U svakoj firmi postoji. Excel tablica "Lozinke.xlsx" na dijeljenom disku. Papirić ispod tipkovnice. Lozinka za zajednički mail koju zna pola ureda, i dvoje ljudi koji su davno otišli iz firme. Svi znaju da to nije idealno. Malo tko zna koliko točno nije.
Kako lozinke stvarno padaju
Napadači rijetko "pogađaju" lozinke ručno. Imaju bolje metode. Curenja podataka s velikih servisa stvorila su baze milijardi kombinacija e-mail adresa i lozinki, i prva stvar koju napadač proba jest vaša stara lozinka s nekog davno hakiranog servisa, na vašem poslovnom računu. Ako koristite istu lozinku na više mjesta, jedan tuđi propust postaje vaš problem.
Druga metoda je sirova snaga: moderna oprema isprobava milijarde kombinacija u sekundi. Kratka lozinka s "trikovima" tipa zamjene slova brojkama pada za sekunde ili sate. Duga fraza od nekoliko nasumičnih riječi. Za stoljeća. Duljina pobjeđuje kompleksnost, svaki put.
Password manager: jedno rješenje za cijeli problem
Upravitelj lozinki rješava ljudski dio problema: nitko ne može pamtiti pedeset dugih, jedinstvenih lozinki, i nitko ne mora. Alat ih generira, pamti i upisuje umjesto vas; vi pamtite jednu jaku glavnu frazu.
Za firme, poslovne verzije donose ono što tablica na disku nikad neće: dijeljenje pristupa bez dijeljenja same lozinke, trenutno ukidanje pristupa kad netko ode iz firme, evidenciju tko je čemu pristupao i upozorenja kad se neka lozinka pojavi u poznatom curenju podataka. Trošak po korisniku mjesečno manji je od jedne kave.
Tri pravila koja mijenjaju sve
Prvo: svaka lozinka jedinstvena. To curenje na jednom servisu pretvara u nevažnu vijest umjesto u incident. Drugo: MFA na svemu važnom, jer i najbolja lozinka može procuriti, a s MFA sama po sebi ne vrijedi ništa. Treće: uredan postupak kod odlaska zaposlenika, popis pristupa i njihovo gašenje isti dan, bez iznimke.
I jedna česta zabluda za kraj: prisilna promjena lozinki svakih 30 dana više se ne smatra dobrom praksom. Ljudi tada biraju slabije lozinke s rednim brojem na kraju. Bolje: duga, jedinstvena lozinka koja se mijenja kad postoji razlog: sumnja na kompromitaciju, ne kalendar.