Cât de des schimbi parolele: când o parolă nouă, făcută cu un generator, chiar te protejează și când e doar efort în plus

Sfatul „schimbă-ți parola la 90 de zile" a circulat ani de zile prin politicile de securitate, dar practica arată că o parolă puternică, unică și neexpusă protejează mai mult decât zece parole slabe schimbate la termen. Întrebarea corectă nu este „cât de des", ci „când are sens". Mai jos găsești motivele concrete pentru care schimbi o parolă, situațiile în care schimbarea nu ajută și felul în care o refaci în câteva secunde cu un generator de parole.

De ce schimbarea periodică nu mai e regula de aur

Un calendar fix pare logic: dacă o parolă a fost furată fără să știi, o schimbare regulată închide fereastra. Problema e ce fac oamenii când sunt obligați să o facă des:

• aleg o variantă ușor diferită a celei vechi („Primavara1", apoi „Primavara2");
• scriu parola pe un bilet sau într-un fișier, pentru că nu mai pot ține minte atâtea schimbări;
• folosesc același tipar la toate conturile, ca să nu încurce nimic.

Un atacator care are una dintre parole încearcă exact aceste variante. Rezultatul este o securitate mai slabă, cu mai mult efort. Dacă o parolă a fost deja scoasă de un atacator, calendarul nu te ajută oricum: el o folosește imediat, nu la următoarea schimbare.

Când trebuie să schimbi o parolă fără să mai aștepți

Există momente clare în care schimbarea nu se amână.

Serviciul a anunțat o scurgere de date

Dacă un site sau o aplicație la care ai cont anunță o breșă, schimbă parola de acolo și, dacă ai folosit-o și în altă parte, schimb-o peste tot. Motivul pentru care repetarea parolei e riscul numărul unu este detaliat în articolul Aceeași parolă pe mai multe conturi.

Ai dat click pe un mesaj suspect

Dacă ai introdus o parolă pe o pagină care ți s-a părut ciudată, tratează parola ca pierdută, chiar dacă nu s-a întâmplat nimic vizibil. Pașii din primele minute sunt în ghidul despre phishing și ce faci după un click.

Cineva care știa parola a plecat

Când un angajat pleacă sau când se schimbă administratorul unei asociații, parolele conturilor comune trebuie refăcute. Ordinea corectă e descrisă în ghidul despre plecarea unui angajat și în cel despre predarea parolelor la schimbarea administratorului. Același lucru îl spune și SpokAdmin în articolul despre conturile și parolele asociației.

Ai folosit un dispozitiv care nu e al tău

Un calculator public sau împrumutat poate avea programe care înregistrează ce tastezi. Dacă ai intrat într-un cont important de acolo, schimb-i parola de pe dispozitivul tău.

Parola a fost trimisă prin mesaj

O parolă scrisă într-un mesaj, într-un e-mail sau pe un grup de chat rămâne în istoric. Dacă a fost trimisă așa, consideră-o expusă și înlocuiește-o când ai ocazia.

Parola e slabă sau veche și repetată

Aici schimbarea e o curățenie: parolele scurte, cu nume și ani, sau cele folosite pe mai multe conturi trebuie înlocuite, chiar dacă nu s-a întâmplat nimic. Cum arată o parolă bună se vede în ghidul Parola puternică: cum o creezi cu un generator de parole.

Când schimbarea nu ajută

• Parola e deja lungă, aleatoare și unică, iar serviciul nu a anunțat nicio problemă. Schimbarea doar din obișnuință nu aduce un câștig real.
• Parola nouă e doar o variantă a celei vechi. Dacă atacatorul o avea, o va ghici.
• Problema e în altă parte. Dacă dispozitivul tău e infectat sau ai dat unui atacator acces la sesiune, o parolă nouă introdusă pe același dispozitiv ajunge tot la el. Mai întâi curăți dispozitivul.

Cum refaci o parolă rapid, fără să o repeți

Greutatea schimbării vine din faptul că trebuie să inventezi ceva nou. Un generator elimină această greutate. În SpokPass, generatorul rulează în browserul tău: alegi lungimea (implicit 20 de caractere, între 8 și 128), bifezi tipurile de caractere (litere mici, litere mari, cifre, simboluri) și, dacă vrei, excluzi caracterele ușor de confundat, cum sunt 0 și O sau 1, l și I. Simbolurile exclud ghilimelele, apostroful, backslash-ul și spațiul, pentru că unele formulare le taie pe tăcute și ajungi cu o parolă salvată care nu se potrivește cu cea de pe site.

Pașii sunt aceiași pentru orice cont:

1. deschide seiful și intrarea contului respectiv;
2. generează o parolă nouă de cel puțin 20 de caractere;
3. copiază-o (copierea se șterge după 30 de secunde) și schimb-o pe site;
4. salvează noua parolă în intrarea din seif, abia după ce site-ul a confirmat schimbarea;
5. dacă serviciul oferă autentificare în doi pași, activeaz-o acum.

Un manager de parole face din schimbare un gest de un minut, nu un proiect. Ce nu ține de schimbare e parola master: aceea o alegi o singură dată, ca frază lungă, și o schimbi numai dacă ai motiv, așa cum e explicat în ghidul despre parola master.

Lungimea contează mai mult decât frecvența

O parolă aleatoare de 20 de caractere, cu litere, cifre și simboluri, ridică numărul de variante cu mult peste ce poate încerca un atacator. Nu e nevoie să o schimbi periodic, câtă vreme nu are motiv să fie compromisă. Generatorul SpokPass afișează și entropia în biți, ca să vezi cât de mare e spațiul de încercări, iar indicatorul de putere penalizează tiparele cunoscute (un cuvânt cu cifre la coadă, un an, o secvență banală).

Pentru conturile firmei, asta se traduce astfel: parole lungi, generate, unice și schimbate la evenimente (plecări, schimbări de administrator, incidente), nu la calendar.

Un calendar de evenimente în locul unui calendar de zile

Dacă vrei totuși o rutină, leag-o de evenimente, nu de date:

• la fiecare plecare dintr-o funcție cu acces la conturi comune: schimbă parolele acelor conturi;
• la fiecare anunț de breșă de la un serviciu folosit: schimbă parola de acolo;
• la fiecare incident de phishing în firmă: schimbă parola celui afectat și a conturilor cu parole asemănătoare;
• o dată pe an, ca o curățenie: caută în seif parolele slabe sau repetate și le înlocuiește;
• la fiecare cont nou: parolă generată din prima zi.

Un seif ajută și aici, pentru că îți arată ce conturi ai și îți permite să le treci rapid pe rând. Pentru auto-blocare, SpokPass închide seiful după 15 minute de inactivitate (valoare configurabilă), deci o schimbare făcută în pauză nu lasă seiful deschis.

Ce să reții

• Nu schimba parolele după calendar, ci după motiv.
• Parola nouă trebuie să fie complet diferită, nu o variantă a celei vechi.
• Generează-o, nu o inventa, și păstreaz-o în seif.
• Pentru conturile critice, adaugă autentificarea în doi pași acolo unde serviciul o oferă.
• Când pleacă un om cu acces, refă parolele conturilor comune în aceeași zi.

O parolă schimbată la timp, din motiv real, valorează mai mult decât o rutină respectată doar din obișnuință. Iar dacă schimbarea durează un minut, o vei face cu adevărat atunci când trebuie.