انتخاب گذرواژه ایمن

عکس های جذاب امروز

ارسال برای دوستان

باور عمومی این است که گذرواژه های قوی و شناخت کاربران از نشانی های مخرب اینترنتی بهترین سد دفاعی در محافظت از نرم افزار و اطلاعات است. “کورمک هرلی” (۱) از محققان شرکت مایکروسافت یک تحلیل هزینه و فایده درباره این عقیده رایج انجام داده و این شایبه را مطرح کرده است که هزینه های مدیریت گذرواژه ها از سود آن بیشتر است.
نتیجه تحقیق هرلی در مورد مزایای استفاده از گذرواژه قوی نشان می دهد که هر چند این اقدام کاربران را از متحمل شدن هزینه حملات سایبری به صورت مستقیم در امان نگاه می دارد، اما هزینه فوق العاده بیشتری را به صورت غیر مستقیم و در قالب زمانی که برای آموزش صرف می شود به آنان تحمیل می کند.
“نیل روبنکینگ” (۲) که تحقیق هرلی را روی وبلاگ خود منتشر کرد، استدلال وی را چنین تفسیر می کند: “کاربرانی که به توصیه های امنیتی اهمیت نمی دهند بی ملاحظه یا ندانم کار نیستند، بلکه احتمالاً به صورت ناخودآگاه متناسب با سطح اهمیت اطلاعات و نرم افزاری که با آن کار می کنند رفتار می کنند. توصیه های امنیتی پیچیده هستند و احتمالاً به کار بستن آنها خیلی دشوار است.”
هرلی معتقد است که عامل مغفول مانده در ملاحظات و تحلیل های امنیتی زمان است. شاید زمانی که از کاربران برای آموزش اصول امنیتی و توجیه آنان گرفته می شود با زمان و هزینه ای که از طریق پیشگیری از حملات و آسیب های امنیتی صرفه جویی می شود برابر یا حتی از آن بیشتر باشد. در این صورت، آیا این همه صرف زمان و هزینه توجیه پذیر است؟ او چنین توضیح می دهد: “ما به تحلیل دقیق تر و بهتری از زیانی که متوجه کاربران است نیاز داریم. این حقیقت که وقتی کاربران مورد حمله سایبری مواجه می شوند، در درجه اول وقت را از دست می دهند، نه پول تاکنون به درستی مورد توجه قرار نگرفته است. چیزی هم که توصیه های متعدد امنیتی از کاربر می گیرد، همان زمان است.”
هرلی در ضمن توضیحاتش به این نکته اشاره می کند که هزینه آموزش متوجه کل یک جمعیت آماری مورد بحث است، اما منافع پیشگیری از حملات سایبری یا خنثی سازی آنها فقط در مورد بخش کوچکی از کاربران مصداق پیدا می کند که به آنها حمله می شود. هزینه آموزش ها باید با نرخ کاربرانی که قربانی حملات امنیتی می شوند، متناسب باشد. روبنکین با تأکید بر بخش دیگری از تحقیق هرلی که در آن مشخص شد که آموزش کاربران برای شناسایی روش های غیر مجاز دسترسی به گذرواژه و کلمه عبور (۳) به هیچ وجه مفید نیست و ارزش صرف وقت را ندارد. هرلی با انجام محاسباتی نشان می دهد که اگر این کار روزی یک دقیقه وقت هر نیروی کار را بگیرد، در یک سال برای اقتصاد آمریکا ۱۵/۹ میلیارد دلار هزینه در برخواهد داشت. به عبارت دیگر، آموزش به خاطر چیزی که وقوع آن چندان هم قطعی نیست، یا فقط برای بخش کوچکی از آموزش گیرندگان قطعی است، در هر ساعت ۲/۶ میلیارد دلار هزینه به اقتصاد این کشور تحمیل می کند.
روبنکینگ می گوید، هنوز گذرواژه های پیچیده و غیر قابل حدس زدن سهم عمده ای در تضمین امنیت اطلاعات کاربران دارند. او پیشنهاد می کند که عملیات انتخاب گذرواژه برای کاربران عادی، به کمک یک نرم افزار مدیریت گذرواژه، تا حد امکان مکانیزه شود.
به نظر هرلی: “توصیه ها و آموزش های امنیتی هزینه ای را به کل سازمان تحمیل می کند، در صورتی که بازگشت این هزینه توسط بخش کوچکی از کاربران که مورد حملات سایبری قرار می گیرند – و البته به کمک آموزش های که دیده اند آن را خنثی می کنند – صورت می پذیرد. وقتی نسبت این دو گروه کوچک باشد، کاستن از محتوای آموزشی به نحوی که ساعات صرف شده برای این کار به میزان قابل توجیه برسد، بسیار دشوار خواهد شد. مثلاً، نمی توان از کاربران خواست در ۰/۰۱ درصد از وقت روزانه خود صرفه جویی کرده آن را به گذراندن دوره های آموزشی در این زمینه اختصاص دهند.”

ضعیف ترین گذرواژه های رایج

با وجود اخبار فراوانی که در مورد هک شدن اطلاعات رایانه ای، کاربران منتشر می شود هنوز هم بسیاری از آنان از عبارت های فوق العاده ساده و مشخص به عنوان گذرواژه استفاده می کنند. شرکت اسپلش دیتا (۴) فهرستی از ضعیف ترین گذرواژگانی که در سال ۲۰۱۱ بیشترین استفاده را داشته اند منتشر کرده است.
بررسی های اسپلش دیتا در میان کاربران رایانه و شبکه نشان داد که گذرواژه ضعیف “password” بیشترین کاربرد را دارد. در ردیف های ۴ و ۲۳ این فهرست عبارت های “qwerty” و “qazwsx” قرار دارد که از درج چند کلید پشت سر هم و یا دو ستون اول از سمت چپ صفحه کلید به دست می آید.
جالب اینکه این فهرست با فهرست گذرواژه های محبوب سال ۲۰۰۹ که توسط شرکت ایمپروا (۵) ارائه شد مطابق نسبی دارد. این موضوع نشان می دهد که فرهنگ کاربران در استفاده از گذرواژگان مناسب تغییر چندانی نکرده است. در ادامه فهرست ضعیف ترین گذرواژه های منتشر شده توسط اسپلش دیتا به قرار زیر است:
۱٫ password
2. 123456
3. 12345678
4. qwerty
5. abc 123
6. monkey
7. 1234567
8. letmein
9. trustno 1
10. dragon
11. baseball
12. 111111
13. iloveyou
14. master
15. sunshine
16. ashley
17. bailey
18. password
19. shadow
20. 123123
21. 654321
22. superman
23. qazwsx
24. michael
25. football
طبق گزارش سال ۲۰۱۰ rockyou.com در آن سال ۳۲ میلیون کلمه کاربری و گذرواژه هک شد. یکی از ایرادهای اصلی گذرواژگان ضعیف، در کنار قابلیت حدس زده شدن توسط نفوذگران، کوتاه بودن طول عبارات آنهاست. فهرست بیست گذرواژه ضعیف طول تاریخ به نقل از گزارش ایمپروا در پی می آید:
۱٫ ۱۲۳۴۵۶
۲٫ ۱۲۳۴۵
۳٫ ۱۲۳۴۵۶۷۸۹
۴٫ Password
5. iloveyou
6. princess
7. rockyou
8. 123456
9. 12345678
10. abc 123
11. Nicole
12. Daniel
13. babygirl
14. monkey
15. Jessica
16. Lovely
17. michael
18. Ashley
19. 654321
20. Qwerty
به موارد فوق استفاده بسیاری از کاربران از اسم کوچکشان را نیز اضافه کنید. در مواردی مانند مورد شماره ۷ فهرست، گذرواژه اسم سایت یا شرکت است.
روش های ساده و مفیدی برای ساختن گذرواژگان قوی با استفاده از حروف ویژه در کنار حروف کوچک و بزرگ وجود دارد که در کارگاه های آموزشی و دوره های توجیهی به کاربران آموزش داده می شود. هرچند آموزش کاربران بدین منظور مورد قبول همه کارشناسان فناوری اطلاعات نیست.
از تحقیقات صورت گرفته می توان نتیجه گرفت که ظرف دو دهه اخیر بهبود کمی در انتخاب گذرواژه صورت گرفته است و این موضوع همچنان به عنوان پاشنه آشیل امنیت اطلاعات باقی مانده است.

منبع: نشریه دانشمند