بایگانی برچسب‌ها : رمز عبور

مدیر کلمه عبور Password Manager

مدیر کلمه عبور یا Password Manager چیست؟

مدیر کلمه عبور یا پسورد منیجر (Password Manager) به ابزاری گفته می‌شود که امکان ایجاد و بازیابی کلمه‌های عبور را برای کاربر فراهم می‌کند. معمولا کلمه‌های عبور کاربر با کمک چنین ابزارهایی در یک پایگاه داده رمزنگاری شده محلی یا آنلاین نگه‌داری می‌شود و کاربر تنها با به خاطر سپردن یک کلمه عبور اصلی (موسوم به Master Password) که برای استفاده از این ابزار تعیین می‌کند می‌تواند به تمام کلمات عبور و اطلاعات ذخیره شده دسترسی پیدا کند.

اغلب این ابزارها به صورت خودکار فیلدهای مربوط به اطلاعات حساس (نظیر نام کاربری و رمز عبور) را تکمیل می‌کنند. افزون بر این برخی از آن‌ها قادرند فیلدهای مربوط به داده‌های شخصی (نظیر نام، آدرس پست الکترونیک، شماره تلفن و …) در فرم‌های وب را نیز با اطلاعات از پیش ذخیره شده تکمیل نمایند.

از جمله مشهورترین ابزارهای مدیریت کلمه عبور می‌توان به LastPass و Dashlane اشاره نمود.

انواع ابزارهای مدیریت کلمه عبور

ابزارهای مدیریت پسورد عموما در قالب یک نرم افزار روی رایانه یا دستگاه‌های همراه کاربر نصب می‌شوند و یا در قالب سرویس‌های آنلاین (تحت وب) مورد استفاده قرار می‌گیرند. گونه‌ای دیگر از این ابزارها نیز وجود دارد که به صورت کلیدهای سخت‌افزاری، مدیریت کلمه‌های عبور کاربر را عهده‌دار می‌شوند.

برخی از نرم‌افزارهای مدیریت کلمه عبور به صورت کاملا آفلاین عمل می‌کنند. به عبارت بهتر در این مدل پایگاه داده‌ای که اطلاعات در آن نگه‌داری می‌شود بر روی همان دستگاهی قرار دارد که نرم‌افزار روی آن نصب شده است. اما در گونه‌ای دیگر از این نرم‌افزارها، پایگاه داده روی سیستمی مجزا قرار دارد که دسترسی به آن از طریق اینترنت به صورت از راه دور و به کمک نرم افزار نصب شده صورت می‌گیرد.

پسورد منیجرهای تحت وب با کمک یک مرورگر وب قابل دسترس هستند و در مقایسه با نرم‌افزارهای محلی که روی دستگاه کاربر نصب می‌شوند این مزیت را دارند که کاربر می‌تواند روی دستگاه‌های مختلف خود به صورت یکپارچه از این ابزارها استفاده نماید. هرچند جذب کاربران در یک مدیر کلمه عبور آنلاین مستلزم اطمینان داشتن به ایمنی سامانه و سرورهای مورد استفاده است با اینحال احتمال از بین رفتن یا سرقت کلمات عبور در این سامانه‌ها درصورتی که زیرساخت‌های امنیتی مناسب درنظر گرفته شده باشد پایین‌تر است.

در گونه‌ی سوم از یک سخت افزار مانند حافظه‌های فلش USB برای مدیریت کلمه‌های عبور استفاده می‌شود. جهت دسترسی به کلمات عبور و اطلاعات ذخیره شده در این حافظه‌ها، استفاده از عامل دیگری مانند پین کد (تأیید اعتبار دو مرحله‌ای) می‌تواند در حفظ امنیت اطلاعات ذخیره شده کاربر مفید واقع شود.

مزایای استفاده از یک مدیر کلمه عبور مناسب

با کمک این ابزارها لازم نیست کاربر رمزهای عبور متعدد و پیچیده‌ای را به خاطر بسپارد. بنابراین اشتباهات امنیتی مهمی نظیر انتخاب کلمه‌های عبور ساده و یکسان برای اکانت‌های مختلف توسط کاربرانی که از ابزارهای مدیریت کلمه عبور استفاده می‌کنند کمتر رخ می‌دهد. افزون بر این پسورد منیجرها می‌توانند هنگام ورود به حساب کاربری یک سایت، ابتدا نشانی وب آن صفحه را با نشانی ذخیره شده مقایسه کنند و تنها در صورت یکسان بودن آن‌ها اقدام به پر کردن فیلدهای لاگین نمایند. به این ترتیب امکان موفقیت اعمال فیشینگ به شدت کاهش می‌یابد. با توجه به این که در صورت استفاده از چنین ابزارهایی برای ورود به حساب کاربری نیازی به وارد کردن نام کاربری و پسورد وجود ندارد این اطلاعات محرمانه از دید بدافزارهایی مانند Keylogger ها نیز پنهان می‌ماند.

برخی از پسورد منیجرها بخشی برای تولید رمز عبور دارند که در صورت استفاده از الگوریتم‌های مناسب می‌تواند در انتخاب رمزهای عبور قوی و پیچیده (تا حد ممکن غیرقابل حدس) مفید واقع شوند.

نکات و آسیب‌های استفاده از مدیر کلمه عبور

باید توجه داشته باشید درصورتی که ابزار مورد استفاده توسط شما کلمه‌های عبورتان را به صورت رمزگذاری نشده ذخیره کرده باشد دسترسی به این اطلاعات حساس برای هکرها و بدافزارها بسیار آسان خواهد بود. انتخاب رمز عبور اصلی (Master) ساده امکان حدس زدن یا لو رفتن در اثر استفاده از روش‌های حمله لغت‌نامه‌ای و بروت فورس را تسهیل می‌کند. بنابراین به خاطر سپردن تنها یک رمز عبور پیچیده برای استفاده از پسورد منیجر ارزش محافظت از حجم عظیمی از نام‌های کاربری و کلمات عبور شما را خواهد داشت. در عین حال نباید این نکته را فراموش کرد که یک بدافزار با به دست آوردن این رمز اصلی (هرچند پیچیده) می‌تواند به تمامی اطلاعات ذخیره شده در پایگاه داده دسترسی پیدا کند.

پیوندهای پیشنهادی تک دیک

لینک واژه در ویکیپدیا

کلمه عبور Password

کلمه عبور یا Password چیست؟

کلمه عبور یا پسورد (Password) یک کلمه یا رشته‌ای از کاراکترهاست که به عنوان ابزاری برای تصدیق هویت و تأیید اعتبار یک کاربر مورد استفاده قرار می‌گیرد. با وارد کردن کلمه عبور صحیح که معمولا در کنار یک نام کاربری ثبت شده معنا پیدا می‌کند به کاربر اجازه دسترسی به منبعی معین اعطا می‌شود. از گذرواژه نیز به عنوان معادلی برای این اصطلاح استفاده می‌شود.

امروزه از کلمه‌های عبور برای ورود به سیستم عامل رایانه‌ها، دستگاه‌های همراه، خودپردازها، دسترسی به خدمات بسیاری از سامانه‌های آنلاین و … استفاده می‌شود. با اینحال به کارگیری گذرواژه‌ها تنها به دنیای مدرن کنونی اختصاص ندارد. حتی در زمان‌های نسبتا دور نگهبان‌ها از افراد ناشناس برای ورود به مکان‌های حفاظت شده به صورت شفاهی کلمه عبوری را درخواست می‌کردند.

معمولا هنگام وارد کردن کلمات عبور در رایانه‌های امروزی، به جای حروف وارد شده علامتی مشابه ستاره یا دایره در فیلد مربوطه نمایش داده می‌شود. به این ترتیب امکان خوانده شدن پسورد توسط افرادی که در کنار کاربر قرار دارند از بین می‌رود.

یکی از رایج‌ترین راهکارهای هکرها برای نفوذ به یک سیستم تلاش برای یافتن کلمه عبور با تست کردن احتمالات مختلف است. این شیوه، حمله جستجوی فراگیر یا بروت فورس (Brute-Force attack) نام دارد. با توجه به زمان بالایی که در این روش برای بررسی ترکیبات مختلف حروف، نمادها و اعداد مورد نیاز است معمولا هکرها ترجیح می‌دهند تنها واژه‌های رایج یا حداقل واژه‌های موجود در فرهنگ لغات یک زبان را برای ورود به سیستم مورد بررسی قرار دهند. به این روش، حمله لغت‌نامه‌ای (Dictionary Attack) گفته می‌شود و با توجه به اینکه کاربران بسیاری از واژه‌های ساده موجود در یک زبان به عنوان کلمه عبور استفاده می‌کنند روش لغت‌نامه‌ای می‌تواند در موارد بسیاری برای نفوذ به سیستم نتیجه‌ای موفقیت آمیز داشته باشد. جالب است بدانید مطابق آمارها عباراتی نظیر 123456 و password از رایج‌ترین کلمه‌های عبور در دنیا به شمار می‌روند.

نکاتی برای انتخاب کلمه عبور مناسب و ایمن

هرچند استفاده از واژه‌های رایج یک زبان به عنوان پسورد می‌تواند باعث تسهیل به خاطرسپاری آن شود اما به همان اندازه حدس زدن آن برای اشخاص غیرمجاز را نیز ساده‌تر می‌کند. در واقع یک کلمه عبور یا بهتر بگوییم یک “عبارت عبور” (یا Passphrase) که واژه‌ای معنادار و واقعی نباشد می‌تواند از نظر امنیتی یک نکته‌ی مهم تلقی شود.

بسیاری از سامانه‌ها و سازمان‌ها برای افزایش امنیت، کاربران خود را ملزم به رعایت قوانینی خاص حین انتخاب کلمه عبور می‌کنند. در ادامه برخی از نکاتی که می‌تواند برای انتخاب یک کلمه عبور مناسب مفید واقع شود بیان شده است:

  • هرچه طول (یا تعداد کاراکترهای) پسورد بیشتر باشد حدس زدن آن دشوارتر خواهد بود.
  • بهتر است از تک واژه‌های رایج و پرکاربرد یک زبان به عنوان کلمه عبور استفاده نشود. در مقابل، ترکیبی از چند کلمه غیرمرتبط و گنجاندن علائم یا اعداد در میان آن‌ها می‌تواند انتخابی مناسب باشد.
  • به کاربردن ترکیبی از حروف بزرگ و کوچک، علائم و اعداد هنگام انتخاب پسورد می‌تواند منجربه افزایش پیچیدگی آن شده و در نتیجه احتمال حدس زدن آن توسط روش‌های سیستماتیک را دشوارتر می‌نماید. دقت داشته باشید کلمه‌های عبور نسبت به بزرگی و کوچکی حروف حساس (Case Sensitive) هستند.
  • اکیدا توصیه می‌شود از المان‌هایی نظیر نام شخصی، تاریخ یا سال تولد، شماره تلفن، کد شناسایی و … به عنوان کلمه عبور خود استفاده نکنید.
  • بهتر است به صورت دوره‌ای رمزهای عبور خود را تغییر دهید.
  • پیشنهاد می‌شود برای اینکه یک پسورد پیچیده و در عین حال به یادماندنی انتخاب کنید ابتدا یک عبارت یا جمله را در ذهن خود در نظر بگیرید و سپس حروف ابتدای کلمات آن را به عنوان کلمه عبور خود برگزینید.
  • هرگز کلمه عبور خود را روی یک کاغذ یا سند حفاظت نشده یادداشت نکنید.
  • در نظر گرفتن یک یا چند کلمه فارسی و جایگزین نمودن حروف آن با حروف معادل انگلیسی که روی صفحه کلید قرار دارند نیز می‌تواند کلمه عبوری پیچیده را نتیجه دهد. به عنوان مثال کلمه‌ی فارسی “امیر” را در نظر بگیرید. حرف “ا” روی صفحه کلید معادل حرف “h” می‌باشد به همین ترتیب حروف “م”، “ی” و “ر” به ترتیب معادل با حروف “l” و “d” و “v” هستند. بنابراین کافی است کلمه عبور خود را به صورت “hldv” انتخاب کنید.
  • هنگام ورود کلمه عبور مراقب نگاه‌های افرادی که در اطراف شما قرار دارند باشید. معمولا این هشدار زمانی جدی‌تر خواهد بود که کلمه عبور شما ساده باشد و یا تایپ شما چندان سریع نباشد.
  • برای حساب‌های کاربری مختلف خود از کلمه عبوری یکسان استفاده نکنید. چرا که در این صورت فاش شدن پسورد شما در یک سامانه می‌تواند تهدیدی جدی برای حساب‌های دیگر شما ایجاد کند.

ایمنی سیستم‌های رایانه‌ای در حوزه کلمه عبور

هرچند رعایت نکات بیان شده از سوی کاربر در انتخاب پسوردهایی ایمن از اهمیت بسیار بالایی برخوردار می‌باشد اما نمی‌توان نقش سیستم‌های رایانه‌ای را در حفظ امنیت کاربران نادیده گرفت. به عنوان مثال ایجاد محدودیت در تعداد تلاش‌های مجاز برای ورود به سیستم می‌تواند مانع از نفوذ یک هکر به واسطه روش‌های سعی و خطا شود. نگه‌داری کلمات عبور کاربران سیستم به صورت متونی ساده و رمزنگاری نشده نیز می‌تواند در صورت دسترسی هکرها به منبع نگه‌داری کلمات عبور باعث بروز فاجعه‌ای غیرقابل جبران شود.

ارسال کلمه عبور انتخاب شده از طریق پست الکترونیک موضوع دیگری است که می‌تواند امنیت سیستم را به خطر بیندازد. اجبار کاربران به انتخاب رمزهای عبور پیچیده، اجبار به تغییر دوره‌ای پسورد و ایجاد لیست سیاهی از کلمات رایج از جمله سیاست‌های مهم یک سامانه ایمن به شمار می‌روند. بسیاری از سامانه‌ها نیز در صورتی که کاربر پس از ورود به سیستم برای مدت زمانی نسبتا طولانی از آن استفاده نکند به اجبار از او تقاضا می‌کنند کلمه عبور خود را مجددا وارد نماید. به این ترتیب امکان دسترسی افراد غیر مجاز به سیستم تا حد ممکن پایین خواهد آمد.

استفاده از روش‌های جایگزین صفحه کلید (نظیر پسوردهای صوتی) و روش های تأیید اعتبار دو مرحله‌ای و چند مرحله‌ای و انتقال کلمات عبور از طریق ارتباطات ایمن نیز می‌تواند باعث بالاتر رفتن امنیت فرایند ورود به یک سیستم شود.

در کنار نکات و سیاست‌های امنیتی بیان شده، امروزه پسوردهای یک بار مصرف، رمزهای عبور غیرمتنی (نظیر رمزهای گرافیکی)، روش‌های تأیید اعتبار بیومتریک (نظیر اثر انگشت و الگوی عنبیه) و … می‌تواند جایگزین‌های مناسب و ایمنی برای کلمه‌های عبور رایج به شمار روند.

به یادسپاری کلمه عبور

هرچند توصیه کارشناسان امنیتی استفاده از کلمات عبور پیچیده است اما طبیعتا پیچیده‌تر شدن پسوردها باعث می‌شود به خاطر سپردن آن‌ها برای کاربران نیز به امری دشوارتر تبدیل شود. این موضوع زمانی به مسأله‌ای بغرنج تبدیل می‌شود که قرار باشد هر کاربر از کلمات عبور متفاوتی برای ورود به سامانه‌های مختلف استفاده نماید.

در چنین حالتی برای آنکه کاربران را از دشواری‌های به خاطر سپردن مجموعه‌ای از کلمات عبور پیچیده رهایی بخشیم استفاده از ابزارهای مدیریت کلمه عبور (Password Manager) توصیه می‌شود. این نرم‌افزارها قادر به نگه‌داری ایمن و رمزنگاری شده تمامی پسوردهای کاربر هستند و تنها چیزی که لازم است کاربر به خاطر بسپارد یک رمز عبور اصلی برای استفاده از نرم افزار مدیریت کلمه عبور است.

کلمه عبور Password
فرم ورود به یک سایت – فیلد متنی دوم محل وارد کردن پسورد است. حروف وارد شده در این فیلد با نمایش دایره‌های کوچکی پنهان شده‌اند تا مانع از خوانده شدن آن توسط اشخاص دیگر شود.

پیوندهای پیشنهادی تک دیک

لینک واژه در ویکیپدیا

حمله بروت فورس Brute-force attack

حمله بروت فورس یا Brute-force attack چیست؟

حمله بروت فورس (Brute-force attack) حمله‌ای است که طی آن، فرد حمله کننده با بررسی کلمه‌های عبور مختلف به صورت سیستماتیک سعی می‌کند کلید رمزگشایی یا رمز عبور یک سیستم تأیید اعتبار را به دست آورد.

به عبارت بهتر در حملات Brute force، حالات مختلف ممکن برای رمز عبور مورد بررسی قرار می‌گیرد تا رمز عبور صحیح شناسایی شود. این نوع حملات، مبتنی بر روش حل مسأله‌ای به نام جستجوی بروت فورس یا جستجوی فراگیر (exhaustive search) عمل می‌کنند که در آن با بررسی تمام حالات ممکن برای پاسخ، به دنبال کاندیدی می‌گردیم که تمام شرایط مدنظر مسأله را برآورده می‌سازد. از اینرو این حملات را با نام “حمله جستجوی فراگیر” نیز می‌شناسند.

برای رمزهای عبور کوتاه، حمله بروت فورس می‌تواند در زمان کوتاهی تمام رمزهای عبور ممکن را مورد بررسی و آزمایش قرار دهد و به نتیجه‌ی مطلوب دست پیدا کند، اما در مورد رمزهای عبور طولانی، استفاده از این روش نیازمند صرف زمانی بسیار طولانی (در حد چندین ماه یا حتی چندین سال) می‌باشد که عملا آن را به روشی نامناسب و بدون کارایی تبدیل می‌کند (پیچیدگی زمانی مورد نیاز برای بروت فورس به صورت نمایی با افزایش طول رمز یا کلید افزایش می‌یابد). از اینرو معمولا بروت فورس به عنوان آخرین حربه‌ی هکرها و زمانی که نقطه‌ی ضعفی برای نفوذ به سیستم مشاهده نشود مورد استفاده قرار می‌گیرد.

معمولا در این نوع حملات از واحد پردازش گرافیکی (GPU) برای بررسی حالات مختلف رمز عبور استفاده می‌شود. چرا که گونه‌های مدرن این پردازنده‌ها ضمن در دسترس بودن و قیمت مناسب (به نسبت کارایی) برای انجام کارهای تکراری از کارایی بیشتری در مقایسه با یک پردازنده مرکزی (CPU) برخوردار هستند.

با توجه به ماهیت، روش بروت فورس می‌تواند حداقل از نقطه نظر تئوری برای رمزگشایی هر نوع داده‌ی رمزنگاری شده و سیستم تعیین اعتباری (ولو در زمانی نامعقول) مورد استفاده قرار بگیرد. از سوی دیگر، روش حمله لغت‌نامه‌ای (ِDictionary attack) با وجود اینکه از سرعت بالاتری برای رمزهای ساده برخوردار است اما به دلیل محدود بودن فضای مورد جستجو به هیچ وجه نمی‌تواند مانند بروت فورس، یافتن رمز صحیح را تضمین نماید.

مقابله با حمله بروت فورس

بسیاری از سیستم‌های تعیین اعتبار از روش‌های مختلفی برای مقابله با این نوع حملات استفاده می‌کنند. محدود کردن تعداد دفعات تلاش ناموفق برای ورود به حساب کاربری در یک وبسایت و پیچیده‌تر کردن فرایند ورود (با استفاده از روش‌هایی نظیر کپچا) از جمله‌ی این روش‌ها به شمار می‌روند. از سوی دیگر کاربر نیز می‌تواند با انتخاب رمزهای عبور پیچیده و طولانی (ترکیب رقم، حرف و نماد) و هم‌چنین در صورت امکان، استفاده از روش‌های تعیین اعتبار دو مرحله‌ای امنیت خود را در برابر این نوع حملات تا حد ممکن افزایش دهند.

حمله بروت فورس معکوس (Reverse Brute-force attack)

در گونه‌ی معکوس این نوع حملات برخلاف روش معمولی، فرد متجاوز به جای بررسی رمزهای عبور مختلف برای یک نام کاربری معین، مجموعه‌ای محدود از رمزهای عبور را برای تمام نام‌های کاربری ثبت شده در یک سامانه مورد بررسی قرار می‌دهد. در چنین حملاتی، کاربرانی که از رمزهای عبور ساده و کوتاه‌تر استفاده کرده‌اند آسیب‌پذیرتر خواهند بود.

پیوندهای پیشنهادی تک دیک

لینک واژه در ویکیپدیا

حمله لغت نامه ای Dictionary Attack

حمله لغت نامه ای یا Dictionary Attack چیست؟

حمله لغت نامه ای (Dictionary Attack) در علوم رایانه، به روشی گفته می‌شود که در آن متجاوز تلاش می‌کند با امتحان کردن مجموعه‌ای از واژه‌های رایج، کلید رمزگشایی یا کلمه عبور یک سیستم تعیین اعتبار را به دست آورد.

به عبارت بهتر، در حملات لغت نامه ای، فرد حمله کننده لیستی از واژه‌ها، عبارات و حتی ترکیب حروف، ارقام و نمادها را مورد استفاده قرار می‌دهد که از احتمال بیشتری برای انتخاب شدن به عنوان رمز برخوردار هستند.

برخلاف حملات بروت فورس (که در آن‌ها به صورت سیستماتیک فضای کلید بسیار بزرگی مورد تست قرار می‌گیرد)، در حملات مبتنی بر لغت‌نامه تنها عباراتی که رایج‌تر هستند بررسی می‌شود. بنابراین در صورتی که کاربر از یک رمز عبور پیچیده و غیر رایج استفاده کند امکان موفقیت متجاوز در حمله لغت‌نامه‌ای بسیار پایین خواهد بود. اما جالب است بدانید متأسفانه بسیاری از افراد برای تسهیل به خاطر سپردن رمز عبور خود، از رمزهای ساده‌ای همچون 123456 و یا qwerty استفاده می‌کنند که حتی بدون استفاده از یک لغت‌نامه کامل نیز به سرعت قابل شناسایی می‌باشد!

نرم‌افزارهای متعددی برای انجام حملات لغت‌نامه‌ای طراحی شده است (که طبق قوانین مجاز به ذکر اسامی آن‌ها نیستیم). البته ذکر این نکته ضروری است که در این نوع حملات، هرچه لغت‌نامه‌ی مورد استفاده دارای عبارات بیشتری (در حد میلیون‌ها عدد!) باشد، احتمال موفقیت حمله و هم‌چنین زمان مورد نیاز برای بررسی تمام لغات افزایش خواهد یافت. در برخی از لغت‌نامه‌ها، عبارات رایج‌تر در ابتدای لیست قرار داده می‌شوند که به این ترتیب شکستن رمزهای متداول آسان‌تر می‌شود. بنابراین به شما توصیه می‌کنیم برای غلبه بر این نوع حملات از رمزهای عبور پیچیده، ترجیحا بدون معنا و مفهوم و در عین حال ترکیبی از حرف، رقم و نماد استفاده کنید به طوری که مطمئن شوید نه تنها رمزتان در هیچ لغت‌نامه‌ای یافت نمی‌شود بلکه کار را برای سایر روش‌ها مثل حمله بروت فورس نیز بسیار دشوارتر کرده‌اید.

پیوندهای پیشنهادی تک دیک

لینک واژه در ویکیپدیا