Kontrola síly zadávaného hesla

V rámci zvýšení zabezpečení emailových služeb obsahuje webmail kontroly síly zadávaného hesla, které jsou prováděné při každém přihlášení nebo změně hesla.
Nebezpeční slabého hesla
Jedním z důvodů implementace byly a jsou neustávající úspěšné pokusy o prolamování slabých hesel. S tím úzce souvisí, že dříve bylo možné slabá hesla v původním mailadminu nastavit, takže určité množství emailových účtů stále používá slabá hesla. V konfiguraci našeho smtp serveru je nastaveno, že pro úspěšné odesílání je nutné použít autentizaci zadáním přihlašovacích údajů k existující emailové schránce. Pokud hacker toto heslo získá (ať již jeho uhodnutím nebo zcizením ze zavirovaného počítače), nic mu nebrání zahájit odesílání spamů. Na našich SMTP serverech to nemá až zas tak moc jednoduché – z velkého množství zemí odesílat nemůže, i když se úspěšně autorizuje. Toto je způsobeno používáním GeoIP databáze, ve které jsme na základě analýzy odesílání běžných emailů našich zákazníků a spamování přidali země, ze kterých bylo hlavně spamováno a není tedy možné z nich emaily odesílat. Dále pak spammer narazí na limity počtu odeslaných zpráv, aktivní antispamovou kontrolu atd. Více popisuje příspěvek naší znalostní báze Konfigurace SMTP serveru. Díky těmto opatřením antispamový software běžící na našich serverech podstatné množství emailů vyhodnocených jako spam rovnou zablokuje a spamování je rychle odhaleno.

Na základě našich zkušeností můžeme potvrdit, že i odeslání několika spamů může způsobit problémy.  Jejich příjemci mohou v rámci ochrany proti spamu přidat adresu našeho SMTP serveru do blacklistu svého poštovního serveru, použít k reportu veřejné blacklisty, emaily také mohou být doručeny do spamových pastí (neveřejné emailové adresy) společností provozujících blacklisty (u některých blacklistů stačí dokonce i jediný email). A právě zde je nebezpečí. Umístění SMTP serveru na blacklistu může zapříčinit v lepším případě označování legitimních emailů jako spam, v horším pak přímo odmítání všech emailů odesílaných naším SMTP. Použití slabého hesla není tedy nebezpečné pouze v tom, že hacker, spammer nebo i kdokoliv z okolí, kdo heslo díky sociálnímu inženýrství uhodne, může bez omezení číst naše emaily. Protože SMTP server je sdílená služba využívaná desetitisíci našich zákazníků, doplácí na jednotlivce všichni ostatní. A to nemluvíme o dopadu na reputaci našeho SMTP serveru.

Předcházíme spamování
Zkvalitnění ochrany našich poštovních serverů jsme řešili nasazením vysoce účinného antispamového a antivirového softwaru společnosti Cloudmark, který zajišťuje aktivní ochranu. Preventivní opatření jsou implementovány i na dalších frontách. Jde jednak o emailové účty vytvářené automaticky v rámci objednávky hostingu (zde jsou nesnadno prolomitelná hesla generována defaultně), dále také i úpravy webmailu tak, aby určitá hesla nebylo vůbec možné nastavit. U slabých hesel pak dochází po určitém počtu přihlášení k zobrazení informace o nedostatečné síle hesla a výzvě ke změně.

Více o kontrolách ve webmailu
Při přihlášení do webmailu, změně hesla emailového účtu či vytváření nového dochází k několika kontrolám. Uživatel je o výsledcích informován indikátorem síly hesla při jeho změně nebo - pokud je při přihlášení do webmailu zadávané heslo vyhodnoceno jako slabé - zobrazením stránky formuláře změny hesla s každých 30 přihlášení.
1. splnění požadavku na heslo
2. kontrola síly hesla

Splnění požadavku na heslo

• Mezi nejsnadněji uhodnutelná hesla patří logicky taková hesla, která obsahují údaje zjistitelné přímo z emailové adresy - tedy jméno, doména či jejich kombinace pro zvýšení bezpečnosti následovaná jedním znakem. Dále pak řady nebo opakující se znak - 123456, abcde, 11111111. Nesmíme zapomenout ani na velmi krátká hesla.
• Všechny tyto varianty jsou při vytváření nového emailového účtu nebo změny hesla vyloučeny. Pokud již bylo toto heslo v minulosti nastaveno, neumožňuje stránka změny hesla pokračovat bez jeho změny (viz. obrázek výše).

• Při jakékoliv změně hesla dochází ke kontrole jeho síly. Složitost hesla je posuzována podle jeho délky, výskytu velkých písmen, čísel a speciálních znaků. Samozřejmě certifikace není striktní. Pokud je kratší "složité heslo" vyhodnoceno jako "slabé", neznamená to nutně, že je hacker prolomí za chvilku. Indikátor má spíše naznačit, že je vhodné heslo ještě upravit.
• Např. heslo trubka123 je "slabé", po úpravě na Trubka_123 se stává "střední". Trubka_0,5_coul je již delší, obsahuje speciální znaky a velké písmeno, je tedy "silné"
  

---

Poznámka na konec - jaké heslo je heslo silné

Na Internetu najdeme spoustu definic "silného hesla". Většina se shodne na tom, že by mělo být tvořeno: kombinací malých a velkých písmen, čísel a speciálních znaků.

Ano, heslo Ak@47_58#Sa!o9H^x4U je sice hustodémonsky krutopřísné a spammer si s ním těžko poradí (pokud mu jej nezašle zákeřný skript sídlící v počítači ). Naneštěstí si jej ale nezapamatuje ani jeho právoplatný uživatel. Z hlediska zajištění alespoň základního komfortu (zapamatování) a určitého stupně bezpečnosti toto není nejlepší cesta.

Nic se neděje, použijeme běžné slovo, provedeme substituci a změníme i velikost několika písmen. Je tedy libo následující heslo: K@raMb0L_89 - to už je lepší, že? Ale jak si jej zapamatuji? Jaké písmeno je vlastně velké? Které 'a' jsem to vlastně nahradil - první nebo druhé....

Snadno zapamatovatelné heslo nemusí být nutně "slabé". Pražák Jan Novák z Modřan si jistě zapamatuje heslo JnNvk-Prh-Mdrn. Nejde totiž o nic jiného než Jan Novak - Praha-Modrany . Stačí jen vynechat samohlásky a doplnit číslo(a)

A když dávám raději přednost slovům? Žádný problém! I heslo Honza-z-Modran! je snadno zapamatovatelné a přitom rozhodně obtížně prolomitelné (samozřejmě, pokud ho kolega z práce Pepa dobře zná a umí přemýšlet...; ale to je již jiný příběh)