رمزهای عبور چگونه کار می کنند؟

هر زمان که می خواهید خریدی انجام دهید، نظری را در یک انجمن ارسال کنید، یا حتی مطالبی را در بسیاری از وب سایت ها بخوانید، از شما خواسته می شود که یک رمز عبور ایجاد کنید (و به خاطر بسپارید!).

اما هنگام ایجاد رمز عبور واقعا چه اتفاقی می افتد؟و چگونه این فرآیند به حفظ امنیت اطلاعات شما کمک می کند؟هنگامی که یک رمز عبور در یک وب سایت ایجاد می کنید، آن رمز عبور به طور کلمه در سرور وب سایت ذخیره نمی شود. این به این دلیل است که در صورت به خطر افتادن امنیت سرور، رمز عبور شما آزادانه در دسترس خواهد بود.

در عوض، رمز عبور شما از طریق فرآیندی به نام "هش کردن" قرار می گیرد که امنیت را به طور قابل توجهی بهبود می بخشد (به شرط اینکه رمز عبور شما به اندازه کافی قوی باشد).

هش چیست و چگونه کار می کند؟

هش کردن رمز عبور شما (یا هر قطعه داده دیگری) را با استفاده از یک الگوریتم رمزگذاری به رشته ای کوتاه از حروف و/یا اعداد تبدیل می کند.

اگر یک وب سایت هک شود، مجرمان سایبری به رمز عبور شما دسترسی ندارند. در عوض، آنها فقط به "هش" رمزگذاری شده ایجاد شده توسط رمز عبور شما دسترسی پیدا می کنند.

یک تابع هش متداول md5() است که یک رشته 32 کاراکتری را از هر ورودی برمی گرداند. در زیر چند نمونه از ظاهر هش آورده شده است:

1. md5(helloworld) = fc5e038d38a57032085441e7fe7010b0
2. md5(hell0world) = 0a123b92f789055b946659e816834465
3. md5(g84js; l238fl-242ldfsosd98234) = 42e7862f4ad5225471866d2023fc4cca#
4. md5(helloworld) = fc5e038d38a57032085441e7fe7010b0

از این مثال ها می توانیم چندین چیز درباره هش ها یاد بگیریم:

تغییرات کوچک اهمیت زیادی دارند - به مثال های 1 و 2 نگاهی بیندازید. فقط یک رقم از "o" به "0" تغییر یافته است. این یک تغییر بسیار کوچک است، و با این حال خروجی دوم از اولی قابل تشخیص نیست.

طول خروجی هرگز تغییر نمی کند - ورودی در مثال 3 به طور قابل توجهی طولانی تر از نمونه های دیگر است، اما خروجی با همان طول (32 کاراکتر) تولید می کند. شما می توانید یک کتاب کامل را در تابع هش md5() وارد کنید و همچنان یک رشته 32 کاراکتری به عنوان خروجی دریافت خواهید کرد.

قابل تکرار - یک ورودی همیشه هنگام هش کردن با استفاده از عملکرد یکسان، خروجی یکسانی را ارائه می دهد. اگر اینطور نبود، آنها فقط یک خروجی تصادفی تولید می کردند که برای رمزهای عبور بی فایده بود.(من همان تابع را در مثال 1 به عنوان مثال 4 قرار دادم تا ببینم آیا توجه می کنید یا خیر.)

معکوس سخت است - حتی اگر یک مجرمان سایبری بتوانند عملکردی را که برای ایجاد هش استفاده می شود ، بگوید ، معکوس کردن آن عملکرد و تولید رمز عبور تقریباً غیرممکن است. در واقع ، این بسیار سخت است که تلاش میلیون ها ترکیب برای تلاش و تولید نتیجه نهایی (یک حمله بی رحمانه) به طور معمول سریعتر از محاسبات مورد نیاز برای معکوس کردن روند هشویی است.

چگونه از هشدار رمز عبور برای اعطای دسترسی استفاده می شود؟

بیایید ببینیم که چگونه هش در عمل کار می کند:

• مرحله 1 - کاربر از یک سایت بازدید می کند و فرم را برای ایجاد نام کاربری و رمز عبور خود پر می کند.
• مرحله 2 - این رمز عبور از طریق یک عملکرد هش قرار داده شده و هش در پایگاه داده ذخیره می شود.
• مرحله 3 - هنگامی که کاربر وارد سیستم می شود ، رمز ورود خود را دوباره در سایت وارد می کند.
• مرحله 4 - آن رمز ورود وارد شده از طریق همان عملکرد هشویی که قبلاً استفاده شده بود اجرا می شود.
• مرحله 5 - سرور این هش را در برابر نمونه ذخیره شده برای کاربر در پایگاه داده بررسی می کند.
• مرحله 6 - اگر این دو هش دقیقاً مطابقت داشته باشند ، به کاربر دسترسی پیدا می کند.

آیا هش برای ایمن نگه داشتن رمزهای عبور کافی است؟

دانستن اینکه هش ها بدون توجه به رمز عبور خود را انتخاب می کنید ، ممکن است وسوسه شوید که یک رمز عبور کوتاه و به یاد ماندنی را انتخاب کنید. در واقع ، شما باید برعکس انجام دهید. رمز عبوری که انتخاب می کنید برای ایمن نگه داشتن داده های خود بسیار مهم است.

هنگامی که یک مجرمان سایبری رمز عبور خود را از یک وب سایت بدست آورد ، روند واقعی هک کردن رمز عبور آغاز می شود. این فرآیند به صورت آفلاین ، در رایانه مجرمان سایبری اتفاق می افتد. مجرمان سایبری ترکیبی از کاراکترها را در یک عملکرد هشدار قرار می دهند تا زمانی که هش که مطابق با شما باشد ایجاد شود.

از آنجا که خود توابع به خوبی شناخته شده است ، مجرمان سایبری رمز عبور به راحتی می توانند هش را برای کلمات شناخته شده و سایر ترکیبات رایج انتخاب کنند. سپس آنها با گذرواژه های ترک خورده در برابر این فرهنگ لغت مطابقت دارند.

این فرهنگ لغت ها فراتر از کلمات ساده پیش می روند. آنها شامل پیشوندها ، پسوندها ، تمرین تغییر حروف برای اعداد (به عنوان مثال 1 به جای L) و موارد دیگر هستند. این بدان معنی است که رمزهای عبور ضعیف می توانند خیلی سریع شکسته شوند.

می توانید ببینید که چگونه رمزهای عبور ساده در وبلاگ ، پنج ابزار محبوب ترک خوردگی رمز عبور می توانند شکسته شوند.

برای امنیت قوی رمز عبور ، شما باید:

• یک رمز عبور طولانی و به ظاهر تصادفی ایجاد کنید
• آن رمز را به صورت دوره ای تغییر دهید
• هرگز از این رمز عبور در وب سایت های دیگر استفاده نکنید

مدیریت PAM و رمز عبور

بشر برای ایجاد رمزهای عبور قوی و به یاد ماندنی تلاش می کند. هنگامی که ما در این کار ناکام هستیم ، داده های مالی و شخصی خود را در معرض خطر قرار می دهیم.

برای مشاغل، خطر حتی بیشتر است. حتی اگر امنیت شبکه شما قوی باشد، اگر افراد از گذرواژه های یکسانی برای سیستم های داخلی، برنامه ها و وب سایت های متعدد شما استفاده می کنند، شبکه شما ممکن است بدون هک کردن کسی نفوذ کند. برای مثال، اگر ایمیل شخصی کاربر نقض شود، ممکن است یک مجرم سایبریهمان رمز عبور را در حساب کاری آنها امتحان کنید، احتمالاً به داده های تجاری حساس دسترسی پیدا کنید.

راه حل های مدیریت دسترسی ممتاز (PAM) به طور خودکار رمزهای عبور پیچیده را تولید کرده و به طور منظم آنها را می چرخانند. بنابراین، حتی اگر یک مجرم سایبری به یک هش دسترسی پیدا کند، نمی تواند به راحتی یک حمله brute-force انجام دهد. راه حل های PAM کمک می کند تا اطمینان حاصل شود که گذرواژه ها منحصربه فرد هستند و هرگز به اشتراک گذاشته نمی شوند، بنابراین حتی اگر مجرمان سایبری یک رمز عبور دریافت کنند، احتمال کمتری دارد که از آن رمز عبور برای دسترسی بیشتر استفاده کنند.

با PAM، کاربران ممتاز نیازی به به خاطر سپردن گذرواژه ها یا تغییر آن ها ندارند. مدیریت رمز عبور سازمانی شما به صورت خودکار، پشت صحنه، بدون ایجاد وقفه در بهره وری کاربر انجام می شود.