Nigdy więcej Dnia Zmiany Hasła

Na początku lutego obchodziliśmy Dzień Zmiany Hasła.  Muszę przyznać, że po raz kolejny go przegapiłem.  I mam nadzieję, że Wy również…

Już tłumaczę dlaczego.

Koncepcja zmiany hasła ma swoje korzenie jeszcze w czasach, kiedy pracowaliśmy w środowiskach UNIX’owych, które początkowo przechowywały nasze “sekrety”, co prawda w formie zaszyfrowanej, za to dostępnej dla wszystkich. Znaczy to mniej więcej tyle, że każdy mógł spróbować rozszyfrować hasło innej osoby.  A ponieważ zajmowało to – w zależności od długości hasła i stopnia jego skomplikowania – od minut do kilku miesięcy, rozmaite poradniki namawiały do okresowej zmiany naszego tajnego słowa. Później, w dobie popularyzacji Internetu, a zwłaszcza wczesnego Weba, hasła były przesyłane w formie jawnej.  I ta sama dobra praktyka miała chronić nas przed sytuacjami, kiedy hasła mogłyby być przez kogoś przechwycone i wykorzystane.

Od tego czasu jednak wiele się zmieniło.  Nie pracujemy w środowiskach terminalowych, protokół HTTP stał się HTTPS-em, z dodatkowa literką “S” oznaczającą “Secure” (m.in. oznaczające zabezpieczenia naszych haseł).  Niestety zmiany poszły również i w złym kierunku.  Mnogość i wartość danych, jakie znalazły się w sieci spowodowały, że przestępcy opracowali wiele mechanizmów pozwalających na łatwe ich przejęcie. Najczęstszym i pierwszym krokiem w tym kierunku jest poznanie naszego hasła poprzez jego podejrzenie, podsłuchanie, wykradzenie, wyłudzenie, odgadnięcie czy odszyfrowanie.  

Na szczęście dziś nie musimy już polegać na samym haśle.  Opracowano bowiem inne, bezpieczniejsze, a często i wygodniejsze metody potwierdzania tożsamości w sieci, czyli tzw. uwierzytelniania. Są to mechanizmy bazujące na tym, co mamy przy sobie – na przykład przypominające pendrive’y klucze sprzętowe czy wyposażone w odpowiednie aplikacje mobilne smartphony, które sprawdzają naszą tożsamość w oparciu o nasze cechy biometryczne. W końcu stosunkowo niedawno wprowadzone do powszechnego użytku telefony z iOS’em czy Androidem odblokowujemy głównie odciskiem palca czy obrazem twarzy, ewentualnie krótkim PIN’em, a nie skomplikowanym hasłem.  Tę funkcjonalność – nie bez powodu przecież – coraz częściej przejmują komputery osobiste i pracujące na nich systemy operacyjne.

Okresowa zmiana hasła traci więc sens.  I zamiast pamiętać o przestarzałym, jak samo hasło dniu jego święta, proponuję, żebyśmy korzystali z innych sposobów uwierzytelniania.  I to każdego dnia i w każdym serwisie, gdzie mamy swoje jakiekolwiek konto.