پاد اوسینت ۳: آموزش کاربردی ساخت پسورد خوب و قوی

چطور امنیت اکانت هایمان را بالا ببریم؟ چه کنیم تا حساب های بانکی مان کاملا تحت کنترل خودمان باشد و دیگران نتوانند از طریق اینترنت بانک از حساب ما برداشت کنند؟! چطور اکانت اینستاگرام خود را امن کنیم تا هکر ها حیثیت ما را پیش 400هزار فالورمان نبرند؟! چطور مانع از هک شدن اکانت تلگرام خود که در آن تمام صحبت‌های شخصی‌مان با دوستان و آشنایان قرار دارد شویم؟ و هزار چه کنیم و چطور دیگر!

پاسخ به تمام این سوال‌ها، امن کردن اکانت است و ما قصد داریم در سری پست‌های «پاد اوسینت» پاسخ به این سوالات و برخی نکات اساسی برای امنیت در فضای مجازی را مرور کنیم. چرا که همان قدر که اوسینت (OSINT) کردن ارزشمند است، اوسینت نشدن ضروری و حیاتی است!!

پیش تر هم بحثی را درباره اصول امنیت و حریم خصوصی در فضای مجازی آغاز کرده بودیم. اما اینبار اجازه دهید ابتداً بررسی کنیم «اکانت امن» چه اکانتی است و چه ویژگی‌هایی دارد؟ سپس به عنوان اولین گام، نکاتی را درباره پسورد (Password) مرور خواهیم کرد.

اکانت امن چگونه است؟

درِ خانه‌ی همه‌ی ما قفل و کلید دارد. خودروهایمان هم همینطور. ویژگی اصلی این قفل و کلیدها این است که یکتا هستند. یعنی فقط یک کلید به قفل می‌خورد و این تضمین می‌کند که این خودرو یا خانه فقط برای من است و هیچ دزدی نمی‌تواند وارد آن شود (إن‌شاءا…!).

مشابه همین قفل و کلید برای همه‌ی اکانت‌های ما وجود دارد. با این تفاوت که کلید این قفل‌ها را خودمان می‌سازیم.

در اینترنت، یکی از ساده‌ترین این قفل‌ها، رمزعبور یا پسورد اکانت‌هاست. پس ساده ترین قدم برای اینکه اکانت امنی داشته باشید، توصیه می‌شود که پسورد خوبی انتخاب کنید. اما یک پسورد خوب چه پسوردی است؟

به طور کلی پسورد خوب دو ویژگی دارد: اول اینکه «قابل حدس زدن نباشد» و دوم «توسط دیگران هم زیاد استفاده نشده باشد». اما بگذارید این دو مورد را کمی بررسی کنیم:

1. چرا پسورد نباید قابل حدس زدن باشد؟!

اگر این واقعا چنین سوالی دارید، اجازه دهید خیلی صاف و شفاف بگوییم که در سایت اشتباهی هستید. به فیلیمو مراجعه کنید و وقت خود را آنجا سپری کنید بهتر است…!

اما گذشته از شوخی، علت این امر واضح است. اگر من بدانم اکانت شما در اینستاگرام چیست و بتوانم پسوردتان را حدس بزنم، وارد شدن به اکانتتان خیلی خیلی ساده است! اما چه پسوردهایی قابل حدس زدن هستند؟

چه رمز های عبوری قابل حدس زدن هستند؟

هر رمز عبوری که شامل اطلاعات عمومی یا اطلاعاتی که به سادگی قابل کشف باشد، رمزی قابل حدس زدن است. علاوه بر این، پسوردی هم که شامل اطلاعات محرمانه یا اطلاعات خصوصی باشد باز هم پسوردی قابل حدس زدن است! یعنی پسوردهایی شامل اطلاعات تماس مثل شماره تلفن یا شهر و یا نام خودتان، خانواده‌تان، دوستانتان، حیوان خانگیتان و… هم پسوردی ساده هستند. چرا؟

• تصور کنید که در رمزعبورتان، از نام ماهی قرمز عزیزتان استفاده کرده باشید! بعد در اینستاگرام هم فعال باشید و در استوری‌های متعدد خود، از ماهی قرمز عزیزتان به نام قرمزی سخن گفته و از او با هشتگ‌های متعدد یاد کرده باشید.
• حالا فرض کنید که از تاریخ تولدتان هم در رمزعبور استفاده کرده باشید. مثلا فرض کنید که متولد ماه آذر هستید.
• علاوه بر آن، از نام خودتان هم در پسورد گذاشته باشید. مثلا فرض کنید نامتان امیر است.

= در این صورت اگر پسوردتان amirazarghermezi باشد، حدس زدن این پسورد با دست، کار یکی دو ساعت است و اگر کسی از رایانه استفاده کند، خیلی کمتر!

در واقع یک هکر می‌تواند با تحلیل افکار، سوابق و علایق شما، رفتار شما در فضای مجازی و به طور خاص شیوه انتخاب رمزتان را حدس بزند…

برای اینکه علت اهمیت این موضوع را متوجه شوید، فیلم زیر را مشاهده کنید. این فیلم چند سال پیش در آمریکا تهیه شده است و نشان می‌دهد مردم چه پسوردهای ساده و دردسترسی انتخاب می‌کنند و با اندکی شناخت داشتن از آنها می‌توان به اکانت‌هایشان دسترسی پیدا کرد.

در این فیلم هم به خوبی می‌توانید ببینید که پسوردهایی که شامل اسامی افراد یا چیزهای نزدیک به شما باشد، به سادگی قابل شناسایی و حدس زدن است. چه یک نفر آن را از زیر زبانتان بیرون بکشد، چه یک نفر بخواهد بر اساس چیزهایی که از شما می‌داند یا پیدا می‌کند، آن را حدس بزند. پس باید پسوردی بسازید که این ویژگی‌ها را داشته باشد:

1. پسوردتان به هیچ عنوان نباید شامل اسمی باشد که افراد زیادی از آن درباره شما اطلاع داشته باشند و یا شما در مکالمات روزمره‌تان زیاد استفاده می‌کنید. (مثل اسم خودتان، اشیاء اطرافتان و…)
2. پسوردتان به هیچ عنوان نباید شامل کلماتی باشد که در مورد شما شناخته شده است. مثل رشته دانشگاهی و…
3. رمزعبورتان حتما شامل اعداد و علامت‌های نگارشی باشد. (این نوع پسوردها توسط سیستم های رایانه‌ای کشف رمز عبور سخت‌تر حدس زده می‌شوند.)
4. پسوردتان باید طول مناسب و نسبتا زیادی داشته باشد. در این مورد، حداقل روی 15 تا 30 حرف حساب باز کنید. چون اگر کسی بخواهد پسوردتان را حدس بزند، حدس زدن یک پسورد 20 حرفی تقریبا غیر ممکن است…
5. پسورد نباید شامل شماره‌های مرتبط با شما مثل شماره‌ی موبایل، تاریخ‌های مربوط به شما، تاریخ‌های مشهور و… باشد.

2. چرا رمز عبور نباید توسط افراد زیادی استفاده شده باشد؟

شاید باور نکنید، اما بسیاری از سایت‌ها در گذشته مشکلات امنیتی متنوع داشته‌اند. در نتیجه لیست‌های بلندبالایی از پسوردهای لورفته در سطح اینترنت وجود دارد و جالب اینکه این لیست ها هر ساله آپدیت هم می‌شوند! مثلا لیست زیر شماری از پرتکرار ترین پسوردهای افشا شده در سال 2019 میلادی است. توصیه میکنیم نگاهی به آن بیاندازید… شاید بعضی از پسورد ها برای شما هم آشنا باشند! ؛)))

و یا تصویر زیر که مربوط به بررسی نسبت پسوردهای چهاررقمی (PIN) با ترکیب **19 به غیر **19 است. همانطور که ملاحظه می‌کنید، شاهد تراکم تعداد تکرار در اعداد 1971 تا 1989 هستیم. جایی که شمار زیادی از کاربران احتمال سال تولد خود را به عنوان رمز انتخاب کرده اند! احتمالا همین اتفاق در مورد اعداد **13 در میان کاربران ایرانی وجود داشته باشد…

البته چنین لیست‌هایی که معمولا از بررسی و جمع‌آوری پسوردهای هک و افشا شده ایجاد می‌شوند بسیار زیادند. نمونه دیگری که شامل بیش از 10 میلیون پسورد پرتکرار است را می‌توانید از گیتهاب دریافت کنید. در این نمونه موارد جالب و دردناکی به چشم می‌خورد. از جمله پسورد iran یا Salam که جزو رمزعبور های پرتکرارِ لو رفته ای هستند و احتمالا کاربران ایرانی (شاید مثل شما!) بیشتر از آنها استفاده می کنند…!

اهمیت توجه به لیست‌ پسوردهای پرتکرار افشا شده چیست؟

اما چرا باید از استفاده از رمزهای رایج و پرتکرار پرهیز کرد. خوب است بدانید در اغلب آموزش های پیدا کردن رمز عبور و کشف پسورد اکانت، اولین قدم چک کردن لیست رمز های عبور پر تکرار است. به این روش استفاده از dictionary گفته می‌شود. به طوریکه هکر لیستی از پسوردهای پرتکرار و رایج تهیه کرده و با ترفندهایی به سیستم می‌دهد. به این امید که شاید سوژه مورد نظر هم از این رمزها استفاده کرده باشد…

البته خوش‌بختانه بخش اعظم رمزعبورهای این لیستها دیگر از سوی سایتها قبول نمی‌شوند اما باینحال شدیدا توصیه میکنیم شما از این دام فرار کنید!

روش ساده برای ساختن پسورد خوب

یک راه خیلی آسان برای ساخت پسوردی که هم خوب باشد و هم ساده حفظ شود – از دید من! – استفاده از یک بیت شعر یا جمله‌ای است که خودتان می‌دانید و فقط برای خودتان معنی دارد.

پس از انتخاب این عبارت، در مرحله بعدی این جمله را با استفاده از حروف، اعداد و علامت‌های نگارشی تغییر دهید؛ به طوری که کلا قابل حدس زدن نباشد.

مثلا تصور کنید جمله‌ی «باغیجات دهات سر قله‌ دریا رفت» همان جمله‌ی مد نظر باشد. این جمله را در حالت انگلیسی و صرفا با توجه به جای حروف فارسی روی کیبورد تایپ کنید. حالا می‌توان برای افزایش اطمینان این جمله را چند تغییر کوچک هم داد. عدد، حروف نگارشی و کلمات دیگر به آن اضافه کرد تا به یک پسورد بلند، بی معنی برای دیگران ولی ساده برای خودتان تبدیل شود:

• عبارت مورد نظر: باغیجات دهات سر قله‌ دریا رفت
• عبارت بدون تغییر: fhyd[hjnihjsvrginvdhvtj
• پسورد نهایی: F2Yd[hjnihjsvrginvdhv9J

در این وضعیت میتواند تقریبا با خیال راحت می‌توانید ادعا کنید:

خطر دوم، یک پسورد برای همه اکانت ها

اما نکته بعدی نحوه نگهداری رمز است. بدترین کار استفاده از یک رمز – ولو قوی – برای همه اکانت هاست. چرا که به فرض اگر یکی از سایت هایی که در آن عضو هستید دچار نقص امنیتی شود و اطلاعات آن افشا شود، عملا رمز همه اکانتهایتان لو رفته است…

از طرفی حفظ کردن پسوردهای 30-40 اکانت در سایت های مختلفی که معمولا مورد استفاده‌تان هستند کار بسیار مشکلی است… به همین دلیل توصیه می‌شود از نرم‌افزارهای مدیریت پسورد یا راه‌های جنبی تأیید هویت استفاده کنید. در پست‌های بعدی به معرفی بیشتر برخی از این نرم افزارها خواهیم پرداخت.

شما چه روش دیگری برای ساخت پسورد قوی اما ساده برای حفظ کردن پیشنهاد می‌کنید؟