Lozinke su godinama bile osnovna zaštita naših naloga, ali danas sve češće predstavljaju bezbednosni rizik. Hakeri ih kradu iz baza podataka, prodaju na mračnom vebu i koriste za upade u tuđe naloge.
Dobra vest je da već postoji mnogo bezbedniji način prijavljivanja, koji pritom ne zahteva pamćenje komplikovanih karaktera i brojeva.
Reč je o tehnologiji passkey, koju podržava sve više sajtova i aplikacija. Umesto unošenja lozinke, dovoljno je da potvrdite identitet na svom telefonu ili računaru, najčešće otiskom prsta, prepoznavanjem lica ili PIN-om.
Kako passkey štiti vaše naloge
Za razliku od klasičnih lozinki, passkey ne ostavlja tajnu koju hakeri mogu da ukradu iz baze podataka neke kompanije.
Ova tehnologija koristi dva kriptografska ključa. Javni ključ čuva sajt ili aplikacija, dok privatni ostaje na vašem uređaju, u menadžeru lozinki ili u Apple-ovom iCloud Keychain-u. Kada potvrdite identitet, sistem proverava da li se ključevi podudaraju i omogućava prijavljivanje, bez slanja privatnog ključa sajtu.
Passkey tehnologiju razvila je organizacija FIDO Alliance, a njena prednost nije samo jednostavnije prijavljivanje. Ovi ključevi ne mogu da se pogode poput običnih lozinki, niti mogu da se iskoriste na lažnim sajtovima koji imitiraju originalne.
Čak i kada hakeri uspeju da provale u bazu podataka neke kompanije, tamo neće pronaći privatne ključeve korisnika. To znatno smanjuje vrednost ukradenih podataka i otežava preuzimanje naloga.
Ipak, passkey nije zaštita od baš svakog napada.
Trevor Hiligos, istraživač bezbednosti i direktor za analizu pretnji u kompaniji SpyCloud, upozorava da hakeri imaju način da zaobiđu čak i ovu tehnologiju. Umesto krađe lozinke, koriste zlonamerni softver kako bi preuzeli kolačiće iz internet pregledača.
Kolačići omogućavaju sajtovima da zapamte da ste već prijavljeni, a ako haker ukrade onaj koji potvrđuje aktivnu sesiju, može da pristupi nalogu bez ponovnog unošenja lozinke ili provere identiteta.
"Možete da koristite passkey, menadžer lozinki, 'imepsa2023' ili šta god želite. To zapravo nije važno, jer je autentifikacija već obavljena pomoću tog kolačića", objašnjava Hiligos. "Kriminalci oponašaju već autentifikovanu sesiju. Zato sajt vidi samo važeći kolačić".
Takvi kolačići mogu da ostanu aktivni od nekoliko sekundi do nekoliko godina. To znači da napadač, nakon njihove krađe, potencijalno može neprimetno da pristupi elektronskoj pošti, ličnim podacima ili novcu.
Jedno podešavanje može dodatno da vas zaštiti
Hiligos ističe da vlasnici sajtova moraju bolje da zaštite korisničke sesije od ovakvih napada. Korisnicima u međuvremenu savetuje da koriste passkey gde god je dostupan, a na ostalim servisima jake i jedinstvene lozinke.
Pojedini sajtovi nude i mogućnost podešavanja trajanja korisničke sesije, što može da smanji rizik od zloupotrebe ukradenih kolačića.
Kada se pojavi prozor sa podešavanjima privatnosti, nemojte odmah kliknuti na "Accept". Potražite odeljke "Cookies" ili "User Data" i, ukoliko postoji takva opcija, izaberite najkraće trajanje sesije. Na taj način kolačići mogu automatski da isteknu nakon određenog vremena ili zatvaranja pregledača.
