Lozinka je kao seks: što je kompliciranija, manje je ljudi ima.

Četrdeset godina industrijske opsesije sigurnošću i još uvijek razgovaramo o tome kako natjerati korisnike da ne pišu “Password123” na post-it ljepilu ispod tipkovnice. Svaka firma koja je ikad implementirala Active Directory prošla je kroz taj ritual: netko iz sigurnosnog odjela, s očima koje gledaju u vječnost, odluči da lozinka mora imati četrnaest znakova, bar dva velika slova, jedan broj, jedan posebni znak i žrtvovanje prvorođenog djeteta — i onda se čudi što korisnici pišu “Ljeto2024!” na ljepilu. Nije drago. Nije slučajno. Nije greška. To je prirodna reakcija organizma na sustav koji je dizajniran kao da su korisnici neprijatelji, a ne ljudi koji bi trebali obaviti posao.

Problem nije u lozinkama. Problem je u pretpostavci da korisnik želi provesti pet minuta pokušavajući upamtiti “Xk9mP2$vQ1” dok mu šef stoji nad ramenom i pita zašto još nije poslao mail. Svaki admin koji je ikad sjedio na drugoj strani telefona i slušao “ne mogu se ulogirati, piše mi nešto o pravilima” zna da je bitka izgubljena u trenutku kad pravila postanu važnija od upotrebljivosti. To je kao da kažeš kuharu da ne smije koristiti nož jer je opasan, pa mu daš škare. Tehnički ispravno, praktično katastrofa.

Pristup koji konačno počinje dobivati na snazi je — začudo — ljudski. Umjesto da korisnika tretiraš kao potencijalnog špijuna koji će izdati tajne prvom prolazniku, daj mu alate koji rade s njim, ne protiv njega. Passphrase nije pjesma, ali je fraza koju ljudi pamte jer ima smisla. “Moja mačka voli jesti tunjevinu” je duža i sigurnija od “T4r@bu$!k” — i niko je neće zapisati na papir jer je već u glavi. To nije magija. To je osnovno razumijevanje ljudske memorije, koje je u IT sigurnosti bilo ignorirano jer smo svi htjeli izgledati pametno s kompliciranim pravilima.

A tu dolazimo do druge razine: zaštita od probijenih lozinki. Nema smisla da korisnik pamti genijalnu passphrase ako je netko već objavio tu istu frazu na dark webu prije tri godine. Sustavi koji provjeravaju je li lozinka već kompromitirana — i to u stvarnom vremenu, bez slanja lozinke van — nisu luksuz. To je osnovna higijena. Kao da pereš ruke prije jela. Ne radiš to zato što si poseban, nego zato što ne želiš pokupiti kugu od kvake na vratima. Isto vrijedi i za lozinke: ako je netko već pogodio tvoju lozinku, nema veze koliko je jaka — igra je gotova.

Ali pravi genij leži u nečem drugom. U sposobnosti da priznaš da će korisnici zaboraviti lozinku. Ne “ako”, nego “kad”. I da umjesto da ih kažnjavaš s tri sata čekanja na helpdesk, omogućiš im da je sami resetiraju. Self-service reset lozinke je najveća sigurnosna inovacija od izuma CAPTCHA-e, ali je tretiran kao neka vrsta ustupka slabićima. Koji kurac. To nije ustupak, to je priznanje stvarnosti. Ljudi zaboravljaju. Ljudi mijenjaju posao. Ljudi gube telefone. Ako tvoj sustav ne predvidi ljudsku prirodu, tvoj sustav je loše dizajniran.

I sad dolazimo do ironije. Sve ove stvari — passphrase, provjera probijenih lozinki, self-service reset — postoje već godinama. Specops ih nije izmislio. Samo ih je zapakirao u rješenje koje radi s Active Directoryjem bez da razbiješ cijelu infrastrukturu. I to je ono što je jebeno tužno: da je potrebna komercijalna firma da implementira nešto što bi Microsoft trebao imati ugrađeno u Windows Server od 2008. godine. Ali ne. Microsoft ti daje pravila koja frustriraju korisnike, a onda ti naplaćuje premium licencu da ih popraviš. To nije sigurnosni propust. To je poslovni model.

I zato, kad netko kaže “ne možemo imati jednostavne lozinke jer će nas hakeri probiti”, odgovor je jednostavan: možeš imati jednostavne lozinke ako ih pamtiš kao frazu, provjeravaš jesu li već probijene i daš korisniku mogućnost da ih sam resetira. To nije sigurnosna slabost. To je zrelost. To je priznanje da sigurnost nije rat protiv korisnika, nego partnerstvo s njima. Jer na kraju dana, najsigurnija lozinka je ona koju korisnik ne mora zapisati na ljepilo.

Ako moraš objasniti zašto tvoj sustav ne podržava ljudsku prirodu, vjerojatno je vrijeme da ga zamijeniš.

Izvor: bleepingcomputer.com