Geslo v računalništvu: definicija, vrste in varnost

Geslo je način avtentikacije. Uporablja se lahko kot sredstvo za identifikacijo osebe. Ker je geslo edini način identifikacije osebe, mora biti tajno. Geslo je lahko statično. To pomeni, da bo ostalo enako, razen če ga uporabnik ne spremeni, ali pa se le redko spreminja. Lahko pa je geslo dinamično. Dinamično geslo se redno spreminja in ne ostane enako. Ena vrsta dinamičnega gesla je enkratno geslo, ki ga je mogoče uporabiti samo enkrat.

Gesla so bila prvič uporabljena v vojski. Tako je bilo mogoče ugotoviti, kdo je prijatelj in kdo sovražnik, ko je bilo temno.

Sodobna gesla so sestavljena iz znakov, črk in številk. Včasih geslo zahteva minimalno število znakov. Običajno je to od šest do osem znakov. Nekatera spletna mesta dovoljujejo le uporabo črk in številk, ne pa tudi drugih znakov na tipkovnici. Druga spletna mesta svetujejo uporabo kombinacije črk in številk za povečanje "moči" gesla. Spletna mesta svetujejo tudi, da geslo zamenjate enkrat na leto ali pogosteje, da preprečite vdore. Če je geslo prelahko, ga lahko oseba ugiba. Med tipkanjem je vsaka črka gesla prikazana kot * ali -.

Drugi načini preverjanja istovetnosti osebe vključujejo uporabo čitalnikov prstnih odtisov in zaznavanje obrazov.

Šifriranje je prevajanje podatkov za doseganje varnosti podatkov. Za branje šifriranega niza je treba zagotoviti skrivni ključ ali geslo za njegovo dešifriranje.

V sistemih, ki uporabljajo dejanja na podlagi prijave, se lahko geslo pretvori v prvotni niz, če je zagotovljen ključ. Hashing je enosmerna funkcija in je nepovratna.

Vrste gesel in avtentikacije

Gesla lahko razvrstimo po trajanju in načinu uporabe:

• Statična gesla: ostanejo nespremenjena, dokler jih uporabnik ne spremeni.
• Dinamična gesla: spreminjajo se samodejno ali periodično (npr. gesla, generirana s tokeni ali aplikacijami za OTP).
• Enkratna gesla (OTP): veljavna le za eno sejo ali kratek čas — uporabna proti ponovnim napadom.
• Biometrična avtentikacija: prstni odtis, prepoznavanje obraza, glasovna identifikacija — pogosto kot del večfaktorske avtentikacije.
• Večfaktorska avtentikacija (MFA): kombinacija nečesa, kar veste (geslo), nečesa, kar imate (telefon/token), in nečesa, kar ste (biometrija).

Kako ocenimo moč gesla

Moč gesla ni odvisna le od dolžine ali vrste znakov, ampak tudi od nepredvidljivosti. Boljši ukrepi za moč gesla:

• dolžina vs. kompleksnost — dolg passphrase (npr. več besed) pogosto nudi večjo varnost kot kratek zapleten niz;
• unikatnost — vsaka storitev naj ima svoje geslo (ne ponavljajte gesel med spletnimi mesti);
• uporaba generatorjev gesel ali upravljalnikov gesel za ustvarjanje in shranjevanje dolgih naključnih gesel;
• izogibanje predvidljivim vzorcem, rojstnim datumom, imenam družinskih članov ali besedam iz slovarjev.

Glavne vrste napadov na gesla

• Brute force: napadalec preizkuša vse možne kombinacije — zaščita: dolga gesla in omejitve poskusov (rate limiting, zaklep).
• Dictionary napad: uporaba seznama pogostih gesel ali besed iz slovarja — zaščita: izogibanje besednim geslom in preverjanje proti seznamom kompromitiranih gesel.
• Phishing: spletne prevare za pridobitev gesel — zaščita: previdnost, preverjanje URL-jev, uporaba MFA.
• Keyloggerji in malware: beleženje vnosov na tipkovnici — zaščita: varnostna programska oprema, posodobitve, omejevanje privilegijev.
• Reuse in credential stuffing: uporaba že ukradenih kombinacij uporabnik/geslo na drugih straneh — zaščita: unikatna gesla in preverjanje kompromitiranih računov.

Shranjevanje in preverjanje gesel: šifriranje, hash in najboljše prakse

Pomembno je razlikovati šifriranje in hashing:

• Šifriranje (enkripcija) je obratno procesu — za dešifriranje potrebujete ključ. Šifriranje se uporablja za zaščito prenosov in shranjenih podatkov, kadar želite pozneje obnoviti vsebino.
• Hashing je enosmerna funkcija — vhod je enkripcijsko »stisnjen« v hash, ki ga ni mogoče enostavno povrniti v prvotni niz. Za shranjevanje gesel v bazi je hashing priporočljiv, vendar z dodatkom salta in uporabe počasi delujočih algoritmov (KDF): Argon2, bcrypt, scrypt, PBKDF2.

Priporočila za upravljanje gesel na strežniški strani:

• nikoli ne shranjujte gesel v navadnem besedilu (plaintext);
• uporabite edinstvene, naključne salte za vsak zapis;
• uporabite sodobne, prilagodljive KDF algoritme (npr. Argon2) z ustreznimi parametri za čas in pomnilnik;
• redno posodabljajte varnostne prakse in preverjajte kompromitirane baze gesel;
• pri resetiranju gesla uporabljajte varne enkratne povezave oziroma tokene z omejenim časom veljavnosti.

Dodatne metode avtentikacije

Poleg gesel se vedno bolj uveljavljajo metode, kot so:

• uporaba aplikacij za OTP (Google Authenticator, Authy) ali strojnih varnostnih ključev (FIDO2, U2F);
• biometrija — primerna za enostavnejšo prijavo na napravah, vendar ne nadomesti popolnoma močne strežniške avtentikacije;
• gesla v kombinaciji z dodatnim faktorjem (MFA) močno zmanjšajo tveganje nepooblaščenih vdorov.

Priporočila za uporabnike in skrbnike

• uporabljajte dolga in unikatna gesla ali passphrase (priporočljivo vsaj 12–16 znakov ali več);
• uporabljajte upravljalnik gesel za shranjevanje in generiranje kompleksnih gesel;
• omogočite in zahtevajte večfaktorsko avtentikacijo, kjer je le mogoče;
• ne odgovarjajte na sumljive e-poštne zahteve po geslih in preverjajte pristnost strani pred vnosom občutljivih podatkov;
• za skrbnike: uveljavite zaščite proti napadom (omejitev poskusov prijave, CAPTCHA, blokiranje IP, opozorila o sumljivih prijavah) in redno posodabljajte sisteme;
• izogibajte se obveznemu pogostemu menjavanju gesel, razen v primeru sumljivih aktivnosti — pogoste prisilne menjave lahko vodijo v šibke, ponavljajoče se gesla.

Zaključek

Gesla ostajajo temelj digitalne avtentikacije, vendar sama po sebi niso več zadosten element obrambe proti sodobnim napadom. Najboljša praksa vključuje uporabo dolžine in nepredvidljivosti gesel, pravilno shranjevanje (hash+salt z modernimi KDF), uporabo večfaktorske avtentikacije ter izobraževanje uporabnikov in skrbnikov o nevarnostih, kot so phishing in credential stuffing. S kombinacijo teh pristopov lahko znatno zmanjšamo tveganje nepooblaščenega dostopa.

Vprašanja in odgovori

V: Kaj je geslo?

V: Zakaj je pomembno, da so gesla tajna?

V: Kaj pomeni, da je geslo statično?

V: Kaj pomeni, da je geslo dinamično?

V: Katero vrsto dinamičnega gesla je mogoče uporabiti samo enkrat?

Išči po črki