Ponowne użycie hasła jest złą praktyką w zakresie bezpieczeństwa z powodu prostego scenariusza ataku, takiego jak ten:

^{Źródło: XKCD}

Przy ponownym użyciu długiego i skomplikowanego hasła nadal masz do czynienia z tymi samymi zagrożeniami, które zostały przedstawione w powyższym schemacie.

Oprócz tego zapisywanie hasła w pliku tekstowym jest niebezpieczną praktyką, ponieważ prywatność hasła zależy również od bezpieczeństwa komputera (pomyśl o złośliwych wtyczkach do przeglądarek, które możesz zainstalować, ataki drive-by download instalujące oprogramowanie szpiegowskie na komputerze ...) i sieci. Możesz również rozważyć inne scenariusze, takie jak ataki phishingowe, w których siła hasła nie odgrywa roli.

Za każdym razem, gdy rejestrujesz się i zezwalasz zewnętrznemu systemowi na przechowywanie hasła, jesteś zależny od nowego systemu, aby upewnić się, że Twoje hasło jest odpowiednio zabezpieczone. Oznacza to, że jeśli jeden z systemów zewnętrznych nie zabezpiecza Twojego hasła (np. Przechowuje hasło w postaci zwykłego tekstu i ma lukę w zabezpieczeniach SQL injection), niezależnie od Twojego nawyku bezpieczeństwa hasła (np. Używanie bardzo dużego hasła, przechowywanie go w menedżerze haseł ), Twoje wspólne hasło zostanie ujawnione w przypadku złamania zabezpieczeń systemu zewnętrznego. Po przejęciu inni mogą użyć hasła, aby spróbować zalogować się do innych potencjalnych witryn i odniesie sukces, jeśli będziesz mieć to samo hasło.

Posiadanie silnego hasła nie chroni przed lukami w zabezpieczeniach związanych z ponownym używaniem haseł.

Więc masz silne hasło, którego używasz do rejestracji w większości usługi internetowe, z których korzystasz. Świetny! Jesteś teraz prawdopodobnie bezpieczny przed osobami, które próbują zalogować się na Twoje konkretne konto, odgadując każde możliwe hasło, które możesz mieć i mając nadzieję, że jedno z nich jest poprawne („brutalny siła „atak”).

Załóżmy, że trafiłeś na moją nową witrynę, która oferuje wspaniały biuletyn, który naprawdę Cię interesuje. Podejmujesz decyzję o zapisaniu się do tej witryny. Wpisz swój adres e-mail i swoje zwykłe silne hasło.

Niestety, nie byłem do końca szczery i chociaż skonfiguruję dla Ciebie subskrypcję biuletynu, wysyłam również adres e-mail i hasło, które właśnie wpisałeś, na mój osobisty adres e-mail. Gdy to dotrze do mojej skrzynki odbiorczej, mogę wypróbować kombinację na Facebooku, Gmailu, Yahoo Mail, Twitterze itp. Wcześniej czy później mam zamiar dostać się na jedno z Twoich kont.

Alternatywnie, załóżmy Byłem szczery i nie chciałem ukraść twojego konta, ale po prostu nie radziłem sobie z bezpieczeństwem. Być może przechowywałem twoje hasło w bazie danych w postaci zwykłego tekstu i nie miałem nic na miejscu, aby powstrzymać atakującego przed dostaniem się do niego. Tak więc pewnego dnia pojawia się paskudna osoba, która znajduje sposób na skopiowanie zawartości bazy danych i nagle ma również Twój adres e-mail i hasło! Ups.

Wybierając hasło do dowolnej witryny internetowej lub usługi, zawsze najlepiej jest założyć, że może ono w pewnym momencie zostać odczytane przez kogoś.

Musisz tylko upewnić się, że jeśli tak się stanie, ujawnione informacje nie pozwolą nikomu na dostęp do żadnego z Twoich innych kont.

Ponowne użycie haseł zwiększa powierzchnię ataku, umożliwiając atakującemu przejęcie wszystkich Twoich kont za pomocą jednego ataku. Można to osiągnąć za pomocą MITM (który wymagałby sfałszowanego certyfikatu dla witryn TLS), uzyskania hasła z bazy danych (która wymaga dostępu i jest również prawie niemożliwe przy użyciu bezpiecznego skrótu + soli), lub złośliwego witryna, przy czym ostatnia opcja jest najłatwiejsza.

Twoje hasło jest teraz tak bezpieczne, jak najsłabsza witryna, a wiele witryn korzysta z przestarzałych protokołów bezpieczeństwa. Entropia hasła Cię nie ochroni, ponieważ istnieją znacznie niższe metody zdobywania hasła.

Zachęcałbym wszystkich do zabezpieczania swoich haseł tak bardzo, jak im zależy na bezpieczeństwie. Nie możesz wiedzieć, czy bezpieczeństwo witryny jest dobre, czy nie, a zatem Twoje hasło może zostać złamane. Załóżmy, że bezpieczeństwo witryny jest złe, a Twoje hasło może być jutro znane milionom ludzi.

To oznacza:

Używaj ponownie haseł tylko w witrynach jednorazowych, które zmuszają Cię do zarejestrowania hasła że nie obchodzi cię, gdyby ktoś się włamał. Dobrym przykładem może być strona adobe.com, która zmusza Cię do rejestracji, ale poza tym jest kontem bezużytecznym.

Nigdy nie używaj ponownie haseł do podstawowego konta e-mail, ponieważ dostęp do podstawowego adresu e-mail może posłużyć do zresetowania hasło na innych stronach. Jeśli to możliwe, włącz uwierzytelnianie dwuskładnikowe.

Nigdy nie używaj ponownie hasła do niczego, co mogłoby spowodować utratę pieniędzy. Banki, paypal i witryny inwestycyjne są łatwymi celami do kradzieży. Niestety, większość z tych witryn nie oferuje uwierzytelniania dwuskładnikowego, więc ponowne użycie hasła może łatwo kosztować Cię kradzież.

Ponowne użycie tego samego hasła nie oznacza, że ​​loginy do witryny i chronione przez nie dane są tak samo bezpieczne, jak Twoje (miejmy nadzieję, że bardzo bezpieczne) hasło. Zamiast tego oznacza to, że Twoje loginy i dane są zamiast tego tak samo bezpieczne, jak witryna z najsłabszym zabezpieczeniem na Twojej liście witryn.

Jeśli ktoś włamie się / wykradnie, nie nie wiem, baza danych użytkowników Adobe, LinkedIn lub Ashley Madison (nie sugeruj, że masz konto tam, oczywiście), wtedy będą mieli adres e-mail / nazwę użytkownika i hasło wszystkich w tej witrynie, którzy korzystają z systemu takiego jak Twój.

Czy naprawdę uważasz, że jest to poza rozumem ludzi na tyle inteligentnych, by to zrobić, aby być również na tyle sprytnym, aby napisać zautomatyzowany proces, aby wypróbować te złamane nazwy użytkownika i hasła na innych popularnych witrynach?

Siła hasła sprowadza się do bezpieczeństwa witryny, w której je używasz. Wystarczy jedna witryna, aby jej nie chronić, a wszystkie pozostałe zostaną ujawnione. Podstawy, takie jak haszowanie haseł za pomocą soli, powinny być minimum dla każdej witryny, która prosi o podanie hasła. Jeśli przechowują to w postaci zwykłego tekstu, ujawniają również wszystkie inne witryny, z których korzystasz. Jeśli witryna wyśle ​​Ci wiadomość e-mail z hasłem, jeśli go zapomniałeś i nie ma możliwości zresetowania, to zapisała Twoje hasło jako zwykły tekst i powinieneś zmienić wszystkie konta, które korzystały z tego hasła.

Jeśli naprawdę chcesz używać tego samego hasła do wszystkich witryn internetowych, dlaczego nie skorzystać z menedżera haseł? W ten sposób musisz zapamiętać tylko jedno hasło (dla swojego menedżera haseł), a także masz unikalne silne hasło dla każdej witryny. Jeśli ktoś włamie się do witryn, z których korzystasz, tylko to hasło zostanie naruszone, a nie wszystkie Twoje loginy.

Myślę, że dobrze jest mieć silne hasło, które jest tak długie, jak to możliwe i unikać słów, aby zapobiec atakom siłowym, które wykorzystują słowa ze słownika do odgadywania losowych haseł, np. thunderbolt25815 .

Ale niektóre strony temu zapobiegają, ustawiając limit hasła. Jeśli wprowadzisz nieprawidłowe hasło zbyt wiele razy, zostaniesz zablokowany lub zablokowany na koncie, aby uniemożliwić logowanie z dowolnego miejsca.

Jednak niektóre witryny tego nie robią, a niektóre mają słabe zabezpieczenia. Jeśli ktoś włamie się do bazy danych w postaci zwykłego tekstu bez szyfrowania, wszystkie hasła do Twojej witryny są bezużyteczne. Będą po prostu umieszczać hasła w różnych witrynach, aż uzyskają właściwą witrynę. W niektórych najgorszych przypadkach mogą uzyskać dostęp do czegoś, co ma Twoją kartę kredytową, np. Amazon, co może kosztować Cię dużo pieniędzy. Chcesz tego? Czy chcesz poświęcić bezpieczeństwo na rzecz łatwych do zapamiętania haseł? Jeśli „nie”, uzyskaj długie hasło, które jest różne dla każdej witryny, i spróbuj włączyć weryfikację dwuetapową, aby nikt nie mógł uzyskać dostępu do jednej witryny tylko przez zhakowanie jednej witryny. Będą potrzebować czegoś więcej niż tylko hasła.