Web siteleri şifrelerinizi nasıl korur?

Şu anda bir veri ihlali duymanız çok normal. Gmail gibi popüler bir hizmette veya çoğumuzun unuttuğu MySpace gibi bir yazılımda bir ihlal meydana gelebilir.

Bir bilgisayar korsanının öğrenebileceği en kötü şeylerden biri şifrenizdir. Bu, özellikle standart tavsiyelere karşı çıkıp aynı girişi birden fazla farklı platformda kullanıyorsanız geçerlidir. Ancak parola koruması yalnızca sizin sorumluluğunuzda değildir.

Peki web siteleri şifrelerinizi nasıl saklıyor? Giriş bilgilerinizi nasıl güvende tutuyorlar? Peki web sitelerinin şifrelerinizi takip etmek için kullanabileceği en güvenli yöntem nedir?

En kötü senaryo: Parolalar düz metin olarak kaydedilir

Şu durumu düşünün: Büyük bir web sitesi saldırıya uğradı. Siber suçlular, web sitesinde mevcut olan tüm temel güvenlik önlemlerini atlatmış ve sitenin yapısındaki bir kusurdan yararlanabilmektedir. Müşteri sizsiniz. Bu web sitesi bilgilerinizi sakladı. Site şifrenizin güvenli olmasını sağlar. Peki bu web sitesi şifrenizi düz metin olarak saklıyorsa ne olur?

Düz metindeki şifreler kazançlı bir yem gibidir. Okunamayacakları için algoritma kullanmazlar. Bilgisayar korsanları şifreleri sizin bu makaleyi okuduğunuz kadar basit bir şekilde okuyabilir.

Parolalarınızın ne kadar karmaşık olduğu önemli değildir: Düz metin veritabanı, kullandığınız tüm sayılar ve ek karakterler de dahil olmak üzere, herkesin parolalarının açıkça yazılmış bir listesidir.

Bilgisayar korsanları web sitesini kırmasa bile, bazı web sitesi yöneticilerinin gizli giriş bilgilerinizi görmesini gerçekten istiyor musunuz?

Bunun çok nadir görülen bir sorun olduğunu düşünebilirsiniz, ancak e-ticaret sitelerinin yaklaşık %30'unun müşteri verilerini "güvenlik altına almak" için bu yöntemi kullandığı tahmin edilmektedir!

Bir web sitesinin şifreleri düz metin olarak kaydedip kaydetmediğini öğrenmenin kolay bir yolu, kaydolduktan hemen sonra web sitesinden giriş bilgilerinizi listeleyen bir e-posta almanızdır. Bu durumda, aynı şifreyi kullanan diğer siteleri değiştirmek ve şirketle iletişime geçerek güvenliklerinin çok zayıf olduğu konusunda onları uyarmak isteyebilirsiniz. Elbette %100 doğrulamak mümkün değil, ancak bu oldukça açık bir işaret ve sitenin bu tür şeyleri e-postayla göndermemesi gerekiyor.

Kodlama: Kulağa hoş geliyor ama mükemmel değil

Birçok web sitesi kullanıcı şifrelerini korumak için şifrelemeye yönelir. Şifreleme işlemi bilgilerinizi karıştırır ve iki anahtar (biri sizin (giriş bilgileriniz) ve diğeri söz konusu şirket tarafından tutulur) bir arada görünene kadar okunamaz hale getirir.

Ayrıca şifrelemeyi başka birçok yerde de kullandınız. iPhone'daki Face ID bir şifreleme biçimidir. Şifre aynı. İnternet şifrelemeyle çalışır: URL'de görebileceğiniz HTTPS, ziyaret ettiğiniz web sitesinin bağlantıyı doğrulamak ve verileri toplamak için SSL veya TLS protokolünü kullandığı anlamına gelir. Ancak gerçekte şifreleme mükemmel değildir.

Şifreleme size gönül rahatlığı sağlayabilir. Ancak bir site şifrenizi kendi şifresini kullanarak koruyorsa, bir bilgisayar korsanı sitenin şifresini çalabilir, ardından şifrenizi bulabilir ve şifresini çözebilir. Bilgisayar korsanlarının şifrenizi bulması fazla çaba gerektirmeyecektir; Bu nedenle büyük veritabanları her zaman büyük bir hedeftir.

Sitenizin anahtarı (şifresi) şifrenizle aynı sunucuda saklanıyorsa şifreniz düz metin halinde de olabilir.

• Bilgisayar korsanları Wi-Fi şifrelerini nasıl çalıyor? Bu nasıl önlenir?

Hash: Şaşırtıcı derecede basit (ancak her zaman etkili değil)

Parola karma işlemi jargona benzeyebilir, ancak bu yalnızca daha güvenli bir şifreleme biçimidir.

Web sitesi, şifreyi düz metin olarak saklamak yerine, şifreyi MD5, Güvenli Hashing Algoritması (SHA)-1 veya SHA-256 gibi bir karma işlevi aracılığıyla çalıştırır ve bu, şifreyi tamamen farklı bir rakam kümesine dönüştürür. Bunlar sayılar, harfler veya başka karakterler olabilir.

Şifreniz IH3artMU0 olabilir. 7dVq$@ihT'ye dönüşebilir ve eğer bir bilgisayar korsanı veritabanına girerse görebileceği tek şey budur. Bilgisayar korsanları orijinal şifrenin şifresini tekrar çözemez.

Ne yazık ki işler sandığınız kadar güvenli değil. Bu yöntem düz metinden daha iyidir ancak yine de siber suçlular için sorun değildir.

Önemli olan, belirli bir parolanın belirli bir karma oluşturmasıdır. Bunun iyi bir nedeni var: IH3artMU0 şifresi ile her giriş yaptığınızda otomatik olarak o hash'ten geçiyor ve o hash ile sitenin veri tabanındaki web sitelerinin eşleşmesi durumunda site erişime izin veriyor.

Buna yanıt olarak bilgisayar korsanları hile sayfalarına benzer gökkuşağı tabloları geliştirdiler. Bunlar, başkaları tarafından zaten şifre olarak kullanılan ve kaba kuvvet saldırısı gibi karmaşık bir sistemin hızla geçebileceği karma listeleridir .

Eğer gerçekten zayıf bir şifre seçtiyseniz, gökkuşağı tablosunun üst sıralarında yer alacak ve kolaylıkla kırılabilecektir. Karmaşık şifreler daha uzun sürecektir.

Şu anda en iyisi: Tuzlama ve Yavaş Karma

Tuzlama, çoğu güvenli web sitesinin uyguladığı en güçlü tekniklerden biridir

Hiçbir şey aşılamaz değildir: Bilgisayar korsanları her zaman yeni bir güvenlik sistemini kırmak için aktif olarak çalışırlar. Şu anda en güvenli web sitelerinin uyguladığı daha güçlü teknikler var. Bunlar akıllı hash fonksiyonlarıdır.

Tuzlu karmalar, genellikle çok uzun ve karmaşık olan, her bir parola için oluşturulan rastgele bir veri kümesi olan kriptografik tek seferlikliğe dayanır.

Bu ek rakamlar, gökkuşağı tablosu kullanılarak yapılan girişimlere karşı savunma sağlamak amacıyla, karma işlevinden geçmeden önce parolanın (veya e-posta - parola birleşiminin) başına veya sonuna eklenir.

Genel olarak, tuzların karmalarla aynı sunucularda saklanması durumunda sorun yoktur . Bir dizi şifreyi kırmak bilgisayar korsanlarının çok zaman almasına neden olabilir ve şifreleriniz karmaşıksa bu daha da zorlaşır.

Bu nedenle, web sitenizin güvenliğinden ne kadar emin olursanız olun, her zaman güçlü bir şifre kullanmalısınız.

Web siteleri ayrıca ek bir önlem olarak yavaş karmaları kullanır. En ünlü karma işlevleri (MD5, SHA-1 ve SHA-256) bir süredir ortalıkta dolaşıyor ve uygulanması nispeten kolay olduğundan yaygın olarak kullanılıyor.

Tuz hâlâ geçerli olsa da yavaş karmalar, hıza dayalı saldırılara karşı savunmada daha da iyidir. Bilgisayar korsanlarını saniyede önemli ölçüde daha az girişimle sınırlayarak, onları kırmaları daha uzun sürecek, böylece girişimleri daha az değerli hale getirirken aynı zamanda başarı oranını da düşürecektir.

Siber suçlular, "hızlı düzeltmelere" mi yoksa zaman harcayan yavaş hash sistemlerine mi saldırmaya değer olup olmadığını tartmalıdır. Örneğin, tıbbi kurumların güvenliği genellikle daha düşük olduğundan, onlardan elde edilen veriler yine de şaşırtıcı miktarlarda paralara satılabilir.

Bir sistem "stres" altındaysa daha da yavaşlayabilir. Eski bir Microsoft yazılım geliştiricisi olan Coda Hale, MD5'i en dikkate değer yavaş karma işlevi olan bcrypt (diğer işlevler arasında PBKDF-2 ve scrypt bulunur) ile karşılaştırır:

"Şifreleri her 40 saniyede bir kırmak yerine (MD5'te olduğu gibi), yaklaşık her 12 yılda bir kırardım (sistem bcrypt kullandığında). Şifreleriniz muhtemelen bu tür bir güvenliğe ihtiyaç duymaz ve daha hızlı bir karşılaştırma algoritmasına ihtiyacınız olabilir. , ancak bcrypt hız ve güvenlik arasındaki dengeyi seçmenize olanak tanır".

Ve yavaş bir hash işlemi bir saniyeden daha kısa bir sürede gerçekleştirilebildiği için kullanıcılar etkilenmeyecektir.