Nə üçün parol təhlükəsizliyi bu qədər vacibdir?

Bu gün həyatımızın böyük bir hissəsi rəqəmsal hesablar üzərində qurulub: e-poçt, bank tətbiqləri, sosial şəbəkələr, iş sənədləri və bulud saxlanc xidmətləri. Bütün bu qapıların açarı çox vaxt sadəcə bir paroldur. Əgər həmin açar zəifdirsə, təcavüzkar üçün evinizin qapısını taybatay açıq qoymaqdan fərqi yoxdur.

Statistikalara görə, məlumat sızmalarının böyük əksəriyyəti oğurlanmış və ya zəif parollarla bağlıdır. Bir hesabınız sındırıldıqda, təhlükə yalnız o hesabla məhdudlaşmır — çünki insanların çoxu eyni parolu bir neçə yerdə istifadə edir. Nəticədə bir sızma zəncirvari şəkildə bütün rəqəmsal həyatınızı təhlükə altına ala bilər.

Yaxşı xəbər odur ki, parol təhlükəsizliyi mürəkkəb texniki biliklər tələb etmir. Bir neçə sadə prinsipi mənimsəməklə hesablarınızı avtomatlaşdırılmış hücumların böyük əksəriyyətindən qoruya bilərsiniz. Bu məqalədə həmin prinsipləri addım-addım nəzərdən keçirəcəyik.

Ən çox rast gəlinən zəif parollar

Hər il təhlükəsizlik şirkətləri sızmış məlumat bazalarını təhlil edərək ən çox istifadə olunan parolların siyahısını dərc edirlər. Təəssüf ki, bu siyahılar illərdir demək olar ki, dəyişmir. "123456", "password", "qwerty" və "111111" kimi parollar hələ də milyonlarla hesabda istifadə olunur.

Təcavüzkarlar bu cür parolları saniyələr ərzində sınayan avtomatik proqramlardan istifadə edirlər. Bu üsula "lüğət hücumu" (dictionary attack) deyilir — sistem əvvəlcədən hazırlanmış siyahıdakı bütün variantları sürətlə yoxlayır. Bu səbəbdən ad, doğum tarixi və ya sadə söz birləşmələrindən qaçmaq lazımdır.

Aşağıdakı vərdişlər parolunuzu ciddi şəkildə zəiflədir:

• Adınızı, soyadınızı və ya yaxınlarınızın adını istifadə etmək
• Doğum tarixi, telefon nömrəsi və ya avtomobil nömrəsi əlavə etmək
• Klaviaturadakı ardıcıl düymələr ("qwerty", "asdfgh")
• Eyni parolu bir neçə fərqli saytda istifadə etmək
• Sonuna sadəcə "1" və ya "!" əlavə edərək köhnə parolu "yeniləmək"

Güclü parol necə qurulur?

Güclü parolun iki əsas dayağı var: uzunluq və gözlənilməzlik. Müasir tövsiyələrə görə parol ən azı 12, ideal halda isə 16 və daha çox simvoldan ibarət olmalıdır. Uzunluq parolun sındırılma müddətini eksponensial şəkildə artırır — hər əlavə simvol təcavüzkarın işini qat-qat çətinləşdirir.

İkinci amil gözlənilməzlikdir. Böyük və kiçik hərflərin, rəqəmlərin və xüsusi simvolların (@, #, %, & və s.) qarışığından istifadə etmək parolun ehtimal fəzasını genişləndirir. Lakin bu qarışıq real bir sözdən yaranmamalıdır — məsələn, "P@ssword1" formaca mürəkkəb görünsə də, əslində asanlıqla təxmin edilə bilər.

Ən vacib qayda odur ki, hər hesab üçün fərqli parol istifadə edin. Belə olduqda bir saytdan sızan parol digər hesablarınıza təsir etmir. Bu, təcrübədə tətbiqi çətin görünsə də, bir az sonra danışacağımız parol menecerləri bu problemi tamamilə həll edir.

Parolun sındırılma müddəti

Parolun nə qədər güclü olduğunu başa düşmək üçün onun brute-force (zorla sınama) hücumu ilə nə qədər müddətə sındırıla biləcəyinə baxmaq faydalıdır. Aşağıdakı cədvəl müasir aparatların gücünə əsaslanan təxmini müddətləri göstərir. Rəqəmlərdən aydın görünür ki, uzunluq və simvol müxtəlifliyi nə qədər böyükdürsə, hücum bir o qədər qeyri-mümkün olur.

Bu rəqəmlər təxminidir və hesablama gücünün artması ilə dəyişir, lakin ümumi mənzərəni aydın göstərir. 8 simvollu bir parol bu gün artıq təhlükəsiz sayılmır. 12-16 simvollu, müxtəlif simvolları özündə birləşdirən parol isə uzun illər etibarlı qalır.

Diqqət edin ki, bu cədvəl yalnız birbaşa zorla sınamaya aiddir. Əgər parolunuz lüğətdəki bir sözdürsə, uzunluğundan asılı olmayaraq saniyələr içində tapıla bilər. Buna görə həm uzunluq, həm də gözlənilməzlik eyni vaxtda təmin edilməlidir.

Passfraza — yadda saxlaması asan, sındırması çətin

Uzun və təsadüfi parolları yadda saxlamaq çətindir. Bu problemin ağıllı həlli passfraza, yəni bir neçə təsadüfi sözdən ibarət söz birləşməsidir. Məsələn, "at-günəş-kitab-dəmir" kimi dörd təsadüfi sözdən ibarət ifadə həm çox uzundur, həm də insan üçün yadda saxlaması asandır.

Passfrazanın gücü onun uzunluğundan gəlir. Dörd-beş təsadüfi sözdən ibarət ifadə iyirmidən çox simvol təşkil edir və brute-force hücumu üçün praktiki olaraq sındırılmazdır. Vacib şərt odur ki, sözlər həqiqətən təsadüfi olsun — məşhur bir şeir sətri və ya atalar sözü bu məqsəd üçün yaramaz.

Passfrazanı daha da gücləndirmək üçün sözlərin arasına rəqəm və simvol əlavə edə bilərsiniz, məsələn "at7-günəş!-kitab-dəmir9". Bu üsul xüsusilə hər gün əl ilə daxil etməli olduğunuz əsas parollar — məsələn parol menecerinizin ana parolu — üçün idealdır.

Parol menecerlərindən istifadə

Onlarla fərqli, uzun və təsadüfi parolu yadda saxlamaq insan üçün mümkün deyil. Məhz burada parol menecerləri köməyə çatır. Bu proqramlar bütün parollarınızı şifrələnmiş formada saxlayır və sizə yalnız bir ana parolu yadda saxlamaq qalır. Bilinən nümunələr arasında Bitwarden, 1Password və KeePass var.

Parol menecerinin ən böyük üstünlüyü hər hesab üçün avtomatik olaraq güclü, unikal parol yaratması və onu sizin əvəzinizə saytlara daxil etməsidir. Beləliklə, hər sayt üçün 20 simvollu təsadüfi parol istifadə edə bilər, lakin heç birini əzbərləmək məcburiyyətində qalmazsınız. Əksər menecerlər həm kompüterdə, həm də telefonda işləyir və məlumatları sinxronlaşdırır.

Parol menecerini seçərkən bir neçə məqama diqqət etməyə dəyər:

• Güclü şifrələmə (məsələn AES-256) istifadə etməsi
• Ana parolun heç bir serverdə saxlanmaması (sıfır bilik prinsipi)
• Bütün cihazlarınızda işləməsi və sinxronlaşma imkanı
• İki faktorlu autentifikasiya dəstəyi
• Açıq mənbəli olması və ya müstəqil təhlükəsizlik auditindən keçməsi

İki faktorlu autentifikasiya (2FA)

Ən güclü parol belə tək başına kifayət etməyə bilər. İki faktorlu autentifikasiya (2FA) hesabınıza əlavə bir müdafiə qatı əlavə edir: parolla yanaşı, ikinci bir təsdiq — adətən telefonunuza gələn birdəfəlik kod və ya autentifikator tətbiqinin yaratdığı rəqəm — tələb olunur. Beləliklə, təcavüzkar parolunuzu bilsə belə, ikinci amil olmadan hesaba daxil ola bilmir.

2FA-nın bir neçə forması var. SMS ilə gələn kod ən geniş yayılanı olsa da, ən təhlükəsizi deyil, çünki SIM-kartın oğurlanması riski var. Daha etibarlı seçim Google Authenticator, Microsoft Authenticator və ya Authy kimi tətbiqlərdir. Ən yüksək təhlükəsizlik səviyyəsini isə fiziki təhlükəsizlik açarları (məsələn YubiKey) təmin edir.

Xüsusilə e-poçt, bank və əsas sosial şəbəkə hesablarınızda 2FA-nı mütləq aktivləşdirin. E-poçt hesabı çox vaxt bütün digər hesabların "açarıdır", çünki parolların bərpası ora göndərilir. Bu bir hesabı qorumaq, əslində bütün digər hesablarınızı da qorumaq deməkdir.

Gündəlik parol gigiyenası

Güclü parollar qurmaq işin yalnız bir hissəsidir; onları düzgün istifadə etmək də eyni dərəcədə vacibdir. Parollarınızı heç vaxt e-poçt, mesajlaşma tətbiqi və ya kağız üzərində açıq şəkildə saxlamayın. İctimai Wi-Fi şəbəkələrində həssas hesablara daxil olarkən mümkünsə VPN istifadə edin və brauzerin parolları yadda saxlaması təklifinə diqqətlə yanaşın.

Fişinq (phishing) hücumlarına qarşı ayıq olun. Təcavüzkarlar çox vaxt rəsmi görünən saxta saytlar yaradaraq sizi parolunuzu daxil etməyə vadar edir. Hər hansı linkə klik etməzdən əvvəl saytın ünvanını diqqətlə yoxlayın və şübhəli e-poçtlardakı bağlantılara etibar etməyin.

Nəhayət, bir neçə əsas qaydanı vərdişə çevirin:

• Hər hesab üçün fərqli parol istifadə edin
• Əsas hesablarda 2FA aktivləşdirin
• Parollarınızı heç kimlə, hətta "texniki dəstək" adı ilə zəng edənlərlə belə paylaşmayın
• Bir xidmətdə sızma olduğunu eşitdikdə həmin parolu dərhal dəyişin
• Cihazlarınızın əməliyyat sistemini və brauzerini müntəzəm yeniləyin

Məlumat sızması baş verdikdə nə etməli?

Ən diqqətli istifadəçi belə istifadə etdiyi xidmətin sızmasının qarşısını ala bilməz. Böyük şirkətlərin serverləri hücuma məruz qaldıqda milyonlarla parol oğurlana bilər. Bu səbəbdən e-poçt ünvanınızın hansı sızmalara düşdüyünü yoxlamaq faydalıdır — bunun üçün "Have I Been Pwned" kimi etibarlı xidmətlərdən istifadə edə bilərsiniz.

Əgər hesabınızın sızmış ola biləcəyini düşünürsünüzsə, dərhal parolu dəyişin və həmin parolu istifadə etdiyiniz digər bütün saytlarda da yeniləyin. Mümkünsə, sızmadan sonra 2FA aktivləşdirin və hesabınızın son giriş tarixçəsini yoxlayaraq tanımadığınız fəaliyyət olub-olmadığını araşdırın.

Uzunmüddətli həll isə bu problemləri kökündən azaltmaqdır: unikal parollar, parol meneceri və 2FA birləşdikdə tək bir sızma bütün rəqəmsal həyatınızı təhlükəyə atmır. Təhlükəsizlik bir dəfəlik iş deyil, davamlı bir vərdişdir — və bu vərdiş sizi gələcəkdə çox baha başa gələ biləcək problemlərdən qoruyur.

Mənbələr

• National Institute of Standards and Technology (NIST) — Digital Identity Guidelines
• Kaspersky — Parol təhlükəsizliyi üzrə tövsiyələr
• Have I Been Pwned (Troy Hunt) — məlumat sızmalarının yoxlanması xidməti