סיסמאות: החוליה החלשה באבטחת מידע

לפני יותר מ-15 שנה ביצעתי Penetration Test במתקן בנקאי באירופה במסגרת פרויקט ייעוץ של חברת ייעוץ בינלאומית גדולה. באחד מהמקרים עמדתי מאחורי עובד בסניף בנק שנכנס למערכת. העובד היה מורשה להיכנס למערכת אבל ממרחק של כמה מטרים יכולנו אני ויועץ נוסף לדעת בקלות מהי סיסמת הכניסה שלו למערכת. כשהאיש הכניס למערכת את הסיסמה שלו הוא הקיש מספר פעמים על הספרה "1". לא הוקשו ספרות אחרות, אותיות או סימנים אחרים. 
ברגע שידעתי את הסיסמה הייתי יכול, לו רציתי, למצוא הזדמנות ולהיכנס למערכת בשמו, למשל כאשר הוא הולך לדבר עם המנהל שלו או ניגש לשרותים.

אני והיועץ הנוסף לא מהווים בעיה כי Penetration Test הוא ניסיון לחדור למערכת בתשלום ובידיעה של מנהלים בארגון על מנת להפיק דוח של נקודות תורפה והמלצות לתיקונן.
באותה מידה זה היה יכול להיות מישהו אחר שהכוונות שלו טובות פחות.

אחת ההמלצות שלנו הייתה כפיית סיסמאות חזקות יותר במערכת. לא עוד "111111" או "222222", אלא דפוס מורכב יותר של אותיות, מספרים ואולי גם סימנים מיוחדים.

פוסט זה נכתב בעקבות קריאת כתבה של רפאל קהאן ב"כלכליסט" המספר על מחקר של שרות ה-Cyber הבריטי. כותרת הכתבה: הגיע הזמן להחליף סיסמה: גם "ליברפול" ו"רדיוהאד" זה לא מקורי. 

במחקר נותחו מספר רב של סיסמאות מתוך מאגרים של סיסמאות שנפרצו בשנים האחרונות ומצוינים דפוסי סיסמאות קלים לפריצה. 
בפוסט זה אשלב כמה מהממצאים עם תובנות שלי והמלצות שלי.

הדפוס הכי קל לניחוש

הסיסמה הנפוצה ביותר במאגרים מזכירה קצת את מה שראיתי באותה עבודה לפני יותר מ-15 שנים. 
הסיסמה הנפוצה ביותר במאגר לא הייתה "111111", שאני ראיתי, אלא "123456". נמצאה שכיחות גבוהה גם לסיסמאות אחרות קלות לניחוש בסגנון דומה, למשל: "123456789". 

ההמלצה שלי

סיסמאות כאלה הן נחות לזכירה אבל קלות לניחוש. 
הימנעו מסיסמאות המורכבות מספרות בלבד בדפוס פשוט וקל לניחוש.

שמות משמעותיים

במחקר המצוטט ב"כלכליסט" נמצא כי במקרים רבים משתמשים בוחרים כסיסמה שם של קבוצת ספורט אהודה, להקה אהובה או סרט שהתרשמו ממנו במיוחד. 
עברייני רשת יכולים בקלות להגיע לסיסמה כזו. כל מה שהם צריכים זה להיכנס לדף ה-Facebook של אותו אדם. הם יראו שם סמל של הקבוצה האהודה או סרטון מוזיקלי של הלהקה האהובה ולא מעט פוסטים שמחים כשהקבוצה מנצחת או הלהקה מופיעה. 
מכאן ועד לניחוש מושכל של הסיסמה הדרך קצרה. 

הכתבה לא עוסקת בשמות משמעותיים אחרים כסיסמה אבל כשאתם בוחרים כסיסמה את השם שלכם, השם של בת זוגכם האהובה, הבן או הבת הצעירים או חיית המחמד, הדרך לזיהוי הסיסמה דומה למה שתואר לעיל. 

שימו לב שאין בעיה לבחור שם שמשמעותי לכם ומי שנכנס לדף שלכם ברשתות החברתיות לא ימצא עליו דבר.
למשל: שמה של האקסית המיתולוגית לפני 30 או 40 שנה, שמאז לא הייתם איתה בקשר, שמו של דב הפנדה שפגשתם בגן חיות לפני 25 שנים או פילוסוף לא כל כך ידוע שהוזכר בקורס מבוא לפילוסופיה והרשים אותכם בצעירותכם אבל מאז התבגרתם ולא הזכרתם את שמו או את תפיסת העולם שלו.

ההמלצה שלי

הימנעו מבחירת שמות משמעותיים לכם, שאחרים יודעים שהם משמעותיים לכם ו/או עולים בתדירות גבוהה ברשתות החברתיות שלכם או באלבומי התמונות שלכם. 
כשאתם בוחרים שם משמעותי שאינו מופיע שם הוסיפו לו גם כמה ספרות.

OTP

OTP הן ראשי תיבות של: One Time Password. אתם נכנסים לאתר נותנים פרטים מזהים ונשלחת אליכם סיסמה חד פעמית, התקפה לזמן קצר.
לרוב נשלחת הסיסמה באמצעות הודעת SMS. אפשר גם באמצעות הודעת דוא"ל. 

היתרונות הן שמדובר בסיסמה שאינה משמעותית למקבל הסיסמה ולכן קשה לנחש אותה ומשך הזמן הקצר בו היא תקפה.

החיסרון הוא שמישהו שיודע את הפרטים המזהים שלכם ומשום מה נפל לידיו הטלפון הסלולרי שלכם יוכל לבצע פעולות במקומכם וללא ידיעתכם.

ההמלצה שלי    

אין ספק שהיתרונות של OTP עולים על חסרונותיו. השתמשו ב-OLTP כשזה ניתן. העדיפו אותו על פני סיסמאות רגילות.  

הצורך בססמאות למספר גדול של אתרים ויישומים 

בתקופה עמוסת אתרי אינטרנט ואפליקציות צריכים נספר רב של סיסמאות.

מי יכול זכור כל כך הרבה סיסמאות? מי יכול להחליף כל כך הרבה סיסמאות תקופתית?

מי יכול לרשום על דף את כל האתרים והסיסמאות ולמחוק ולשנות בכל פעם שמשנים סיסמה? ואם יגנבו לכם את הדף עם הסיסמאות? 

אחד הפיתרונות של חלק מהאנשים הוא להשתמש באותה סיסמה ברוב המקומות או בכל המקומות, אם זה ניתן. 

אני לא היחיד שיודע את מה שכתבתי כאן. גם אלה שפורצים לאתרים וגונבים סיסמאות ביחד עם פרטים מזהים יודעים את זה. 

כשהם פורצים לאתר כמו Facebook או Linkrdin הם מנסים את הסיסמה והפרטים המזהים גם באתרים אחרים כמו אתרים של כרטיסי אשראי, בנקים ואתר Paypal. 

ב-Facebook הם אולי יכולים להעלות בשמכם תמונות פורנוגרפיות (כמו שקרה לגברת אחת שאני מכיר בשנות ה-70 של חייה). בבנק או באמצעות הפרטים של כרטיס האשראי הם יכולים לגנוב מכם סכומי כסף נכבדים.

ההמלצה שלי   

אם אתם יכולים לנהל סיסמה נפרדת לכל אתר או אפליקציה זהו פיתרון טוב. 

אם אינכם יכולים, לפחות תפרידו בין סיסמאות לאתרים רגישים (בנקים, כרטיסי אשראי וכיו"ב) לבין אתרים פחות רגישים ותקבעו סיסמאות שונות. 

הסיכוי שיגנבו את הססמאות שלכם באתרים הפחות רגישים הוא גדול יותר. הפרדה כזו עשויה להקטין את הנזקים העלולים להיגרם לכם.

הערת שוליים  

לא מיציתי בפוסט זה את כל האפשרויות. בין השאר לא הזכרתי זיהוי ביומטרי במקום ססמאות ושימוש בתוכנה לניהול ססמאות.

זהירות: נחשפו מספר רב של סיסמאות ב-Linkedin

חברת אבטחת המידע Kaspersky פירסמה ב-18 במאי 2016 אזהרה לפיה נפרצו  סיסמאות של הרשת המקצועית Linkedin (לפי הפורץ מדובר על 117 מיליון שמות משתמש וסיסמאות). חברת האבטחה ממליצה למשתמשי הרשת המקצועית לשנות מיד את סיסמתם ברשת Linkedin.  

לקריאת ההודעה של Kaspersky קראו:

Change your Linkedin password NOW

אני מצטרף להמלצת חברת האבטחה. היות שבלוג זה עוסק בכלכלת המשפחה, אתמקד בנזקים הכלכליים העלולים להיגרם לכם אם לא תשנו את הסיסמה.

פרטי הפריצה וגניבת הסימאות
מדובר בפריצה שנעשתה בשנת 2012. ההערכה הייתה שמספר זיהויי משתמש וסיסמאותיהם שנחשפו אינו גדול והכל חזר למסלול הרגיל. אלא שבימים אלה פירסם ההאקר שהוא מעוניין למכור 117 מיליון שמות משתמש וסיסמאות.      

השוואה לפריצת ססימאות אחרות עליה כתבתי

בעבר פרסמתי פוסט על פריצת סיסמאות לכרטיסי אשראי: כרטיסי האשראי שנחשפו על ידי האקרים באינטרנט. בפוסט הקודם לא הייתי צריך להסביר מדוע פריצת סיסמאות עלולה להסב לכם נזק כלכלי.

ידיעת הסיסמה שלכם ברשת חברתית או מקצועית, לכאורה, לא יכולה להסב לכם נזק כלכלי ישיר ולכן אסביר מדוע עלול להיגרם לכם נזק.

נזקים ישירים ברשת Linkedin

עלולים להיגרם לכם נזקים כלכליים גם משימוש בזהות שלכם ברשת חברתית.

1. גניבת זהות

מישהו יכול להשתמש בזהות שלכם ב-Linkedin לביצוע תרגילי עוקץ ניגרי ועוקצים דומים.

המנגנון: מישהו פונה אליכם עם סיפור על קרוב משפחתו שהוא מנהיג אפריקאי או כבנקאי כביכול שלקוח ערירי ועשיר שלו נפטר. בשני המקרים מוצג כאילו יש הרבה כסף. הוא מציע לכם אחוזים מהכסף. התנאי לכך הוא שתאפשרו העברת כל הכסף לחשבון הבנק שלכם. ברגע שתתנו לו את מספר חשבון הבנק שלכם לא ייכנס כסף לחשבון שלכם. במקום זאת יימשך כסף.

גונב הזהות שלכם יציע בשמכם את העסקה הזו ל-connections שלכם. קרוב לודאי שמי שיעלה על התרמית מיד יפסיק להיות Connection שלכם. 

מי שייעקץ, יראה בכם אשמים בתרמית על לא עוול בכפיכם (למעט חוסר זהירות ואי שינוי מידי של סיסמתכם).

2. פחות הצעות עבודה

אם אתם עצמאים או מחפשי עבודה או מוכנים להחליף את מקום עבודתכם במקום עבודה אטרקטיבי יותר, עלול להיגרם לכם נזק כלכלי גדול.

מי שיודע את הסיסמה שלכם, עלול לשנות את הפרופיל המקצועי שלכם ב-Linkedin או אפילו למחוק אותו.

בעולם של היום לפעמים הפרופיל המקצועי שלכם ב-Linkedin חשוב יותר מקורות החיים שתשלחו למקומות עבודה פוטנציאליים. את קורות החיים לא בטוח שיקראו. את הפרופיל שלכם כנראה שכן.

עוד לא הזכרתי פניות יזומות אליכם של כאלה שקוראים את הפרופיל שלכם ב-Linkedin ועשויים ביוזמתם להציע לכם עבודה.

אני קיבלתי לא מעט פניות כאלה. כמובן שפניה אליכם אינה מבטיחה בהכרח עבודה, אבל היא נקודת פתיחה טובה. 

3. וירוסים, תולעים ודיוג (Phishing)

כל אלה עלולים להתבצע כביכול על ידכם, אם יבוצעו על ידי הפורצים תחת שמכם.

מי שידויג או ייפגע מוירוס טרויאני או תולעת, לא ממש יחוש ידידות והערכה כלפיכם.

אגב, גם הקשרים עם מי שיאבחן זאת כדיוג, וירוס או תולעת ולא ייפגע עלולים להידרדר.

4. Networking

בעולם של היום Networking הוא דבר חשוב ומשמעותי מבחינה חברתית וחשוב אף יותר מבחינה מקצועית. 

ממה שתיארתי לעיל אתם בודאי מבינים את פוטנציאל הפגיעה האפשרית במיצוב שלכם בעולם ה-Networking. 

נזקים עקיפים ומשמעותיים הרבה יותר

1. אם אתם משתמשים באותה סיסמה גם באתרים אחרים, כמו שהרבה משתמשים עושים, אתם עלולים להיחשף לחדירה גם לאתרים אחרים שלכם.

כשמישהו ישתמש, חס וחלילה, בזהות שלכם באתר הבנק שלכם, אתר כרטיסי האשראי שלכם או אתר Paypal, עלול להיגרם לכם נזק כלכלי ישיר ומשמעותי. זהו הסיכון הגדול והמשמעותי ביותר.

2. אם יש לכם דפוס קל לזיהוי של מבנה סיסמה למי שיודע את סיסמת ה-Linkedin שלכם יהיה קל יותר לפצח את הסיסמה שלכם בבנק או בחברת כרטיסי האשראי או באתר עסקי אחר.

גם זה סיכון משמעותי במיוחד.

לסיכום

בכל מצב בו יש לכם רושם שמישהו יודע  את הסיסמה שלכם לאתר אינטרנט, עדיף להחליף מיד סיסמה.

לא תמיד תדעו להעריך את פוטנציאל הנזק. כמעט תמיד תעריכו אותו בהערכת חסר.