Temat 1/ Klasa 2/ Lekcja 2
1. Hasło – aktualne zasady
Przez lata uczono tworzenia krótkich haseł zawierających obowiązkowo wielką literę, cyfrę i znak specjalny oraz zmieniania ich np. co 30 dni. Współczesne rekomendacje są inne.
CERT Polska wskazuje, że systemy nie powinny wymuszać okresowej zmiany hasła bez powodu ani obowiązkowych schematów z cyfrą i znakiem specjalnym. Ważniejsza jest długość i nieprzewidywalność hasła. W rekomendacjach technicznych CERT minimalna długość dla systemów uwierzytelniania to co najmniej 14 znaków.
Hasło powinno być przede wszystkim:
- odpowiednio długie;
- trudne do odgadnięcia;
- unikatowe dla każdego ważnego konta.
Dlaczego ostatnia zasada jest tak ważna?
Jeżeli używasz tego samego hasła do poczty, sklepu i serwisu społecznościowego, wyciek z jednego serwisu może umożliwić przestępcy wypróbowanie tego samego hasła w pozostałych.
2. Menedżer haseł
Zapamiętanie kilkudziesięciu długich i unikatowych haseł jest trudne. Dlatego można korzystać z menedżera haseł.
Menedżer może:
- generować silne hasła;
- przechowywać je w zabezpieczonym magazynie;
- ułatwiać stosowanie innego hasła dla każdego konta.
CERT Polska rekomenduje korzystanie z menedżerów haseł.
3. MFA i 2FA
MFA – Multi-Factor Authentication, czyli uwierzytelnianie wieloskładnikowe, wymaga zastosowania więcej niż jednego rodzaju potwierdzenia tożsamości.
Przykładowo:
- podajesz hasło;
- potwierdzasz logowanie w aplikacji.
2FA – Two-Factor Authentication jest szczególnym przypadkiem MFA wykorzystującym dwa składniki.
Dodatkowe uwierzytelnianie zmniejsza ryzyko przejęcia konta, jeżeli samo hasło zostanie ujawnione.
4. Passkeys – klucze dostępu
Coraz częściej tradycyjne hasło można zastąpić passkey, czyli kluczem dostępu.
Klucz dostępu jest powiązany z konkretną usługą. Użytkownik może potwierdzić logowanie np. PIN-em urządzenia, odciskiem palca lub rozpoznaniem twarzy. Ważną zaletą poprawnie wdrożonych passkeys jest odporność na typowy phishing polegający na wyłudzeniu hasła przez fałszywą stronę. CERT Polska rekomenduje korzystanie z passkeys, gdy usługa je oferuje.
5. Czym jest szyfrowanie?
Szyfrowanie polega na przekształceniu informacji w taki sposób, aby bez odpowiedniego klucza była ona nieczytelna.
Wyobraź sobie wiadomość:
SPOTKANIE O 15
Po zaszyfrowaniu może przyjąć postać, która dla osoby nieposiadającej klucza wygląda jak niezrozumiały ciąg danych.
Oryginalną informację nazywamy tekstem jawnym, a rezultat szyfrowania – szyfrogramem.
Proces odwrotny to odszyfrowanie.
6. Szyfrowanie danych „w spoczynku” i „w transmisji”
Szyfrować można:
- dane zapisane na dysku lub urządzeniu;
- dane przesyłane przez sieć.
To dwa różne zastosowania.
Szyfrowanie dysku może utrudnić odczyt danych ze skradzionego urządzenia. Szyfrowane połączenie pomaga chronić dane podczas transmisji.
RODO wprost wymienia szyfrowanie jako jeden z możliwych środków bezpieczeństwa danych osobowych, dobieranych odpowiednio do ryzyka.
Źródła do lekcji 2
CERT Polska – jak tworzyć bezpieczne hasła i chronić konta
CERT Polska – współczesne rekomendacje dotyczące haseł
RODO: art. 32 ust. 1 lit. a wskazuje pseudonimizację i szyfrowanie jako przykładowe środki bezpieczeństwa.
KARTA PRACY – QUIZ
