Parolalar: Onlara Güvenemezsin, Onlarsız Yaşayamazsın…

Dana Tamir, Pazar Stratejisinden Sorumlu Başkan Yardımcısı, Silverfort
2 Mayıs 2019 ulusal şifre günü – şifrelerle 'aşk-nefret' ilişkimizi tartışmak için iyi bir fırsat. Yalnızca parola içeren kimlik doğrulama mekanizmalarına güvenemememizin birçok nedeni vardır. Yine de onlardan gerçekten kurtulamayız. Açıklamama izin ver:

Şifrelerle İlgili Sorun

Kullanıcılardan parola oluşturmaları istendiğinde – yeni hesap açarken veya mevcut hesapların parolalarını değiştirirken – onlar hatırlayabilecekleri şifreleri seçmeleri muhtemeldir. Sorun şu ki, birçok kullanıcı zayıf şifreler, kolayca tahmin edilebilir. Yakın zamanda yayınlanan 2018'de en çok kullanılan şifrelerin listesi kasvetli bir tablo gösterir. En sık kullanılan şifrenin olduğunu iddia ediyor '123456've 2. nokta bariz bir seçimdir, 'parola'.

Doğru, bazı insanlar daha güçlü parolalar kullanıyor. Ancak birçok aynı parolayı birden çok s'de yeniden kullansistemler ve web siteleri. Araştırmalar gösteriyor ki %52 aynı şifreyi tekrar kullanıyor hepsi olmasa da birden çok hesap için, %13'lük bir kesim ise tüm hesapları için aynı parolayı yeniden kullanıyor. Hatta bazıları hem işle ilgili sistemlerde hem de kişisel uygulamalarda aynı parolaları kullanır. Bu, çalınan veya güvenliği ihlal edilen bir kullanıcı parolasını her zamankinden daha değerli hale getirir.

Ayrıca, kullanıcıların parolalarını düzenli olarak değiştirmelerini zorunlu tutmanın yardımcı olabileceğini düşünüyorsanız, üzülerek söylüyorum ki öyle değil. Bunun nedeni, parolalarını düzenli olarak değiştirenlerin, mevcut parolalarında çok sık olarak yalnızca küçük ve öngörülebilir değişiklikler yapmasıdır. Bu zayıflığın bir nedeni, parola seçme rutinleriyle duygusal bağları olabilir.

Microsoft'un son zamanlarda olacağını duyurmasının ardındaki sebep budur. dşifre süre sonu politikalarının kaldırılması"Periyodik parola süre sonu, çok düşük değere sahip eski ve modası geçmiş bir hafifletme yöntemidir ve temel değerimizin herhangi bir belirli değeri zorlamasının değerli olduğuna inanmıyoruz. Kuruluşlar, belirli bir değer önermek veya son kullanma tarihi önermek yerine referans çizgimizden çıkararak, rehberliğimizle çelişmeden algılanan ihtiyaçlarına en uygun olanı seçebilirler.” diye açıklıyor Aaron Margosis.

Bir kullanıcının şifresini elde etmek için deneme yanılma yöntemini kullanan kaba kuvvet saldırılarının ve güvenilir kişi veya kuruluşlardan iletişim kılığına girerek hileli bir şekilde kullanıcının şifrelerini almaya çalışan kimlik avı dolandırıcılıklarının artması şaşırtıcı değildir.

Ele Geçirilmiş Kimlik Bilgilerini İçeren Veri İhlalleri Artıyor

Şimdiye kadar tartıştığımız her şey göz önüne alındığında, güvenliği ihlal edilmiş kimlik bilgilerinin giderek daha fazla ihlalde kullanılması şaşırtıcı değil. Aslında, bugün 4 ihlalden 5'ü güvenliği ihlal edilmiş kimlik bilgilerinin kullanımını içeriyordu. Sorun şu ki, şifreler veya bunlara karşılık gelen hash'ler çalındığında, yetkisiz kullanımlarını tespit etmek veya kısıtlamak zordur. Yoksa öyle mi?

Neden Onlarsız Yaşayamayız?

Neden şifrelerden kurtulamıyoruz? Elbette birisi, kullanıcıların kimliğini doğrulamak için daha iyi bir çözüm bulabilir mi? Evet, bu doğru – kullanıcıların kimliğini doğrulamanın ve kimliklerini doğrulamanın daha iyi yolları var. Ancak, şifreler yakın zamanda kaybolmayacak. Görüyorsunuz, kurumsal ağlarımız parola tabanlı kimlik doğrulama protokolleri üzerine kuruludur ve bu protokoller uzun yıllar bizde kalacaktır. Yerel ve eski sistemlerimizin çoğu, yalnızca parolayla kimlik doğrulaması için tasarlanmıştır. Parolalardan kaçınmak için ağ protokollerimizi değiştirmek ve mevcut sistemlerin ve sunucuların kimlik doğrulama yöntemlerini değiştirmek pratik değildir. Yani hayır, şifreler yakın zamanda kaybolmayacak.

Parolalardan Kurtulamıyorsanız – Parolalara Başka Bir Katman Ekleyin

Gerçek şu ki, yalnızca parola içeren kimlik doğrulama mekanizmaları yeterince güvenli değil. Peki kimlik doğrulama işlemlerini daha güvenli hale getirmek için neler yapılabilir? Cevap bir süredir biliniyordu: onları ek bir kimlik doğrulama mekanizmasıyla katmanlayın.

Çok Faktörlü Kimlik Doğrulama Bazen 2FA olarak adlandırılan (MFA) çözümleri onlarca yıldır mevcuttur. Kullanıcıların hassas sistemlere erişim izni verilmeden önce ek bir faktörle kimlik doğrulaması yapmasını isteyerek bu ek kimlik doğrulama katmanını sağlarlar. Çalınan/tehlikeye atılan kimlik bilgilerinin kötüye kullanılmasını önlemek için etkili ve kritik bir güvenlik önlemi oldukları yıllar içinde kanıtlanmıştır.

Peki Neden Tüm Hassas Sistemlerimizi Korumak İçin Bunları Kullanmıyoruz?

Pek çok kuruluş MFA ile birçok tescilli, yerel ve eski sistemi korumaya çalışırken, bunu yapmayı çok zor buluyor. Bunun nedeni, ana akım MFA çözümleri her korunan sistemde yazılım aracılarının uygulanmasını veya proxy'lerin uygulanmasını veya yerel yapılandırmaları ve entegrasyonları gerektirir. Bu gereksinimler, bu tür sistemlerde konuşlandırmayı zorlaştırır ve bazen imkansız hale getirir.

Nasıl Can Silverfort Yardım Edin?

Silverfort bugüne kadar korunamayanlar da dahil olmak üzere tüm hassas sistemler için MFA'yı sorunsuz bir şekilde etkinleştiren ilk aracısız, proxy'siz kimlik doğrulama platformunu sunar. Bunlar şunları içerir: tescilli, yerel ve eski sistemler, kritik BT altyapısı, dosya paylaşımları ve veritabanları, IoT cihazları, SCADA sunucuları, PACS ve EHR gibi tıbbi sistemler ve daha fazlası.

Daha fazlasını öğrenmek istiyorsanız, lütfen İletişim.

Son Not:

Bu blogu yazarken, birkaç yıl önce başlatılan harika bir kampanyayı hatırladım (kaynağı bilmiyorum):

Parolalarınıza iç çamaşırınız gibi davranın:

1. Bunları asla kimseyle paylaşmayın
2. Bunları düzenli olarak değiştirin
3. Onları masanızdan uzak tutun

4. bir öneride bulunmak istiyorum:

4. Üzerlerine bir şeyler koyun…

Dana Tamir, Başkan Yardımcısı Pazar Stratejisi, Silverfort

Dana, 15 yılı aşkın gerçek dünya uzmanlığı ve önde gelen güvenlik şirketlerinde liderlik rolleri ile siber güvenlik endüstrisinde kıdemli bir kişidir. Önce SilverfortDana, Indegy'de Pazarlamadan Sorumlu Başkan Yardımcısı olarak görev yaptı. Bundan önce, Trusteer'de (2012'de IBM tarafından satın alındı) Kurumsal Güvenlik Direktörü olarak görev yaptı. Ayrıca Imperva, Symantec, Bindview ve Amdocs'ta çeşitli roller üstlendi. Dana, bir dizi endüstri ve satıcı sertifikasına ek olarak Technion – İsrail Teknoloji Enstitüsü'nden bir mühendislik derecesine sahiptir.

Hakkında daha fazla bilgi için Silverfort ve bir demo görmek, İletişim bugün!

Herkesin Ulusal Şifre Günü'nü kutlarız!