Найпоширенішою порадою у сфері цифрової безпеки є створення криптостійкого паролю. Це перша лінія вашого захисту і тому саме отримання вашого паролю є найпершою метою зловмисників. Загальні рекомендації зі створення криптостійкого паролю вказують дотримання наступних вимог:

  • Довжина: складається з 12 та більше символів
  • Різноманітність: містить великі та малі літери латинського алфавіту, цифри та спеціальні знаки (коми, крапки, нижнє підкреслення, знак амперсанда та інші)
  • Відсутність закономірності: послідовність літер та чисел не утворюють словникових комбінацій

Остання вимога, хоч і забезпечує складність паролю, але загрожує можливості його запам’ятати. Але це можна компенсувати двома шляхами: або використання менеджера паролю (як вбудованим у операційну систему, так і комерційною альтернативою), або за допомогою правил мнемоніки (використання фраз, які виконують перші дві умови, наприклад, Ya-tobi-ne-pingvin1984). Останній варіант цікавий тим, що такі фрази легко запам’ятати, але по своїй криптостійкості вони не поступаються випадково згенерованим паролям.

Найбільш ефективним способом захисту ваших пристроїв та облікових записів залишається двофакторна аутентифікація. По суті, він полягає в тому, що для успішної аутентифікації потрібно кілька факторів і передбачається, що зловмисник не може, дізнавшись ваш пароль, отримати повний доступ. У такому випадку другим фактором стає інший пристрій, найчастіше смартфон або планшет.

Для того, щоб скористатись двофакторною автентифікацією, її слід активувати у налаштуваннях ваших облікових записів. Наразі, вона є практично у всіх значимих сервісах, які важливі у журналістській роботі. Зокрема, так виглядає ввімкнена двофакторна аутентифікація у пошті Google:

Зверніть увагу, що у цьому випадку для підтвердження входу потрібне сповіщення на мобільний пристрій або код з додатку Google Authenticator. 

Для користувачів Windows важливо встановити на смартфон Microsoft Authenticator. Він дозволяє захистити як обліковий запис так і доступ до комп’ютера, що може бути критичним у роботі журналіста. Додаткову інструкцію з використання програми можна знайти у переліку літератури до цього розділу.

Втім, не забувайте найголовнішого — основна лінія захисту для вас, це ваша власна поведінка. Незважаючи на те, що основним трендом останніх років є впровадження провайдерами сервісів захисних механізмів, які не дозволяють необережну поведінку, від емоційних та поквапливих рішень не позбавлений ніхто. Наприклад, якщо вам зручно зберігати свої паролі у вашому браузері, то можете так робити, але за умови, що ви подбали про захист свого пристрою. Бо якщо я знатиму ваш пароль до комп’ютера, то легко отримаю доступ і до інших паролів. Двофакторна аутентифікація не дозволить мені скористатись цим знанням, але першу лінію захисту вже можна вважати дискредитованою і вам доведеться міняти паролі.

Загалом, регулярна зміна паролів є хорошою практикою, особливо щодо критичних облікових записів. Здебільшого рекомендується змінювати основні паролі раз на три місяці. Вважається, що цього часу буде недостатньо для того, щоб розшифрувати ваш пароль, якщо зловмисник вирішив скористатись атакою «прямого перебору» (brute force attack). При зміні паролю також важливо не використовувати старі паролі, з тієї ж самої причини: вони вже можуть бути відомі.

Важливо також звернути увагу на такий аспект захисту як відновлення забутого паролю. Про нього завжди забувають, але він досі залишається поширеним способом отримання доступу до облікових записів. Зверніть увагу на наступні пункти:

  1. Яка запасна пошта для відновлення паролю вказана у налаштуваннях?
  2. Який номер телефону там же вказаний?
  3. Чи вказані три таємні питання, відповідь на які дозволяє відновити доступ до облікового запису?

Розуміння цих пунктів дозволить вам побачити, які саме дані мають бути зібрані і які саме кроки має зробити зловмисник, щоб отримати доступ. Тому важливо, щоб при використанні третього пункту (трьох таємних питань), ви не використовували інформацію, яку можна легко вгадати, або випитати у вас. Борщ може і надалі залишатися вашою улюбленою стравою, але якщо таємне питання звучить як «Яка ваша улюблена страва?» — краще обрати щось інше. Бо основне завдання цих трьох питань — впевнитись, за допомогою унікальної комбінації знань, що це саме ви. Тому не обов’язково бути відвертими при створенні відповідей на них, достатньо скористатись цими питаннями як нагадуваннями про конкретне слово та фразу.

Зверніть увагу, що найлегший спосіб вкрасти ваш обліковий запис, це отримати ваш дозвіл на виконання зловмисного коду на вашому пристрої. Тож якщо ви натискаєте на підозрілі зображення (вони також можуть містити виконуваний код), або дивні посилання, то швидко позбудитесь права власності і вам доведеться його повертати. Найпоширеніший спосіб змусити вас це зробити, це надіслати вам посилання від облікового запису, який знаходиться у віртуальних друзях, наприклад, з таким повідомленням: «Побачив тут твоє фото. Хтось збирає на тебе компромат». Ймовірність, що ви натиснете лінк, який я докладу під цим повідомленням, настільки висока, що не варта навіть згадки. У таких випадках вам важливо зберігати спокій, натиснути правою клавішею на лінк (не лівою, а саме правою) і вибрати опцію «Скопіювати посилання». Після чого вставляєте посилання у відповідне вікно ресурсу Virustotal — https://www.virustotal.com/gui/home/url. Він вам і підкаже, що саме знаходиться всередині.

Благо, сервіси активно працюють над автоматизацією цієї процедури і якщо ви не відкриватимете цей лінк протягом 5-10 хвилин, сервіси встигнуть його просканувати і автоматично видаляють його, якщо він виявиться зловмисним. Однак все одно варто з підозрою ставитись до намагань емоційного тиску на вас.

Практичні поради

Подбайте про довжину та різноманітність паролів. Ваш пароль має бути достатньо довгим та різноманітним, щоб його не можна було вгадати чи дізнатись за допомогою інструментів машинного перебору. Важливо, щоб ваші основні облікові записи мали різні паролі, але якщо маєте проблему із запам’ятовуванням, то користуйтесь менеджером паролів або мнемонікою. Змінювати паролі рекомендується раз на три місяці, але якщо боїтесь забути новий пароль або ваша поточна робота не пов’язана з високим ризиком, можна робити це раз на півроку або раз на рік, але не довше.

Двофакторна аутентифікація посилює ваш захист. В силу того, що ймовірність отримати доступ відразу і до паролю, і до пристрою з другим фактором доволі низька, це мати захист навіть у випадку, коли ваш пароль став відомий. За замовчуванням, це рівень захисту має стояти на ваших основних комунікаційних каналах.

Перевірте механізми відновлення доступу до ваших облікових записів. Три таємні питання, а також запасна пошта для відновлення, дозволяють вам згадати забутий пароль, але ви маєте принаймні мати до неї захищений доступ.

Найголовніше, що треба запам’ятати

  • Пароль має бути різноманітним, криптостійким та змінюватись через певні проміжки часу.
  • Двофакторна аутентифікація захищає вас навіть у випадку, коли ваш пароль став відомий.
  • Зробіть аудит механізмів відновлення паролю.

Література та корисні джерела

Словник

Двофакторна аутентифікація, або скорочено 2ФА — це різновид багатофакторної автентифікації, яка грунтується на підтвердженні особистості користувача за допомогою двох, незалежних один від одного, факторів.

Криптостійкість — здатність криптографічного алгоритму протистояти криптоаналізу. Стійким вважається алгоритм, який для успішної атаки вимагає від зловмисника недосяжних обчислювальних ресурсів, недосяжного обсягу перехоплених відкритих і зашифрованих повідомлень чи ж такого часу розкриття, що по його закінченню захищена інформація буде вже не актуальна.

Тест