Bár a biztonsági szakemberek reményei szerint az újfajta, erősebb azonosítási módszerek lassanként kiszorítják a jelszavak használatát, jelenleg mégis ez az uralkodó módszer, ami azonban több problémával is küzd. Nyílt titok, hogy a felhasználók ─ egy új felmérés szerint például az amerikai dolgozók negyede ─ többnyire könnyen kitalálható karaktersorozatokat választanak, és előszeretettel használják ugyanazt a jelszót munkahelyi és magán fiókokhoz egyaránt. Az amerikai szabványügyi hivatal (NIST) a digitális azonosításra vonatkozó irányelveinek frissítésével most egy új jó gyakorlatot igyekszik meghonosítani, miszerint javasolja, hogy minden autentikációt megvalósító alkalmazás végezzen biztonsági ellenőrzést egy gyakran használt, könnyen kitalálható, és már kompromittálódott jelszavakat tartalmazó lista felhasználásával, azonban egy ilyen feketelista létrehozását nem vállalta. A Microsoft Azure AD védelemi megoldása hasonló megközelítést alkalmaz, lehetőséget ad az adminisztrátoroknak, hogy meggátolják, hogy a felhasználók az 500 leggyakoribb jelszót ─ valamint ennek több, mint 1 millió, speciális karakterekkel módosított variációját ─ használják. Prémium előfizetők ugyan bővíthetik a listát 1 000-ig, ám a szolgáltatás ezzel együtt sem tesz eleget a NIST támasztotta elvárásoknak. A Specops feketelistája (Specops Password Blacklist) ezzel szemben már 1 milliárd kiszivárgott jelszót tartalmaz ─ többek között a HaveIBeenPwned oldalra felkerülteket is ─ amit folyamatosan frissítenek. A szolgáltatás az Active Directory-s jelszócserekor lép életbe, a rendszer ilyenkor az adott jelszót összeveti az adatbázissal, és találat esetén a következő bejelentkezéskor újabb jelszócserét kényszerít ki a felhasználótól, és magyarázatot is ad arról, hogy ez miért szükséges. A szoftver emellett figyeli a gyakori karakter variációkat is ─ például P@ssw0rd2017! ─ ami a szótár alapú támadások ellen nyújthat védelmet.
Jelszó-feketelisták alkalmazását javasolta a NIST, már több megoldás is elérhető a piacon
2018. augusztus 28. 09:31
