Kas patiesībā ir spēcīga parole

2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 9 minūtes

Mācīšanās mērķis: Pēc šīs nodarbības Jūs varēsiet paskaidrot, kāpēc garums un unikalitāte ir svarīgāki par neparastām rakstzīmēm, un kāda ir pašreizējā NIST vadlīnija par parolēm.

Pamatjēdzieni: garums, entropija, paroles frāze, vārdnīcas uzbrukums, brutāla spēka uzbrukums, atkārtota izmantošana, obligāta maiņa

Kā tiek uzlauzta parole

Domājot par "paroles uzlaušanu", daudzi iedomājas kādu, kas Jūsu pieteikšanās lapā minē paroli. Tas notiek, bet tas nav lielākais drauds. Laba pieteikšanās lapa pēc vairākiem nepareiziem mēģinājumiem palēnina darbību vai uz laiku bloķē piekļuvi. Tāpēc minēšana caur "priekšdurvīm" notiek lēni.

Bīstamāka ir bezsaistes uzlaušana. Tīmekļa vietne (ja viss ir kārtībā) pati Jūsu paroli nesaglabā, bet gan tās jaucējkodu (hash): sava veida pirkstu nospiedumu, no kura paroli nevar tieši aprēķināt atpakaļ. Ja noplūst interneta veikala datubāze, uzbrucējam šie pirkstu nospiedumi nonāk viņa paša datoros. Tur nekādu bremžu nav. Viņš izmēģina tik daudz paroļu, cik viņa aprīkojums spēj apstrādāt, un salīdzina katru rezultātu ar noplūdušo pirkstu nospiedumu.

Šim nolūkam viņš izmanto divas metodes:

• Vārdnīcas uzbrukums: vispirms viss, ko cilvēki bieži izvēlas. Saraksti ar miljoniem reālu paroļu no iepriekšējām noplūdēm, vārdnīcu vārdi, vārdi, vietvārdi, gadskaitļi. Kopā ar fiksētiem noteikumiem: lielais burts sākumā, gadskaitlis beigās, izsaukuma zīme beigās, a kļūst par @, o kļūst par 0.
• Brutāla spēka uzbrukums: pēc tam visas iespējamās rakstzīmju kombinācijas, no īsākām uz garākām.

Parole, piemēram, Zomer2026!, šķiet spēcīga: lielais burts, cipari, pieturzīme, desmit rakstzīmes. Taču tieši tas ir modelis, kas atrodas šajos noteikumos: vārds, gadskaitlis, zīme. Šāda parole tiek atklāta jau pirmajā kārtā, ilgi pirms sākas brutāla spēka uzbrukums.

Garums uzvar neparastas rakstzīmes

Paroles stiprums ir atkarīgs no tā, cik daudz iespēju uzbrucējam jāizmēģina. Šo skaitli aprēķina šādi: iespējamo rakstzīmju skaits kāpināts garuma pakāpē.

Uz parastas tastatūras ir 95 rakstzīmes, ko var uzrakstīt (lielie un mazie burti, cipari, pieturzīmes un atstarpe). Nejauši izvēlētai 8 rakstzīmju parolei tad ir 95 kāpināts 8. pakāpē iespējas: aptuveni 6,63 × 10^15. Tas šķiet daudz, taču ar ātru aprīkojumu un vāju glabāšanas metodi tas tiek izmēģināts dažu dienu laikā.

Katra papildu rakstzīme reizina skaitu ar 95. Papildu rakstzīmju veids (piemēram, pieturzīmju pievienošana tikai burtiem) pamatu palielina tikai nedaudz. Tāpēc garums dod daudz vairāk nekā sarežģītība.

Pēdējā kolonna ir entropija: mērs tam, cik neparedzams kaut kas ir, izteikts bitos. Vienkāršiem vārdiem: katrs papildu bits divkāršo uzbrucēja darbu. Parole ar 65 bitiem tātad prasa ne tikai nedaudz, bet aptuveni 4000 reižu vairāk darba nekā parole ar 53 bitiem.

Svarīgi: šie skaitļi ir spēkā tikai tad, ja parole patiešām ir izvēlēta pilnīgi nejauši. Parole, ko izdomājat Jūs pats, gandrīz nekad nav nejauša. Bakkerij2026! ir trīspadsmit rakstzīmes, taču pēc sava modeļa tā ir ikvienā uzlaušanas sarakstā.

Paroles frāze

Paroles frāze ir parole, kas sastāv no vairākiem atsevišķiem vārdiem, piemēram, pieciem vai sešiem. Priekšrocība: tā ir gara, taču tomēr viegli iegaumējama un uzrakstāma. Nīderlandes NCSC iesaka izvēlēties no četriem līdz sešiem vārdiem, kam savā starpā nav nekāda sakara, un norāda, ka gara frāze, kurā izmantoti tikai mazie burti, ir drošāka nekā īsa parole ar visa veida rakstzīmēm.

Paroles frāze ir spēcīga tikai tad, ja vārdi ir izvēlēti pilnīgi nejauši:

• Pareizi: ģenerators (Jūsu paroļu pārvaldniekā) vai kauliņi ar vārdu sarakstu. Pazīstamā metode ar pieciem kauliņiem izmanto sarakstu ar 7776 vārdiem, jo 6 kāpināts 5. pakāpē ir tieši 7776. Šāda saraksta veidotāji lielākajai daļai gadījumu iesaka sešus vārdus.
• Nepareizi: pazīstams teiciens, dziesmas teksts, sakāmvārds vai kaut kas par Jums pašu. ikhouvanmijnhondbobby ir gara, taču vārdi savā starpā ir saistīti un viegli uzminami tiem, kas Jūs pazīst vai lasa Jūsu sociālos tīklus.

Paroles frāze joprojām ir parole. Jūs to izmantojat vienā vietā un ar citiem nedalāties.

Unikalitāte ir svarīgāka nekā sarežģītība

Pats stiprākais parole nelīdz, ja to izmantojat divdesmit vietās. Nodarbībā 1.4 Jūs iepazināties ar credential stuffing: noplūdis e-pasta adreses un paroles pāris tiek automātiski izmēģināts e-pastā, grāmatvedības sistēmā, interneta veikalos un sociālajos tīklos. Ja parole noplūst pie vienas no šīm divdesmit vājākajām pakalpojumu sniedzējām, tad visas divdesmit kontos ir atvērtas durvis.

Atkārtota izmantošana tāpēc praksē ir lielākais vājais punkts. Un "neliela variāciju ieviešana" nenozīmē unikalitāti. Example!Mail un Example!Shop uzbrucējam, kuram ir viena noplūdusi parole, ir uzminamas dažos mēģinājumos.

Risinājums nav iegaumēšana, bet gan uzglabāšana: paroļu pārvaldnieks katram pakalpojumam izveido garu, nejaušu paroli un to atceras Jūsu vietā. Par to ir runa nodarbībā 2.2. Tad Jums jāatceras vien dažas lietas: pārvaldnieka galvenā parole un, iespējams, Jūsu datora parole.

Ko nosaka NIST vadlīnija

ASV iestāde NIST (National Institute of Standards and Technology) publicē pazīstamāko pieteikšanās vadlīniju: SP 800-63B. Ceturtā versija kļuva galīga 2025. gada 31. jūlijā. Daudzas organizācijas visā pasaulē to ievēro. Svarīgākie punkti par parolēm:

• Ja parole ir vienīgais pieteikšanās veids, tad vismaz 15 rakstzīmes. Ja tā ir daļa no divu faktoru autentifikācijas, tad vismaz 8.
• Pakalpojumam jāļauj izmantot paroles ar vismaz 64 rakstzīmēm.
• Nekādu sastāva noteikumu: pakalpojums nedrīkst pieprasīt "vismaz vienu lielo burtu, vienu ciparu un vienu pieturzīmi".
• Nav obligāti periodiski jāmaina. Mainīt vien tad, ja ir norāde, ka parole ir noplūdusi.
• Jaunas paroles jāpārbauda pret bieži lietotu un noplūdušu paroļu sarakstu.
• Jāļauj paroļu ielīmēšana un paroļu pārvaldnieku izmantošana.
• Nekādu drošības jautājumu ("Jūsu pirmā mājdzīvnieka vārds") un nekādu paroles mājienu.

Kāpēc obligāta maiņa vairs netiek ieteikta

Gadiem ilgi darbā ik pēc trim mēnešiem bija jāizvēlas jauna parole. Doma bija: nozagta parole tad derēs tikai īsu laiku. Praksē cilvēki rīkojas šādi: Zomer2026! kļūst par Herfst2026!, pēc tam par Winter2026!. Uzbrucējs, kuram ir vecā parole, dažos mēģinājumos uzmin jauno. Un tas, kuram pastāvīgi jāizdomā jauna parole, izvēlas īsākas un uzraksta tās uz lapiņas.

Obligāta maiņa tādējādi padara paroles paredzamākas. Taču maiņa jāveic uzreiz, ja tam ir iemesls: paziņojums par noplūdi, dīvaina pieteikšanās, kolēģis, kurš aiziet un zināja paroli, vai ja Jūs to netīšām kaut kur esat ievadījis.

Praksē: paroļu politika uz vienas A4 lapas

Mazam uzņēmumam, piemēram, Bakkerij Example, pietiek ar īsu politiku:

1. Katram kontam ir sava, personīga parole. Nav kopīga pieteikšanās konta info@example.com, kura paroli zina pieci cilvēki.
2. Paroles izveido paroļu pārvaldnieks: nejaušas, vismaz 15 rakstzīmju, vai paroles frāze no vismaz pieciem nejauši izvēlētiem vārdiem, kas jāuzraksta pašrocīgi.
3. Nekad viena un tā pati parole divās vietās.
4. Divu faktoru autentifikācija ieslēgta e-pastam, grāmatvedībai, bankai, mitināšanai un domēna reģistrācijai (nodarbība 2.3).
5. Maiņa tikai tad, ja ir iemesls, un tad uzreiz.
6. Paroles nekad netiek sūtītas pa e-pastu, tērzēšanā vai uzrakstītas uz lapiņas pie ekrāna.

Arī Jūsu mitināšanas panelim jāievēro šī pati loģika. WebOké vidē, piemēram, varat likt automātiski izveidot nejaušu paroli DA parolei un pastkastēm; citos paneļos šī poga bieži saucas "Generate" vai "Ģenerēt". Lieciet šādam ģeneratoram vienmēr izveidot vismaz 15 rakstzīmju paroli; bieži garumu varat izvēlēties pats.

Kopsavilkums

• Uzbrucēji galvenokārt uzlauž bezsaistē, pēc noplūdes, ar sarakstiem un noteikumiem. Paredzami modeļi tiek atklāti uzreiz.
• Garums un patiesa nejaušība dod daudz vairāk nekā neparastas rakstzīmes. Katrs entropijas bits divkāršo darbu.
• Paroles frāze no nejauši izvēlētiem vārdiem ir gara, taču tomēr iegaumējama.
• Unikalitāte ir svarīgāka nekā sarežģītība: atkārtota izmantošana vienu noplūdi pārvērš divdesmit noplūdēs.
• NIST SP 800-63B-4: vismaz 15 rakstzīmes, ja parole ir vienīgais faktors, nekādu sastāva noteikumu, bez periodiskas maiņas, bet gan pārbaude pret noplūdušām parolēm.

Tests

Uzdevums

Uzdevums A2.1: Aprēķini un izvērtēšana. Jūs nekur neievadāt savu paroli. 1. daļa: aprēķiniet, cik iespēju ir paroles frāzei un nejaušai parolei (Jūs saņemsiet vārdu un rakstzīmju skaitu), kura no abām ir stiprāka un cik reižu. 2. daļa: izvērtējiet sešus izdomātus parauga parolu piemērus: paredzama, pārāk īsa, atkārtoti izmantota vai spēcīga. Programma pārbauda atbildes un sniedz par katru atbildi paskaidrojumu.

Vairāk lasīt

WebOké rakstos minētie soļi attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem process ir līdzīgs.

• DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
• Kā mainīt e-pasta adreses paroli vai limitus?
• Nīderlandes NCSC, padomi stipras paroles izveidei (holandiešu valodā): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nīderlandes NCSC, četri soļi, lai padarītu paroles drošākas (holandiešu valodā): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (angļu valodā): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (angļu valodā, vārdu saraksts ar kauliņiem): https://www.eff.org/dice