Kodėl nuteka slaptažodžiai

Frazė „nulaužė mano slaptažodį“ leidžia manyti, kad kažkas tavo el. pašto adresui parinkinėjo raides. Iš tikrųjų beveik visada įsilaužiama į paslaugą: parduotuvę, forumą, pristatymo tarnybą. Iš ten išnešama visa duomenų bazė - iškart milijonai įrašų, o tavo slaptažodis joje tėra vienas iš jų.

Rūpestinga paslauga slaptažodžio nesaugo. Ji saugo maišos reikšmę - negrįžtamą atspaudą, papildytą atsitiktine, kiekvienam naudotojui skirtinga druska ir apskaičiuotą tyčia lėtu algoritmu: tada iš pavogtos duomenų bazės atkurti slaptažodžius brangu. Tačiau taip darė ne visi. Kai kur slaptažodžiai gulėjo atviruoju tekstu, kai kur buvo naudojamas greitas maišos algoritmas, kuriam vaizdo plokštė per sekundę gali išbandyti milijardus variantų.

Toliau veikia ne įsilaužimas, o aritmetika. Tavo prisijungimo vardas beveik visur tas pats - el. pašto adresas. Jei kartojasi ir slaptažodis, pavogtoje bazėje esanti pora „el. paštas + slaptažodis“ tinka ir pašto dėžutei, ir prekyvietei, ir žaidimo paskyrai.

Todėl nutekėjimas turi antrą gyvenimą. Paruošti prisijungimo duomenų porų sąrašai botais iš eilės tikrinami šimtuose svetainių - tai vadinama prisijungimo duomenų kimšimu. Pavyksta retai, per dalį procento bandymų, tačiau kai porų milijonai - tai dešimtys tūkstančių svetimų paskyrų. Grandinę nutraukia tik antrasis veiksnys: kodas ar raktas, kurio duomenų bazėje nebuvo.

Iš čia nemaloni išvada: ilgis ir specialieji simboliai beveik neturi įtakos tam, ar slaptažodis nutekės, - tik tam, kiek laiko užtruks jį atkurti iš maišos reikšmės. Nuo nutekėjimo saugo ne sudėtingumas, o unikalumas. Kita istorija - įprotis keisti slaptažodį kas 3 mėnesius: įrodymų, kad tai mažina riziką, taip ir neatsirado, tačiau matyti, kad žmonės juos keičia nuspėjamai, prie seno slaptažodžio pridėdami skaitmenį. 2017 metais JAV standartų institutas NIST iš savo rekomendacijų pašalino reikalavimą keisti slaptažodį pagal grafiką.

Nutekėjimo galiojimo laikas ilgas: duomenų bazė gali metų metus keliauti iš rankų į rankas, kol pasirodo viešame archyve, - visas LinkedIn pavogtų duomenų kiekis buvo paskelbtas praėjus 4 metams po įsilaužimo. Todėl laiškas „jūsų duomenys buvo nutekinti“ gali būti apie paslaugą, kurią seniai pamiršai.

Pirma reakcija į tokį laišką - pulti keisti viską iš eilės ir mesti nebaigus. Naudingiau veikti tvarkingai: pirmiausia el. paštas, paskui paslaugos su tuo pačiu slaptažodžiu.