Deskribapena
Pasahitzak gure datu pertsonalak seguru mantentzeko lagungarriak dira. Gure posta elektronikora sartzeko, onlineko banku-zerbitzua erabiltzeko, produktuak erosteko orrialdeetan erregistratzeko eta abarretarako erabiltzen ditugu pasahitzak. Beste nolabait esanda, pasahitzak Interneteko gure etxe pertsonalera sartzeko giltzak dira. Ahalegin guztia egin behar dugu inork ez dezan gure pasahitzetarako sarbiderik izan; ondorioz, pasahitz segurua sortzea eta kudeatzea gure etxeko giltzak zaintzea bezain garrantzitsua da. Horregatik guztiagatik, ezinbestekoa da pasahitz sendoak eta asmatzeko errazak ez direnak sortzea; izan ere, oso agerikoak diren pasahitzak erabiltzeak edo horiek agerian uzteak gure informazio pertsonala arriskuan jartzen du. Pasahitz ahulak erabiltzeak edo hirugarren batzuekin partekatzeak era askotako arriskuak ekar ditzake berekin: finantza-iruzurra, informazioa lapurtzea, baimendu gabeko sarrera eta abar.
Pasahitz ahul batek (‘123456’, ‘abcdef’,’ aaaaa’) indar handiko erasoak errazten ditu; hau da, proba eta errorea motako erasoak (konbinazio kopuru handia probatzen dute baliozkoak diren kredentzialak topatzeko asmoz). Gaur egun, pasahitz arruntenak biltzen dituzten hitzen zerrendak daude. Erasotzaileek gure pasahitzak zein diren asmatzeko erabil ditzakete. Prozesu automatizatuen bidezko automatizazioak segundo bakoitzean milaka pasahitz probatzea ahalbidetzen du. Arazoa are larriagoa da sartzeko gehieneko saiakera-muga ezarri ez dugunean edo autentifikazioko bigarren faktorea (2FA) erabiltzen ez dugunean.
Jardunbide egokiak pasahitzak kudeatzeko garaian
1. Erabili beti pasahitz sendoak, konplexuak eta beste batzuek asmatzeko zailak direnak. Pasahitz horiek ez dira inoiz partekatu behar edo hirugarren batzuen begi-bistan utzi behar.
Honako hauek dira pasahitzak erabiltzearekin lotutako gomendioak:
- Gutxienez 12 karaktere izan behar ditu; zenbat eta laburragoak, orduan eta asmatzeko errazagoak.
- Ahal dela, letren, zenbakien eta beste karaktere berezi batzuen nahasketa izan behar dute (honako hauek, adibidez: * ( # @) eta maiuskulak eta minuskulak konbinatu.
- Ez erabili lehenetsitako pasahitzik. Sistema eta aplikazioetan lehenetsita etortzen diren pasahitzak erabiltzea ekidin behar dugu; izan ere, erraz identifika daitezke ohiko zerbitzu askotan komunak direlako edo haietako asko Interneten topa daitezkeelako.
- Aldatu aldizkakotasunez eta ez errepikatu.
- Ez oinarritu informazio pertsonalean. Ez erabili inoiz honelako pasahitzik: norbaiten urtebetetzea, senide edo maskota baten izena, telefono-zenbakiak edo NAN zenbakia eta abar.
- Ez erabili pasahitz bera zerbitzu/sistema/aplikazio ugaritarako. Zerbitzu bakoitzean pasahitz ezberdin bat erabiltzea komeni da. Erasotzaile batek zerbitzu batera sartzeko pasahitza eskuratzen badu, lehenengo eta behin, pasahitz hori erabiliko du gure gainerako zerbitzuetara sartzen saiatzeko.
- Ez litzateke hizkuntzaren bateko hitza izan behar.
Pasahitz konplexua definitu dugunean, baliteke zein zen gogoratzea zaila izatea. Badago pasahitz konplexuak gogoratzeko teknika erraz bat eta, aldiz, erasotzaile batek asmatzeko oso zaila da. Teknika horren arabera, esaldi bat pentsatu eta aurrez esan ezin daitezkeen aldaketak erabili behar ditugu. Aldaketa posible bat litzateke letra jakin batzuk karaktere berezi batekin ordezkatzea edo gure pasahitzerako hitz bakoitzaren lehen hitza erabiltzea. Adibide moduan, hurrengo pasahitza erabiliko dugu: E,eduPhi4l. Konplexutasun-eskakizunak betetzen ditu, baina a priori, oroitzeko zaila izan daiteke. Aldiz, askoz ere errazagoa izango da lehenengo esaldi hau pentsatzearen teknika erabiltzea: “ez, ez dut uste pasahitz hau inork asmatuko lukeenik”.
Antzeko beste aukera bat da gutxienez 3 hitz kateatu erabiltzea (ahal dela, hizkuntzaren batekoak ez direnak).
Pasahitz sendo bat sortzeko beste aukera bat izaten da pasahitzen sortzaile bat erabiltzea. Programa horrek, ausaz, pasahitz sendoak eta konplexuak erabiltzen ditu. Zerbitzu bakoitzerako pasahitz ezberdinak erabili behar direnez, zaila eta gogaikarria izan daiteke guztiak gogoratzea. Hori guztia gure partez egiten duten aplikazioak daude. Aplikazio horiek pasahitzen kudeatzaileak dira; zerbitzu ugarietarako gure pasahitzak eta erabiltzaile-izenak gordetzen dituzte zifratutako fitxategi batean pasahitz “nagusi” baten bidez. Hala, erabiltzailearen kontu guztiak tresna beretik kudea ditzakegu, pasahitz nagusi bakarra buruz ikasi behar izanda. Gako horrek oso sendoa izan behar du; izan ere, erasotzaileak gure fitxategira sartzea eta pasahitz nagusi hori zein den asmatzea lortzen badu, gure zerbitzu guztietarako sarbidea izango du. KeePass, adibidez, pasahitzen kudeatzaile bat da; gainera, kode irekikoa da eta doan erabil daiteke.
2. Pasahitzak modu seguruan gordetzea: pasahitzak pribatuak dira eta ez dira hedatu behar
- Ez dira agerian dauden eta irisgarriak diren paperetan, post-itetan, koadernoetan edo orrietan gorde behar.
- Kredentzialak beharrezkoak ez direnean, baja eman behar zaie.
- Pasahitz bat ematen digutenean, guretzat bakarrik da. Hirugarren pertsona batek gure pasahitza eskatzen badigu, sartu nahi duen zerbitzuko administratzaileak eman beharko diola erantzun beharko diogu.
- Ez dira kredentzialak zifratu gabe biltegiratu behar.
- Pasahitzak nabigatzaileetan biltegiratzea ez da aukerarik seguruena; izan ere, sistema arriskuan egonez gero, gure pasahitzak ere arriskuan egon daitezke (“gogoratu pasahitza” aukera)
3. Kredentzialak modu seguruan jakinaraztea
- Ez dira kredentzialak komunikazioen egiazkotasuna eta isilpekotasuna bermatzen ez duten komunikazio-sistemen bidez bidali behar.
- Kredentzialak mezu elektroniko bidez bidali behar badituzu, bidali aurretik horiek zifratzea ahalbidetzen duen softwarea erabili beharko zenuke.
- Eskatu arren, inoiz ez eman zure kredentzialak telefono bidez.
4. Aldizka berritzea eta pasahitz ezberdinak erabiltzea
- Pasahitz bat agerian gera daiteke sistemetan edo zerbitzuetan arriskuak edo filtrazioak egonez gero. Horrenbestez, aldizka gure zerbitzuetako pasahitzak aldatzea eta pasahitz zaharrak ez berrerabiltzea komeni da.
- Kredentzialak galdu ditugula susmatuz gero (birus bat edo sistemako beste malware bat dela eta), bizkor berritu behar dira.
- Inoiz ez partekatu sartzeko kredentzialak.
5. Autentifikazioko faktore bikoitza erabiltzea
Autentifikazio-prozesuari segurtasuneko beste maila bat gehitzen dion segurtasuneko oso neurri eragingarria da. Zerbitzura sartzeko pasahitza eskatzeaz gain (dakigun zerbait), autentifikazioko bigarren faktore bat ere eskatzen du (dugun edo garen zerbait). Askotan, bigarren faktore hori honako hauetako bat izaten da:
- Telefonora bidalitako kodea.
- Koordenatuen txartela.
- Token batek, kanpoko gailu batek edo aplikazio batek (Google Authenticator, Microsoft Authenticator, Authy, eta abar) sortutako ausazko kodea.
- Hatz-marka.
- Eta abar.
Autentifikazio-faktore bikoitzeko sistemak sartzeko pasahitza bakarrik eskatzen dutenak baino askoz ere seguruagoak dira; izan ere, erasotzaile batek gure pasahitza eskuratzen badu, ezingo du zerbitzura sartu bigarren autentifikazio-faktorea falta zaiolako.
Aktibatzea beti egokia litzatekeen arren, gutxienez maiztasun handienarekin elkarrekiten dugun edo datu garrantzitsuenak dituzten zerbitzuetarako erabiltzea komeni da (onlineko bankuaren kudeaketarako, e-commercerako, sistemen administraziorako, posta elektronikoko zerbitzurako eta abarretarako, esate baterako). Zerbitzu horietako askok (Facebook, Dropbox, Twitter, Gmail, Amazon, eta abar) jasotzen dute doan autentifikazio-faktore bikoitza. Aktibatzen jakiteko, haien orrialdeetan kontsultatu, besterik ez dugu egin behar. Beste batzuek, aldiz, aktibatuta izaten dute. Onlineko bankuko zerbitzu guztiek, adibidez, pasahitzaz gain, autentifikazioko faktore bikoitza eskatzen dute gaur egun.
Intereseko estekak
https://www.ncsc.gov.uk/collection/passwords/updating-your-approach
https://www.ncsc.gov.uk/collection/passwords/updating-your-approach
https://www.incibe.es/protege-tu-empresa/blog/dos-mejor-uno-doble-factor-acceder-servicios-criticos
https://www.incibe.es/sites/default/files/contenidos/politicas/documentos/contrasenas.pdf
