Захист акаунтів - пошта, паролі та другий фактор
Чому пошта - головний ключ до всього цифрового, як витік одного пароля відкриває решту акаунтів і що з цим робити на практиці.
Пароль до системи відеоспостереження Лувру був - за розслідуваннями після інцидентів безпеки - слово «Louvre». Щоб зламати такий пароль, не потрібні ні потужні комп’ютери, ні складна математика. Це крайній випадок, але проблема масова: слабкі й повторювані паролі лишаються найдешевшим входом для зловмисника. Розберемо, як закрити цю щілину.
Пошта - це майстер-ключ
Той, хто контролює вашу пошту, контролює все інше. Через «забули пароль?» він скидає доступ до банку, соцмереж, державних сервісів - усе прив’язано до email. Отримавши доступ, зловмисник може непомітно читати листи, перенаправляти кореспонденцію і по черзі захоплювати інші акаунти.
Тому пошта - акаунт №1 за пріоритетом захисту:
- окремий, ніде не повторюваний пароль - сильніший, ніж усі інші;
- двофакторна автентифікація (2FA) - найважливіший крок;
- періодична перевірка активних сесій - більшість сервісів показує останні входи; вийдіть із чужих пристроїв;
- не прив’язуйте резервні адреси, які рідко перевіряєте - забутий резервний ящик стає обхідним шляхом.
Слабкий пароль ламається за секунди
123456, qwerty, password, ім’я з роком народження - це перші рядки в
списку атакувальника. Особисту інформацію (дата народження, кличка тварини)
легко знайти у ваших же соцмережах, тож «складний на вигляд» Максим1990 не
кращий за 123456.
Головне - довжина, а не «складність». Чому саме довжина множить час перебору на порядки, а не набір символів - окремо в статті про перебір паролів на GPU; як зібрати надійну кодову фразу за сучасним стандартом - у статті про рекомендації NIST. Коротко: довга фраза з непов’язаних слів перемагає короткий набір спецсимволів.
Один пароль на все - і зламали все
Повторний пароль - це не зручність, а найбільша діра. Хакери купують бази злитих паролів і автоматично підставляють їх на інших сайтах - це credential stuffing. Якщо пароль від зламаного форуму збігається з паролем від пошти, ваш головний акаунт уже під загрозою, і ви про це навіть не знаєте.
Що робити:
- унікальний пароль для кожного сервісу, без винятків;
- перевірте свої адреси на Have I Been Pwned - чи не потрапили вони у витоки;
- тримати десятки унікальних паролів у голові неможливо, тому - менеджер паролів (Bitwarden, 1Password): він генерує й зберігає їх за вас, а заразом ускладнює життя кейлогерам, бо ви не набираєте пароль руками.
Другий фактор рятує навіть зі зламаним паролем
MFA (multi-factor authentication) - це підтвердження входу другим каналом: код із застосунку-автентифікатора, апаратний ключ або, найгірший із варіантів, SMS. Сенс простий: навіть із правильним паролем зловмисник не увійде без другого фактора.
Пріоритет за надійністю: апаратний ключ (FIDO2) → застосунок-автентифікатор → SMS. SMS краще за ніщо, але вразливий до підміни SIM. Увімкніть MFA скрізь, де він є, і насамперед - на пошті.
Які висновки з цього зробити
- Пошта - акаунт №1: окремий пароль і 2FA обов’язково.
- Довжина важливіша за «складність»; особиста інформація в паролі - подарунок атакувальнику.
- Один пароль на кілька сервісів = злам одного відкриває решту (credential stuffing). Унікальність - через менеджер паролів.
- MFA закриває навіть скомпрометований пароль. Вмикайте всюди.