AC FORUM
Je online prostor určený pro stávající či potenciální zákazníky AutoContu, kteří mají zájem o AC novinky, chtějí čerpat informace z AC blogů či přispívat do diskusí. Mohou zde získat informace z konferencí, prezentací a dalších neveřejných dokumentů.

AC
FORUM

Je online prostor určený pro stávající či potenciální zákazníky AutoContu, kteří mají zájem o AC novinky, chtějí čerpat informace z AC blogů či přispívat do diskusí. Mohou zde získat informace z konferencí, prezentací a dalších neveřejných dokumentů.

×
Blog teaser image

Vše je jinak!

S hesly je to úplně jinak. Autor normy NIST a mnoha Best Practice změnil názor a lituje.

Taky už jste zažili ten pocit, když něco, co jste považovali za axiom vašeho vnímání světa, jeden ze základních postulátů, je jeho autorem odvolán a vám zůstává pocit hlasatele falešných pravd :-). Ano, tak nějak na mě zapůsobil rozhovor s Billem Burrem v The Wall Street Journal.

Je pravda, že kvalita hesel byla a je tradiční paradox, který musí řešit všichni správci a bezpečáci. Je pravda, že jsme v komunitě bezpečáků vždy vedli dlouhé diskuse a de facto vždy jsme se snažili navrhovat uživatelům nějaké kompromisní řešení – kdy heslo bude ještě dostatečně bezpečné, ale současně nebude pro uživatele nepoužitelné (rozuměj nezapamatovatelné) vzhledem ke komplexním parametrům. Ve zmiňovaném článku se Bill Burr, jeden z autorů bezpečnostní normy NIST, vyznal ze svého omylu ohledně bezpečnosti hesel a lituje doporučení, které prostřednictvím této normy dával uživatelům. V normě NIST mimo jiné stanovoval pravidla na bezpečná hesla, dnes dospěl k názoru, že požadavky na „komplexní a bezpečná“ hesla, vedou právě naopak k jejich slabosti.

Nejedná se o to, že by hesla byla ohrožena útokem hrubou silou jako takovým, ale o to, že s ohledem na dané požadavky dělali a dělají uživatelé zbytečné chyby. Je to dáno tím, že složitá hesla jsou samozřejmě obtížná na zapamatování a tak uživatelé měli a mají tendenci si je zjednodušovat a používat stále stejné „triky“. Umělá inteligence počítačů pak dokáže snadněji hádat taková hesla, protože ví, že místo písmena „o“ budeme dávat nulu apod. Jako příklad je uváděna fráze “P@ssW0rd123!”, která je právě se svými substitucemi nejčastěji napodobována všemi uživateli. Podobně požadavek na častou změnu hesla vede k tomu, že za heslo dáme pořadovou číslici a heslo zůstává de facto stále stejné.  Zkrátka jsme vytvořili pravidla na hesla, která jsou těžko zapamatovatelná pro lidi, ale snadno uhodnutelná pro počítače.

A stroje se učí a učí se rychleji než my.  To, co obstálo před dvaceti lety, je dnes pro útočníka jenom rozcvička.

Nové doporučení je mít jako heslo frázi dlouhou 25 znaků, která by se měnila pouze v případě kompromitace. Bohužel jsme opět zpátky u paradoxu hesla. Znáte někdo ve svém okolí uživatele, který by chtěl používat jako heslo 25 znaků dlouhou frázi? Znáte někoho, komu by se chtělo vypisovat 26 znaků? Já ne. K čemu to povede? Obávám se, že za pár let můžeme mít obdobný závěr v dalším rozhovoru. Uživatelé se začnou zase chovat podle vzorce, který bude zjednodušovat jejich činnost, ale který bude opět předvídatelný.

Největším problémem pro bezpečnost zůstává uživatel a jeho chování. To je místo, na které bychom se měli zaměřit při budování informační bezpečnosti. Uživatel by měl pochopit, proč se to dělá a měl by vědět, že hrozby jsou skutečně reálné. Aby se tak stalo, je nezbytné ukázat uživatelům skutečné příklady, předvést co a jak se může stát a věřím, že pak je možné najít kompromis mezi bezpečnostními restrikcemi a mezi uživatelským komfortem.

Pokud nevíte, kde je největší nebezpečí, co byste měli udělat hned a co počká, jaký bezpečnostní systém je vhodný pro vás s ohledem na váš business a velikost, klidně se obraťte na AutoCont. Radí vám poradíme a jak se říká za zeptání, nic nedáte :-) AutoCont ví jak.

Související články

Article teaser image

TechFórum 2017 rozhovory a názory


Rádi bychom se ohlédli za zákaznickou konferencí AutoCont TechForum 2017 a podělili se o názory, které nám k IT trendům i kybernetické bezpečnosti poskytli řečníci z dopolední části akce.

více

Blog teaser image

GDPR kam se podíváš


Firmy a organizace se probouzejí a začínají uvažovat o řešení GDPR. Přestože se o GDPR rozhodlo již vloni, pro mnohé se objevil tak náhle, jako grónský ledovec před přídí Titanicu. A na mnohé stejně tak působí.

více

Blog teaser image

Dvě novely jednoho zákona, skoro najednou


Nemálo zmatku způsobuje, že ve dvou po sobě následujících měsících byly vydány dva zákony regulující oblast kybernetické bezpečnosti. Oba mají dopad na zákon č. 181/2014 Sb., o kybernetické bezpečnosti (ZoKB).

více

Komentáře

Související články

Article teaser image

TechFórum 2017 rozhovory a názory


Rádi bychom se ohlédli za zákaznickou konferencí AutoCont TechForum 2017 a podělili se o názory, které nám k IT trendům i kybernetické bezpečnosti poskytli řečníci z dopolední části akce.

více

Blog teaser image

GDPR kam se podíváš


Firmy a organizace se probouzejí a začínají uvažovat o řešení GDPR. Přestože se o GDPR rozhodlo již vloni, pro mnohé se objevil tak náhle, jako grónský ledovec před přídí Titanicu. A na mnohé stejně tak působí.

více

Blog teaser image

Dvě novely jednoho zákona, skoro najednou


Nemálo zmatku způsobuje, že ve dvou po sobě následujících měsících byly vydány dva zákony regulující oblast kybernetické bezpečnosti. Oba mají dopad na zákon č. 181/2014 Sb., o kybernetické bezpečnosti (ZoKB).

více

Blog teaser image

Máme nebo nemáme čas?


Ještě máme čas. Nás se to vůbec netýká. To je věc ajťáků. GDPR.

více

Article teaser image

Silná a citlivá důvěrnice NINA


Firemní data patří k tomu nejcennějšímu, a proto je třeba neustále dbát na jejich zabezpečení. Zaměstnanci dnes navíc firemní dokumenty a informace sdílí i aktualizují na portálech a dalších interních nebo cloudových úložištích.

více

Blog teaser image

Můj spodní šuplík a GDPR


Pro mnohé je GDPR strašák, pro mnohé znamená další penzum práce. GDPR by nás všechny mělo především chránit (všichni jsme subjekty osobních údajů :-)). A jak to u zákonů a norem bývá, občas takové „širokospektrální antibiotikum“ zabije i ty „dobré“ mikroorganismy. Pokusme se však najít na GDPR i něco pozitivního z pohledu každé organizace a firmy.

více

Article teaser image

Řízení identit je velké téma budoucnosti


Kdopak jsi? Jedna z prvních otázek, kterou jste v životě dostali. A od té chvíle vás provází celý život. Představujete se potenciálním partnerům na rande i obchodním partnerům na byznys schůzkách.

více

Blog teaser image

Jsme skutečně připraveni?


WannaCry udeřil nebývalou mediální silou, kterou bych si troufal přirovnat k viru Michelangelo.

více

Article teaser image

Hlavním tématem IT pro Byznys byla digitální transformace


Koncem května se v pražském hotelu Pyramida konal druhý ročník konference IT pro Byznys, pořádané společností AutoCont. Hlavním tématem konference byly informační systémy, aplikační řešení a bezpečnost v době digitální transformace.

více

Blog teaser image

Jen aby nám nezlevnily hamburgery…


O WannaCry asi nemá cenu psát, protože se už asi napsalo vše. Je však zajímavé se podívat, co tato kampaň o uživatelích vypovídá.

více