Bagaimana menemukan kebahagiaan di dunia kegilaan kata sandi

Pada awal Agustus, Wired reporter Mat Honan memiliki sandi yang paling berharga yang diretas melalui serangkaian rumit eksploitasi rekayasa sosial. Pelanggaran menjadi berita utama karena kerentanan keamanan yang terekspos di kebijakan layanan pelanggan Apple dan Amazon; tetapi jangan lupa bahwa Honan saga menutup musim panas yang panjang penuh dengan serangan server yang membongkar jutaan kata sandi pengguna secara massal.

Pada bulan Juni, peretas mencuri sekitar 6,5 juta kata sandi LinkedIn dan mempostingnya secara online. Pada bulan yang sama, penyusup mengkompromikan sekitar 1,5 juta password eHarmony dalam pelanggaran keamanan, dan pada bulan Juli peretas mengambil 450.000 kata sandi Yahoo Voice. Di antara kata sandi yang paling umum digunakan oleh para anggota Yahoo: "123456", "selamat datang," dan "kata sandi" yang selalu populer.

Masalah mendasar bukanlah bahwa situs-situs ini seharusnya melakukan pekerjaan yang lebih baik dalam melindungi data pengguna (meskipun mereka harus memiliki). Dan bukan karena pengguna memilih kata sandi yang sangat mudah retak dan kemudian mendaur ulang kata sandi yang sama yang tipis di setiap situs tempat mereka mendaftar (meskipun mereka melakukannya).

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Masalahnya adalah bahwa kata sandi telah menjadi alat yang merusak diri sendiri, sering kali tidak berdaya dalam skema besar keamanan digital. Kami membutuhkan terlalu banyak dari mereka, dan yang kuat terlalu sulit untuk diingat.

"Untuk menggunakan Net hari ini Anda harus memiliki puluhan kata sandi dan masuk," kata Terry Hartmann, wakil presiden solusi keamanan global untuk Unisys. “Setiap kali Anda kembali ke situs, sepertinya mereka telah memperkenalkan aturan baru untuk membuat sandi menjadi lebih rumit. Akhirnya, pengguna kembali menggunakan satu kata sandi untuk semuanya. ”

Singkatnya: Sistem kata sandi rusak. Semua kata sandi yang dilanggar di LinkedIn, eHarmony, dan eksploit Yahoo telah "di-hash" -yaitu, kata sandi yang sebenarnya telah diganti dengan kode yang dihasilkan secara algoritme. Ini mengubah kata sandi yang disimpan di server (dan dicuri oleh peretas) menjadi gobbledgook alfanumerik. Namun, jika kata sandi Anda sesederhana, katakanlah, "officepc," seorang peretas dapat dengan mudah memecahkannya bahkan dalam bentuk hash dengan menggunakan kekuatan kasar atau meja pelangi.

Tetapi semuanya tidak hilang. Kata sandi kompleks yang dimasukkan dengan angka dan karakter khusus (dan tidak memiliki kemiripan dengan nama atau kata yang sebenarnya) memberi Anda kesempatan untuk melawan peretas, dan Anda dapat menyimpan kode-kode ini dalam aplikasi manajemen kata sandi yang praktis. Situs web, sementara itu, melakukan lebih untuk meningkatkan keamanan di ujungnya, membutuhkan otentikasi multifaktor, dan tampaknya teknologi biometrik akan segera digunakan untuk keamanan pasar massal juga.

Masalah kata sandi tidak akan hilang. Namun, dalam waktu dekat, dan untuk sekarang kita harus bergantung pada aplikasi, layanan, dan teknologi baru yang dijelaskan di bawah ini untuk tetap selangkah lebih maju dari orang jahat.

Sandi kubah

Program pengelolaan kata sandi seperti filter spam -memilik tetapi alat penting untuk mengelola kehidupan digital Anda. Pengelola kata sandi yang baik mengingat semua login Anda, menggantikan kata sandi sederhana yang Anda pilih dengan kata sandi rumit, dan memungkinkan Anda mengubah kata sandi tersebut dengan cepat jika situs atau layanan yang Anda gunakan diretas.

Bagian terbaik: Daripada harus mengingat lusinan kata sandi unik, Anda hanya perlu mengingat satu: kata sandi master untuk lemari besi Anda. Dan kecuali Anda selalu log on dari mesin yang sama dan browser yang sama (dalam hal ini Anda mungkin membaca ini pada koneksi dialup AOL), Anda akan menginginkan program berbasis cloud seperti LastPass, 1Password, atau Roboform yang dapat diterapkan info masuk Anda ke PC, ponsel, atau tablet apa pun yang Anda gunakan.

Kelemahan: Anda masih harus mengingat kata sandi utama Anda, dan itu harus benar-benar bagus, dikemas dengan campuran angka, huruf besar dan huruf kecil, dan karakter khusus seperti tanda tanya dan tanda seru.

Tentu saja, penyerang yang mengelola menanam keylogger di sistem Anda akan dapat mengendus kata sandi saat Anda mengetiknya, catat Robert Siciliano, pakar keamanan online untuk McAfee yang menggunakan kubah sandi untuk menyimpan lebih dari 700 info masuk. Demikian pula, jika para penjahat meretas kubah sandi berbasis cloud - seperti yang terjadi pada LastPass pada Mei 2011-itu bisa jadi game over. Untungnya bagi pelanggan LastPass, tidak ada informasi sensitif yang dilanggar pada serangan 2011; tetapi pada saat berikutnya gangguan yang berhasil terjadi (dan itu akan terjadi pada beberapa perusahaan keamanan di suatu tempat tidak dapat dihindari), pengguna mungkin tidak begitu beruntung.

Intinya: brankas manajemen sandi menawarkan nilai yang sangat besar, dan merupakan alat penting bagi siapa saja yang nilai-nilai keamanan digital.

Otentikasi multifaktor

Kata sandi kompleks yang disimpan dalam lemari besi yang dienkripsi hanyalah langkah pertama. Beberapa situs bergantung pada tingkat keamanan kedua untuk mengidentifikasi pengguna-biasanya sepotong perangkat keras yang hanya dapat diakses oleh pengguna yang berhak. Dengan cara itu, bahkan penyerang yang tahu kata sandi Anda akan memerlukan akses ke, katakanlah, ponsel atau komputer Anda untuk mencuri data Anda.

Lembaga keuangan diwajibkan oleh hukum untuk menggunakan beberapa faktor ketika menangani transaksi online, tetapi mereka mungkin melakukan di latar belakang dengan mengautentikasi mesin Anda atau lokasinya, kata Siciliano. Jadi, misalnya, jika Anda tinggal di San Francisco dan seseorang di Shanghai mencoba mengakses akun bank Anda, transaksi itu mungkin diblokir, atau orang itu mungkin diminta untuk memberikan potongan tambahan otentikasi dengan memasukkan nomor yang dikirim ke perangkat yang disediakan oleh bank.

Google dan Facebook kini menawarkan otentikasi dua faktor juga: Anda dapat meminta mereka mengirim PIN sementara ke ponsel Anda setiap kali Anda masuk dari mesin yang tidak dikenal (PIN ini harus disediakan bersama dengan kata sandi Anda pertama kali Anda mencoba masuk melalui mesin baru itu). Kegagalan ini akan mencegah semua kesulitan yang dihadapi Mat Honan bulan lalu.

Sistem otentikasi dua bagian Google memastikan tingkat keamanan yang lebih besar, tetapi banyak pengguna merasa bosan dalam praktik dunia nyata.

Sayangnya, meskipun demikian, dari bank dan segelintir situs web profil tinggi, sebagian besar tempat online tidak menawarkan otentikasi multifaktor-sebagian karena sangat tidak nyaman, dan sebagian besar pengguna internet bersedia untuk memperdagangkan keamanan untuk proses masuk tanpa kerumitan.

"Otentikasi dua faktor tidak selalu lulus tes nenek," kata Siciliano. “Itu berarti lebih banyak panggilan dukungan, lebih banyak pengaturan ulang kata sandi, dan biaya yang lebih tinggi. Itulah mengapa biasanya hanya digunakan oleh perusahaan dengan banyak kerugian. ”

Biometrik

Keindahan biometrik adalah Anda tidak perlu mengingat apa pun, apalagi kata sandi yang rumit. Sebaliknya, sistem keamanan biometrik menyentuh sifat unik kemasan fisik Anda sendiri untuk mengotentikasi identitas Anda.

Sistem biometrik dapat memindai sidik jari, iris, wajah, dan bahkan suara untuk menentukan apakah seseorang harus memiliki akses ke layanan atau kepingan. perangkat keras. Mereka belum dikerahkan untuk layanan cloud utama, tetapi Terry Hartmann dari Unisys mengatakan bank-bank besar sedang mengujicoba sistem identifikasi biometrik sekarang, dan mengharapkan mereka mulai diluncurkan tahun depan. Apple baru-baru ini $ 360.000.000 akuisisi AuthenTec, pembuat teknologi pemindaian sidik jari, menunjukkan bahwa beberapa bentuk identifikasi biometrik dapat dibangun ke dalam produk Apple di masa depan.

Keamanan biometrik rudimenter sudah tersedia di banyak notebook.

Biometrik tidak sempurna, namun. Para peneliti telah menggunakan scanner sidik jari dengan menggunakan jari gelatin, dan mereka mengelabui sistem pengenalan wajah dengan menggunakan foto. Pada konferensi BlackHat bulan Juli lalu, para peneliti keamanan menunjukkan cara untuk mengelabui pemindai iris dengan teknik reverse-engineering data gambar.

Dan tentu saja, peretas dapat menargetkan data biometrik yang disimpan dalam basis data pusat, dan mencuri identitas dengan mengganti data biometrik mereka sendiri sebagai pengganti korbannya. Seperti halnya kata sandi dan informasi identitas pribadi lainnya, tingkat perlindungan yang disediakan oleh keamanan biometrik akan bergantung sepenuhnya pada kompetensi siapa pun yang menyimpan data (kita semua tahu seberapa baik yang bekerja di LinkedIn).

Membutuhkan biometrik saat login juga dapat membuat anonimitas sulit (jika tidak mustahil) bagi para pembangkang politik, pelapor, dan orang-orang yang mendiami banyak identitas untuk alasan pribadi atau profesional. Kekhawatiran atas Laporan Minoritas -pengawasan pemerintah gaya juga dapat membuat banyak konsumen berhenti.

Terlepas dari semua ini, Joseph Pritikin, direktur pemasaran produk di AOptix Technologies, pembuat pemindai iris yang ditempatkan di bandara dan penyeberangan perbatasan, memprediksi bahwa smartphone yang menggunakan biometrik akan menjadi salah satu perangkat identifikasi kunci masa depan, sebagian karena data dapat disimpan dengan aman di perangkat itu sendiri.

"Ini akan menjadi kombinasi dari sesuatu yang saya dan sesuatu yang saya miliki, kemungkinan besar smartphone, ”kata Pritikin. "Enkripsi berbasis perangkat keras mereka akan sulit dikompromikan."

Satu ID untuk mengatur semuanya

Pada akhirnya, solusi ideal untuk kelelahan sandi adalah menyatukan semua login dan identitas online yang berbeda. Masukkan Administrasi Obama, yang pada April 2011 meluncurkan inisiatif publik-swasta, Strategi Nasional untuk Identitas Terpercaya di Cyberspace, untuk mengembangkan ekosistem identitas yang akan memungkinkan konsumen menggunakan sistem verifikasi apa pun dan membuatnya berfungsi dengan lancar di semua situs.

Sistem seperti itu akan dapat memverifikasi bahwa Anda cukup umur untuk membeli anggur online atau bahwa Anda memenuhi syarat untuk diskon siswa, tanpa harus berbagi semua informasi pribadi Anda dengan setiap situs, kata Jim Fenton, spesialis keamanan utama untuk OneID, sistem manajemen identitas Internet. Sistem juga akan memungkinkan Anda untuk beroperasi di bawah nama samaran, jika itu bagaimana Anda ingin berguling.

Tapi roda pemerintahan bergejolak perlahan. Bulan lalu, komite pengarah NTSIC mengadakan pertemuan pertama. Di antara isu-isu yang akhirnya harus diatasi adalah seberapa banyak informasi yang harus dibagi antara pihak-pihak, dan seberapa banyak kontrol yang harus dimiliki konsumen atas informasi itu, kata Fenton, anggota kelompok privasi komite pengarah.

Dengan kata lain: Bantuan sedang dalam perjalanan, tetapi tidak akan sampai di sini segera. Sementara itu, kami terjebak dengan kata sandi. Buat beberapa yang bagus, dan pastikan mereka terkunci dan kunci.