Az oldalon a jelszavak biztonságos kialakításával, kezelésével és védelmével kapcsolatos általános, valamint vállalati környezetben használható információk találhatók.

Tartalom

I. Jelszó használat – általános tudnivalók
II. Kockázatokkal arányos védelem
III. Jelszóképzési (jelszóválasztási) szabályok, alapelvek
IV. Jelszavak kezelésére vonatkozó alapvető szabályok (jelszóvédelem)
V. A jó jelszó
VI. Legrosszabb jelszavak
VII. A jelszó erősségének ellenőrzése
VIII. Jelszómenedzser programok
IX. Támadási formák
X. Vállalati környezet

 I. Jelszó használat – általános tudnivalók

Adataink védelmének egyik fontos – és már régóta jelen levő – eleme a jelszavak alkalmazása. Az informatikai eszközökben és rendszerekben (pl. számítógép, router, web áruház, internet bank, webes levelező rendszer vagy vállalati alkalmazás) a felhasználók hitelesítésének alapvető módja a jelszó megadása. Tekintve, hogy egyre több tevékenységünk az internet világában zajlik, a jelszavak fontosságával és a nem megfelelő jelszókezelés következményeivel mindenkinek tisztában kell lennie. Amennyiben érzékeny információinkat védő jelszavaink mások tudomására jutnak, az olyan, mintha kulcsot adnánk a bankban tárolt pénzünkhöz, email levelezésünkhöz, így akár a nevünkben is vásárolhatnak a web áruházakban.

A megfelelően erős jelszó kialakítása alapos átgondolást igényel, mivel meg kell találni az egyensúlyt a biztonság és a használhatóság között. Ez alatt azt kell érteni, hogy az egyszerű (jól használható), és emiatt általában könnyen megjegyezhető jelszavak sokkal hamarabb kitalálhatóak vagy feltörhetőek, így kevésbé biztonságosak. A bonyolult jelszavak biztonsága nagyságrendekkel jobb, azonban e tulajdonsága miatt nehezebben jegyezhető meg (kevésbé jól használható), így az ember hamarabb fordul ahhoz a módszerhez, hogy felírja valahová (pl. a monitorra ragasztott cetlire).

Jelszó biztonság (komplexitás) és használhatóság kapcsolata

II. Kockázatokkal arányos védelem

Az itt leírt szabályok általános érvényűek, mind otthoni, mind vállalati környezetben. Nyilván, ha egy étterem étlapjának egyszeri letöltéséhez bejelentkezésre van szükség, az nem ugyanaz a kategória, mint amit vállalati (pl. törvényi megfelelés miatt szigorúbb) környezetben várunk el a felhasználóktól. Úgy is fogalmazhatjuk, hogy céges környezetben az alábbi feltételek szinte mindegyikének alkalmazása kötelező, míg otthoni felhasználás esetén az egyén biztonságtudatossága és az adott rendszerben tárolt információ fontossága alapján kell döntenünk a jelszavak létrehozása, kezelése során.

Mindig mérlegelni kell, hogy a jelszó kitudódása milyen hátrányos (pl. pénzügyi, hírnév) következménnyel jár ránk, illetve az általunk képviselt cégre (és informatikai rendszerre) nézve. A fontos (érzékeny) adatainkat védjük erősebb jelszóval!
Ez a kockázatokkal arányos védelem, amit minden pontnál figyelembe kell venni!


III. Jelszóképzési (jelszóválasztási) szabályok, alapelvek

Akár otthoni, akár vállalati környezetben kell jelszavakat létrehozni, célszerű figyelembe venni az alábbi tanácsokat, amelyek tiltó (mi az, amit a jelszó ne tartalmazzon), illetve elvárt (mi az, amit a jelszó feltétlenül tartalmazzon) elemekre bonthatók.
Nézzük tehát, hogyan lehet biztonságos jelszavakat létrehozni!

Ha csak egy dolgot akarsz megjegyezni ebből a fejezetből, ez legyen az:
Megfelelően hosszú és komplexitású jelszót válasszunk!

Tiltások a jelszavak képzésével kapcsolatban

1. A jelszó nem egyezhet meg a felhasználói azonosítóval (pl. admin/admin), mert így az egyik adat ismeretében a másik is azonnal elérhető.
2. Ne legyen rövid jelszavunk (pl. 1-5 karakter hosszú, mert ez könnyen feltörhető).
3. Tilos jelszó nélkül, csak egy „Enter” billentyű leütésével belépni a rendszerekbe.
4. Ne legyen olyan jelszavunk, amely bármely módon köthető a használójához (pl. becenév, személyes adatok, telefonszámok, saját magunk vagy a gyerek születési dátuma, családtagok, barátok, kedvenc focicsapat vagy háziállat neve). Az ilyen jelszavak illetéktelenek számára egykönnyen kideríthetőek (pl. Facebook profil tanulmányozása révén) és könnyen megjegyezhetőek.
5. Ne tartalmazzon egymást követő azonos, csökkenő vagy növekvő számokat vagy karaktereket (pl. 11111, 12345, 98765, aaaaa, abcdef, qwertz), mert ez jelentősen megkönnyíti a feltörhetőséget az összes létező kombinációt kipróbáló (brute force) támadások esetében. Lásd még IX. Támadási formák részt.
6. Ne legyen olvasható összefüggő szövegként, illetve ne legyen ismert, vagy bármely nyelv szótárában is szereplő értelmes szó - valamint ezek számjeggyel kiegészített változatai -  mert ez a szótár alapú (dictionary attack) támadások esetében könnyíti meg a feltörhetőséget. A szavak visszafelé leírt változata sem erősíti a jelszavakat, mivel erre a szótár-alapú támadások fel vannak készítve. Lásd még IX. Támadási formák részt. 
7. A nemzeti billentyűzetek különbözősége miatt kerüljük az ékezetes karaktereket, amennyiben jelszavunkat nem csak az adott anyaországunkban használjuk (pl. ha egy külföldi ország internet kávézójában, vagy repterén található számítógépen szeretnénk elérni a levelezésünket, akkor az ottani billentyűzeten nem fogjuk megtalálni a magyarban létező áéíúőűóöü betűket, illetve nagy valószínűséggel az Y, Z és 0 (nulla) karakterek is máshol találhatóak).  Ha biztosak vagyunk benne, hogy csak olyan eszközöket használunk, amelyeken mindig rendelkezésre állnak az említett karakterek, vagy lemondunk a külföldi, idegen számítógépen történő bejelentkezésről (esetleg visszük magunkkal a saját gépünket), akkor ezek a speciális karakterek még növelik is a jelszó biztonságát (bonyolultságát).

Elvárások a jelszavak képzésével kapcsolatban

1. A jelszó hossza legalább 6-8 karakter legyen. A feltöréseknek való ellenállás szempontjából ez az egyik legfontosabb paraméter. Minél hosszabb a jelszó, annál biztonságosabb.
2. Komplexitását tekintve tartalmazzon kis- és nagybetűket, számokat és lehetőleg speciális (! " # $     % & ' (  ) * + ,   - . / : ; < = >     ? @ [   ] ^ _ `  { | } ~) karaktereket is. Ez utóbbi karaktercsoport szintén jelentősen növeli a jelszavak biztonságát. Vállalati környezetben érdemes konzultálni a rendszergazdákkal, mert léteznek olyan alkalmazások, amelyek pl. az ékezetes vagy különleges karaktereket nem fogadják el!
3. Könnyen megjegyezhető (de mégis erős) jelszót válasszunk. Ilyenek a jelmondat alapú betűszavak. Vegyünk egy kedvenc verset, vagy szólást, pl.: „Isten, áldd meg a magyart, jó kedvvel, bőséggel”, majd ennek a kezdőbetűiből állítsuk elő a betűszót: „iamamjkb”. Ezt követően a betűk közül néhányat cseréljünk, vagy egészítsünk ki nagybetűre, számra, speciális karakterekre, pl.: „I@m@m6Jkb”. Máris megalkottuk az erős, de mégis könnyen felidézhető jelszót.

A rockyou.com weboldal 32 millió jelszavának hosszúság szerinti eloszlása

IV. Jelszavak kezelésére vonatkozó alapvető szabályok (jelszóvédelem)

Ha az előző pont alapján létrehoztunk egy biztonságos jelszót, azt nem szabad magára hagyni, a későbbi kezelése során is karban kell tartani, figyelni kell rá. Az alábbiakban ehhez olvashatók alapvető szabályok.

Ha csak egy dolgot akarsz megjegyezni ebből a fejezetből, ez legyen az:
A jelszót titokban kell tartani és rendszeres időközönként cserélni kell!

Általános szabályok

1. A jelszavakat titokban kell tartani. A jelszót tilos másoknak (ismerősök, kolléga, családtag stb.) elmondani, megosztani, ebből következően a közös jelszavak használata sem célszerű. Társaságban, munkahelyünkön, ne beszéljünk arról, hogy mely rendszerekben milyen jelszavakat használunk (még utalás szintjén se). Célszerű a jelszóképzési szabályunkat is titokban tartani, tekintve, hogy bár a jelszót nem adtuk ki, ennek birtokában nagyságrendekkel könnyebb egy jelszót kitalálni, feltörni.
2. Kerülni kell a nem biztonságos csatornákon (pl. elektronikus levélben) való továbbítást.
3. Kerüljük a jelszavak látható helyen való tárolását (pl. monitorra ragasztott cetli).
4. Hiába van egy erős jelszavunk, ha azt könnyel elérhető helyen tároljuk (pl. mobiltelefonban, kockás füzet az irodai fiókban, megosztott állomány a szerveren). Ilyen módon bárki számára könnyen megszerezhető.
5. Amennyiben azt gyanítjuk, hogy jelszavunkat valaki megismerte (kitudódott, kompromittálódott), azt azonnal le kell cserélni, meg kell változtatni. Céges környezetben javasolt az informatikai (biztonsági) szervezetet is értesíteni, hogy utána járhasson a problémának és megelőzhessen egy esetleges komolyabb biztonsági incidenst.
6. Cseréljük jelszavunkat a kockázatokkal arányos védelemnek megfelelő gyakorisággal. A fontos (pl. banki, levelezés) adatainkat védő rendszereknél sűrűbben (pl. félévente, vagy sűrűbben), míg máshol ritkábban cseréljük, mivel a jelszavak tudtunkon kívül is nyilvánosságra kerülhetnek (pl. a szolgáltatók rendszerét ért támadás és jelszó kitudódás esetén egészségügyi, pénzügyi vagy on-line tárolt adataink, webes levelezésünk kerülhet illetéktelenek kezébe).
7. Amennyiben az aktuális jelszavunkat cseréljük le (pl. lejárt vagy kitudódott) nem célszerű a korábban használtak közül egyiket sem megadni, mert nem lehetünk biztosak abban, hogy azok korábban már nem kompromittálódtak.
8. Jelszócsere során tilos ugyanazt a jelszót ismét megadni, amit jelenleg is használunk (tehát valójában nem változik a jelszavunk, ami óriási biztonsági kockázat). Ennek megakadályozását a jelszókezelő rendszernek is támogatnia illik.
9. Kerüljük a böngészők és weboldalak jelszó megjegyző és automatikus beléptetési funkciójának használatát, amelyek révén illetéktelenek – jelszavunk ismerete nélkül – is hozzáférhetnek védett adatainkhoz.
10. Tekintve, hogy a böngészők „űrlapadatok” funkciója megjegyzi a beírt információkat, a weboldalakon található kérdőívekbe, űrlapokba soha ne adjuk meg a jelszavunkat.
11. Amennyiben egy regisztráció során az adott rendszer készít kezdeti (első) jelszót, azt az első bejelentkezés alkalmával meg kell változtatni.
12. Minden jelszót csak egy helyen használjunk (egy jelszó = egy rendszer). Amennyiben ugyanazt a jelszót használnánk minden rendszerhez, elég lenne csak a leggyengébb rendszert támadva megszerezni a jelszót, máris minden rendszerünkhöz hozzáférést kapna a támadó. Különösen figyelni kell arra, hogy a munkahelyi rendszerekben használt jelszavakat tilos más helyen is alkalmazni (pl. személyes használatú internetes regisztráció során).
13. A számítógépeken, okostelefonokon és tableteken kívül ne feledkezzünk meg az általunk használt egyéb eszközök (pl. router, IP kamera, IoT eszközök) jelszavainak megfelelő kialakításáról és védelméről sem, mert az utóbbi időszak internetes támadásainak célpontjában pont ezek az eszközök állnak.

Az alábbi képeken látható, hogyan fest mindez a gyakorlattban
Forrás: ESET - antivirus.blog.hu

Hogyan kezelik a felhasználók a jelszavakat?

Jelszó csere gyakorisága

Jelszóváltoztatás

Új jelszó képzése

Jelszó tárolás

Jelszó menedzserek

Komplexitás megoszlása

Mobil eszközök védelme

1. Egyéni használat esetén is erősen ajánlott, vállalati környezetben viszont szerintem kötelező a hordozható eszközök (legalább PIN kódos) védelmét (zárolását) bekapcsolni (és itt nem a SIM kártya PIN kódjára gondolok). A készülékek zárolásának feloldására a PIN kódon kívül – eszközöktől függően – megadható még jelszó, képernyőzár minta, arcfelismerés vagy akár ujjlenyomat olvasás is. Miért fontos ez? Gondoljunk csak bele! Ha elveszítjük a zárolás nélküli mobil eszközünket, bárki, aki megtalálja, olvashatja levelezésünket, láthatja privát fényképeinket, írhat a nevünkben a közösségi oldalakra! Vállalati környezetben ez még problémásabb, hiszen hozzáférhetnek a céges levelezéshez, hálózathoz, de ezen keresztül (amennyiben működik rajta céges postafiók) hozzáférhető a teljes céges címlista!
2. PIN kódok használata esetén legalább 4 karakteres számsort kell alkalmazni. Ne adjunk meg azonos (pl. 1111), növekvő vagy csökkenő (pl. 1234, 9876) kódokat, ezek használatát kerülni – amennyiben technikailag lehetséges, tiltani - kell.
3. Jelszavak megadása esetén a fent leírt általános szabályok itt is érvényesek.
4. Az automatikus képernyő-zárolási időt 1-3 percre célszerű beállítani (ennyi inaktivitás után automatikusan zárol az eszköz és már csak kóddal oldható fel). Ez az idő elegendő a kényelmes használathoz, ugyanakkor elvesztés esetén, a rajta tárolt adatok elérésében, megnehezíti a tolvaj dolgát. Még ha az eszközt el is veszítjük, a rajta tárolt adatok nem kerülhetnek illetéktelen kézbe.

V. A jó jelszó tehát

• legalább 6-8 karakter hosszú
• megfelelően komplex
• nem szerepel egyik nyelv szavai között (nem szótári szó)
• nem köthető a használójához
• a használója számára könnyen megjegyezhető, de ennek ellenére megfelelően erős
• kizárólag a tulajdonosa ismeri
• rendszeresen cserélésre kerül
• csak egy helyen kerül felhasználásra (egy jelszó = egy rendszer)

VI. Legrosszabb jelszavak

Elrettentésképpen álljon itt egy amerikai felmérés arról, hogy az elmúlt években melyek voltak a felhasználók által megadott leggyakoribb és ezáltal legrosszabb jelszavak:
Forrás: www.splashdata.com

Leggyakoribb - legrosszabb jelszavak

Worst passwords 2013

Worst passwords 2012

Legrosszabb jelszavak 2011-2013

VII. A jelszó erősségének ellenőrzése

Amennyiben sikerült megalkotnunk a megfelelően erős jelszavunkat, érdemes azt legalább egy az interneten elérhető, jelszóerősség ellenőrző alkalmazással letesztelni.

Ezekből néhány jól használható és kellően informatív a weblap jobb oldalsávjának tetején is megtalálható. -->

Bár ezek a jelszóerősség tesztetlő alkalmazások a biztonságot szolgálják, minden olyan oldalt kezeljünk egy egészséges paranoiával, amely a jelszavunkat kéri el. Ezért még ezeken a tesztelő oldalakon se adjuk meg az igazi jelszavunkat (!), csupán annak helyettesítő másolatát! Ez azt jelenti, hogy ha a jelszavunk például J@tekV0nat, akkor egy ugyanilyen hosszú és komplexitású, de más karakterekből álló szót adjunk meg (nagybetű helyére másik nagybetűt, kisbetű helyére másik kisbetűt, szám helyére másik számot stb. módon). Így: K&jsoH5ape (ebben ugyanott van kis és nagybetű, szám és speciális karakter, mégsem a jelszavunkat adtuk meg, viszont az erőssége pontosan ugyanaz lesz, mint az eredeti jelszónak, tehát a tesztre tökéletes).

VIII. Jelszómenedzser programok

IX. Támadási formák

Brute-force (nyers-erő, próbálkozásos) támadás: az összes lehetséges kombinációtiteratív sorrendben kipróbálva határozza meg a jelszót, amely így a variációk száma miatt rengeteg ideig tarthat. Sikerességét és hatékonyságát csak a számítási kapacitás és a rendelkezésre álló idő határozza meg. További feltétel, hogy az ellenőrző oldal ne rendelkezzen próbálkozás számra vonatkozó megszorítással.
Dictionary (szótár) támadás: Ebben az esetben

• a nyelv általános szógyakorisági statisztikája szerint a leggyakoribb szótári szavak,
• az eddig napvilágra került jelszavak,
• az előbbiek visszafelé leírt változatai,
• vagy akár az összes szótári szó

X. Vállalati környezet

A vállalati környezetre vonatkozó további jelszókezelési szabályok:

1. A felhasználónak tudatában kell lennie, hogy minden műveletet, melyeket az ő azonosítójával és jelszavával bárki végrehajt, az informatikai rendszer az ő „terhére” könyveli el, és azokért a legtöbb cégnél személyesen felel és elszámoltatható. Ezért nagyon fontos a jelszavak titkosságának megőrzése (pl. más személyeknek nem adhatja meg, nyilvánosságra nem hozhatja) és kellő körültekintéssel történő (IV. pont Általános szabályok szerinti) kezelése.
2. A jelszót se felettesnek, se rendszergazdáknak nem szabad elárulni, még ha kifejezetten kérik azt, akkor sem. Helyette írjuk be mi a jelszavunkat, úgy, hogy az üzemeltető személyzet azt ne láthassa. Amennyiben ez nem kivitelezhető, a művelet (pl. szerviz tevékenység) előtt és/vagy után cseréljünk jelszót.
3. Alkalmazások, eszközök a velük esetlegesen szállított alapértelmezett jelszavakkal nem használhatóak, azokat kötelező megváltoztatni. Ahol nincs beállítva jelszó, ott meg kell adni.
4. Amennyiben a cég olyan rendszert vezet be (fejleszt), amelyben jelszóbekérés történik, célszerű a jelszómező mellé egy jelszó erősség ellenőrző alkalmazást is beépíteni. Ezek többsége grafikusan (színekkel) jelzi a megfelelően erős jelszót, vagy az adott vállalati jelszó házirendnek való megfelelőséget.
5. Új munkavállaló belépésekor az ideiglenes jelszó átadása csak biztonságos csatornán történhet, a felhasználó előzetes (pl. személyes) azonosítása után. Az ideiglenes jelszavak csak az adott munkanap végéig legyenek érvényesek, megváltoztatásuk az első bejelentkezés alkalmával kötelező. Ezt a rendszernek a felhasználó felé ki is kell kényszerítenie.
6. Telefonon, faxon vagy emailen történő kérésre jelszóváltoztatás nem kezdeményezhető (mert így bárki más jelszavát – a tudta nélkül – meg lehetne változtatni és vissza lehetne élni vele).
7. A jelszónak minden felhasználó számára – a jelszópolitika határain belül – szabadon megváltoztathatónak kell lennie.
8. Amennyiben az adott rendszer nem kényszeríti ki, a felhasználók akkor is kötelesek betartani a jelszóválasztási és változtatási szabályokat.
9. A felhasználói jelszavak esetében (amennyiben az adott rendszerben erre lehetőség van) biztosítani kell a:
   -         minimális jelszóhossz,
   -         jelszó egyediség (történeti tárolás),
   -         első bejelentkezéskori kötelező jelszó csere,
   -         jelszó maximális élettartam,
   -         jelszó minimális élettartam,
   -         jelszó zárolás,
   -         jelszó képzési szabályok – bonyolultsági kritériumok – meghatározását.
10. A jelszókezelő rendszerek támogassák (kényszerítsék ki) az előző pontban leírt követelmények teljesülését. A jelszó lejárat előtt lehetőleg már egy hónappal küldjön értesítést a rendszer a felhasználó részére (tekintve, hogy például a nyári szabadságok idején akár több hétre is szabadságra mehet valaki), majd hetenként küldjön további emlékeztetőt egészen a megváltoztatásig.
11. A hitelesítési folyamatban beírt jelszó ne jelenjen meg az informatikai rendszer olvasható felhasználói felületén (pl. * karakterek jelenjenek meg helyette). Amennyiben mégis látható, a felhasználó köteles gondoskodni arról, hogy más ne láthassa meg az általa beírt jelszót.
12. A jelszó (és a belőle képzett egyedi kódsorozat [hash]) kezelése csak biztonságos csatornán történhet. Jelszavakat, jelszófájlokat tilos a hálózaton nyílt, olvasható (titkosítatlan) formában továbbítani.
13. A jelszavakat nem szabad semmilyen számítógépes rendszeren titkosítás nélkül (pl. egyszerű szövegfájlban) tárolni. A jelszavakat lokálisan, a munkaállomáson – még átmeneti jelleggel is – tilos tárolni.
14. Amennyiben technikailag lehetséges, törekedni kell központi hitelesítés (pl. AD – Active Directory) használatára, Az ettől eltérő (ezt a hitelesítést nem alkalmazó) rendszerekben viszont tilos a központi hitelesítéshez használt jelszót megadni.
15. Az átlag jogosultságoktól eltérő, előjogokkal rendelkező kiemelt felhasználók jelszavaira (pl. rendszergazdák, biztonsági mentést végző felhasználók) szigorúbb (hosszabb, komplexebb, sűrűbben cserélt) jelszóházirendet kell meghatározni.
16. A jelszavakat – a biztonsági másolat kivételével – nem szabad felírni, papíron tárolni. 
17. A kiemelt felhasználók jelszavait a munkahelyi vezetőnél zárt borítékba, páncél vagy vaslemez szekrényben kell tárolni. A legmagasabb jogosultságú felhasználók esetén a jelszóborítékot két példányban, két különböző helyen célszerű tárolni. Lejárat vagy változtatás után a jelszó boríték tartalmát ki kell cserélni.
18. Automatikus bejelentkezési eljárások (például batch fájlok, vagy funkcióbillentyűhöz rendelt makrók) nem tartalmazhatnak felhasználói jelszót.
19. 3-5 sikertelen jelszómegadás után a felhasználói fiók kerüljön zárolásra (a sikertelen próbálkozások száma egyedileg határozandó meg). Egyes rendszerekben azt a módszert alkalmazzák, hogy a megadott sikertelen próbálkozások száma után bizonyos időre (pl. 10 perc) kizárja a felhasználót a rendszer. Ennek leteltét követően újra lehet próbálkozni a megadott számú alkalommal, de ha ekkor sem sikerül a belépés már nagyságrendileg nagyobb ideig (pl. 1 óra) tiltja ki a felhasználót és ez így folytatható tovább (1 nap, 1 hét…). 
20. Azon felhasználók jelszavait, akik az adott rendszerbe a cég által meghatározott napnál régebben léptek be, automatikusan letiltott állapotba kell helyezni. 
21. Az üzemeltetéssel foglalkozó kiemelt felhasználónak (pl. adminisztrátorok) kifejezetten tiltani kell, hogy ugyanazt a jelszót használják a különböző szerverekre (pl. file, levelező, DC, termelési rendszer) történő belépés során.
22. Amennyiben technikailag lehetséges, az informatikai rendszerekben kötelező használni a jelszópolitika (jelszó házirend, jelszó policy) kikényszerítését lehetővé tevő beállításokat (pl. hossz, komplexitás, jelszócsere ideje).
23. A biztonságos jelszóhasználat szabályait érdemes minden felhasználónak oktatni.

Bár az itt talált információk – más formában, de nem ilyen részletesen – az internet több oldalán is  megtalálhatóak, ilyen átfogó leírást sehol sem találtam, ezért hoztam létre ezt az oldalt. Az itt leírtak a saját hozzáállásomat tükrözik.