Czy hasło naprawdę trzeba zmieniać co miesiąc?!

Chyba każda osoba, która kiedykolwiek pracowała w dużej firmie, przypomni sobie udrękę związaną z wymyślaniem nowych haseł co 30 dni. Dla niektórych to męczący obowiązek, inni co miesiąc złoszczą się na wymagania IT, a niektórzy traktują to jako żart, wymyślając coraz dziwniejsze twory. Paradoksalnie, okazuje się, że częste zmiany hasła mogą być pomocne dla cyberprzestępców. Większość z wymyślonych z obowiązku haseł często bywa słaba i łatwa do złamania. Jak często w takim razie powinniśmy zmieniać hasła?

Do niedawna oficjalne zalecenia mówiły, że hasło powinniśmy zmieniać po okresie od 30 do 90 dni. Czasy się zmieniają i obecnie ciężko jest wyobrazić sobie, że zmieniamy tak często hasło do każdego z naszych kont internetowych, dodatkowo pamiętając o tym, aby żadne z nich się nie powtórzyło. Co więcej, okazuje się, że częste zmiany w powtarzanych interwałach czasowych mogą stanowić pomoc dla cyberprzestępców.

- Badania pokazują, że użytkownicy wybierają słabsze hasła, kiedy wiedzą, że i tak niebawem będą musieli je zmienić. Zwykle kolejne hasła są bardzo podobne do poprzednich i przewidywalne np. na końcu dodaje się kolejną cyfrę. W ten sposób, jeśli nasze hasło zostało w przeszłości złamane, cyberprzestępcy mogą zrobić to ponownie bez większego wysiłku – mówi Beniamin Szczepankiewicz, analityk laboratorium antywirusowego ESET.

Co więcej, jeśli często musimy zmieniać hasła, istnieje znacznie większa szansa na to, że zapomnimy je albo co gorsza, zaczniemy zapisywać na kartkach lub w plikach, a to stanowi jeden z największych grzechów cyberbezpieczeństwa.

Ryzyka częstych zmian haseł są na tyle poważne, że instytucje takie jak brytyjskie National Cyber Security Centre oficjalnie odradzają firmom wymuszanie ich na swoich pracownikach i pracownicach[1].

Czy w takim razie nie trzeba zmieniać haseł?

Oczywiście istnieją sytuacje, w których zmiana hasła jest absolutnie konieczna. Oto najważniejsze z nich:

• Twoje hasło wyciekło podczas cyberataku. Prawdopodobnie zostaniesz o tym poinformowany przez firmę, która utraciła dane, ale warto regularnie sprawdzać bezpieczeństwo swoich danych w serwisach rządowych jak np. https://bezpiecznedane.gov.pl/ lub skorzystać ze znanego serwisu https://haveibeenpwned.com/
• Twoje hasło jest słabe i łatwe do odgadnięcia np. znalazł się na jednej z list najpopularniejszych haseł. Cyberprzestępcy lubią sprawdzać, czy takie hasła działają na różnych, losowo wybranych kontach. Bardzo często w ten sposób udaje im się gdzieś włamać.
• Używasz tego samego hasła w kilku różnych miejscach. Jeśli przestępcom uda się włamać na jedno konto, mogą automatycznie dostać się do wszystkich innych.
• Dowiadujesz się, na przykład dzięki oprogramowaniu zabezpieczającemu, że Twoje urządzenie zostało zaatakowane przez złośliwe oprogramowanie.
• Podałeś komuś swoje hasło.
• Logowałeś się na publicznie dostępnym komputerze.

W każdej z wyżej wymienionych sytuacji kluczowa jest jedna zasada: nowe hasło musi być silne i nie może się powtarzać na innych kontach, aby naprawdę zabezpieczyć dostęp do naszego konta.

. To pierwsza i podstawowa zasada, którą wpaja się użytkownikom od dawna. Zawsze korzystajmy z wieloskładnikowego uwierzytelnienia, gdzie tylko to możliwe. Bardzo istotna jest również ostrożność w zachowywaniu haseł w przeglądarkach. Na pozór wydaje się to dobrym i wygodnym rozwiązaniem, jednak jest to zagrożenie dla bezpieczeństwa naszych danych. Przeglądarki są popularnym celem cyberprzestępców, którzy mogą wykorzystywać złośliwe oprogramowanie i przechwytywać hasła – ostrzega Beniamin Szczepankiewicz.

Warto korzystać z menadżerów haseł, które pozwalają tworzyć i zapamiętywać bezpieczne, długie i niepowtarzalne hasła do wielu kont. Niektóre z nich monitorują jakość naszych haseł oraz sprawdzają czy nasze hasło nie pojawiło się darknecie i na czas alarmują użytkownika.

Na szczęście świat powoli zmierza w nowym kierunku tj. pozbycia się haseł takich jakie znamy do tej pory, gdyż coraz bardziej promowane są rozwiązania bezhasłowe. Bardzo prawdopodobne, że takie technologie jak „PassKeys” niedługo rozpowszechnią się na tyle, że zapomnimy o klasycznych hasłach na wielu portalach z których korzystamy.

[1] https://www.ncsc.gov.uk/blog-post/problems-forcing-regular-password-expiry