně 2FA, a také mít vědomost o tom, zda se náhodou vaše přihlašovací údaje spolu s hesly nenacházejí někde v hlubinách darkwebu.

Pokud si chcete být jisti, zda již náhodou nebyl váš účet hacknutý a heslo prozrazené, ověříte si to jednoduše na https://haveibeenpwned.com/.

Na druhé straně ani to nejsilnější heslo vás neochrání, pokud své přihlašovací údaje zadáte na podvodné stránce, kliknete na podvodnou linku či stáhnete z e-mailu nebezpečný soubor.

Pár zajímavostí z dostupných statistik o útocích na hesla

• Až 68% black hat hackerů přiznalo, že největším problémem při získávání dat je MFA a šifrování. (Thycotic)
  57% společností celosvětově používá MFA, což je 12% zvýšení oproti roku 2018, přičemž až 95% zaměstnanců používajících MFA k tomu používá mobilní app a pouze 1% biometrii. MFA používají především velké společnosti, které mají od 1 tis. až po více než 10 tis. zaměstnanců. Pouze 41-44% malých a středních firem využívá MFA, přičemž je zajímavý fakt, že až 43% kybernetických útoků je zaměřeno právě na tyto typy společností. (Report z lastpass, vzorek 47 tis. společností)
• Ze zjištění vyplývá, že zaměstnanci použijí opětovně stará hesla průměrně až 13krát – přičemž tato pravděpodobnost je vyšší u společností, které mají méně než 1 tis. zaměstnanců au IT firem je opětovné nastavení starého hesla v průměru dokonce až 15krát. (Report z lastpass, vzorek 47 tis. společností)
• V roce 2018 hackeři ukradli půl milionu osobních záznamů, což oproti roku 2017 představuje 126% nárůst.
• Celkově bylo od roku 2013 ukradeno přibližně 3,81 milionu. záznamů prostřednictvím úniků každý den, což představuje více než 158 000 za hodinu a více než 2600 za minutu. (Reports Cybersecurity Ventures).
• Každých 39 vteřin proběhne hackerský útok. (Security magazine)
• Kyber zločin je mnohem více profitabilní, než světový ilegální obchod s drogami. V roce 2018 kyberzločinci získali celkem kolem $600 miliard, což je o $200 miliard více než z obchodu s ilegálními drogami. (Cybersecurity Ventures)
• 73% black hat hackerů potvrdilo, že tradiční firewally a antivirová ochrana je irelevantní, jelikož samotní lidé a jejich neobezřetné chování jsou nejvíce zodpovědní za většinu bezpečnostních úniků dat. (Thycotic.com)
  Na dark webu je možné si koupit uživatelský účet za $1, bankovní účty jsou o něco dražší a to mezi $3 - $24 a netflix účet za cca $1.25. (RSA)
• Až 32% black hat hackerů přiznalo, že se soustřeďují především na získání privilegovaných účtů, což může být snadno dostupné např. použitím phishingového útoku. (Thycotic)
• K březnu 2019 se odhaduje, že bylo celosvětově zneužito nebo odcizeno více než 14 miliard dat, z čehož pouze 4% představovaly „bezpečné“ úniky – tzn. data byla šifrována. (Breach Level Index)