ניהול סיסמאות

המלצות לסיסמא חזקה

סיסמא חזקה מוגדרת כסיסמא קשה לפיענוח על ידי אדם או על ידי מכונה.

סיסמא חזקה צריכה :

  • להיות בעלת אורך של 8 תווים לפחות.
  • לכלול שילוב של אותיות קטנות וגדולות (a-z, A-Z)
  • לכלול ספרה אחת לפחות (0-9)
  • לכלול תו מיוחד אחד לפחות (@,&,%,$)

סיסמה חזקה לא צריכה:

  • להיות מנוסחת כביטוי או מילה שניתן למצוא במילון.
  • להיות מנוסחת כמילה עם מספר בתחילתה ובסופה.
  • להתבסס על מידע אישי של המשתמש כגון: ת.ז, תאריך לידה, שם משפחה, שם חית מחמד וכו'.

המלצות לניהול נכון של סיסמאות

אין לשתף את הסיסמא עם אדם אחר:

הסיסמא  היא אישית ומשום סיבה אין לשתף את הסיסמא עם אדם אחר, לא מנהל, לא עובדים בצוות, לא טכנאי שבא לתקן את המחשב ולא מוקד תמיכה טכנית. במידה שסיסמתך נחשפה לגורמים אחרים, יש להחליפה באופן מיידי.

שנה את הסיסמא מעת לעת:

מומלץ לשנות את הסיסמא אחת ל 90 יום, תדירות שינוי הסיסמא תהיה תלויה במידת השימוש בחשבון, ככל שהתדירות גבוהה יותר השינוי יעשה לעיתים תכופות יותר. שינוי זה ימנע מאדם אשר השיג בדרך כלשהי את הסיסמא שלך להמשיך להיות בעל גישה לחשבון שלך. במידה שאתה חושב שיש למישהו גישה לחשבונך, החלף את הסיסמא מייד. לאחר איפוס הסיסמא דווח על המקרה למנהל ו/או לממונה אבטחת מידע בטכניון.

הקפד להשתמש בביטוי סיסמא במקום בסיסמא:

ביטוי סיסמא הוא סיסמא המכילה רצף מילים עם ספרות או סימנים מיוחדים. הביטוי יכול להיות לקוח מתוך שיר או פתגם, הוא בדרך כלל יהיה ארוך יותר ויהיה קל לזכור אותו. למשל הביטוי:

הוא דוגמה טובה לפתגם המכיל רצף מילים, ספרות וסימנים. “My passw0rd is $uper str0ng!”

חשוב לשים לב למיקום של הספרות והסימנים. בדוגמה ניתן לראות שמיקום הסימנים מונע ממספר מילים להימצא במילון. שימוש ב"רווח" יכול אף הוא לעזור בהגנת הסיסמא.

יש להימנע מכתיבת הסיסמא על גבי פתק, או אחסונה במקום שאינו בטוח:

ככלל, אין לכתוב את סיסמתך על נייר. במידה שיש צורך בכך, הקפד לאחסן את הפתק במקום בטוח ולהשמיד אותו כאשר לא זקוקים לו יותר. שימוש בניהול סיסמאות על מנת לאחסן את הסיסמא הוא לא מומלץ, אלא אם כן מנהל הסיסמאות ממנף הצפנה חזקה ודורש אימות לפני השימוש.

הימנע משימוש חוזר בסיסמא:

לאחר שינוי הסיסמא, הקפד לא להשתמש בה פעם נוספת. אם חשבון המשתמש, בידיעה או ללא ידיעה, נחשף בעבר, שימוש חוזר בסיסמא יגרום לו להיות חשוף פעם נוספת. בדומה לכך, אם סיסמא שותפה בעבר, שימוש חוזר בה מאפשר לאדם שאינו בעל הרשאה לגשת לחשבונך.

הימנע משימוש באותה הסיסמא עבור חשבונות שונים:

אומנם שימוש באותה סיסמא למספר חשבונות מקל עלינו לזכור את הסיסמא, אך הוא מספק לתוקפים אפשרות גישה למספר מערכות.

הימנע משימוש בפונקציית ההתחברות האוטומטית:

שימוש בפונקציית ההתחברות האוטומטית שולל הרבה מהערך של שימוש בסיסמא. גישה פיזית של אדם למחשב שלך, תאפשר לו התחברות לחשבון המשתמש שלך וגישה לפרטיך האישיים.

ניהול סיסמא של מנהל המערכת

חייב שימוש בסיסמא חזקה:

מנהל מערכת יכול לבצע כל פעולה במערכת החל מהכנסת נתונים חדשים, שינוי נתונים קיימים, עד למחיקה של הנתונים ושינוי קונפיגורציה של המערכת. זו הסיבה שחשבון בעל הרשאות גבוהות יהיה מוגן ככל שאפשר והגישה אליו תינתן אך ורק למשתמשים מורשים.

דרוש שינוי סיסמא מעת לעת:

מומלץ לחייב את המשתמש לשנות את הסיסמא אחת ל- 90 יום לפחות. ככל שהתקופה שהסיסמא לא מתחלפת ארוכה יותר, כך הסיכוי שמישהו יצליח לפרוץ אותה גדול יותר.

דרוש שינוי של סיסמא התחלתית/ראשונית:

חיוב המשתמש לשנות סיסמא נועד להבטיח שרק המשתמש יידע את הסיסמא.  פעולה זו עוזרת לצמצם את הסכנה בגילוי הסיסמא ההתחלתית/ראשונית בזמן העברתה למשתמש. הנחייה זו חלה גם על מצבים בהם איפוס הסיסמא חייב להיעשות באופן ידני.

הגדרת תוקף לסיסמא התחלתית/ראשונית:

במקרים מסוימים, משתמש יוצר חשבון אך לא נכנס אליו זמן רב. כפי שהוזכר, לסיסמא התחלתית יש סיכון גדול להתגלות, בתלות בתהליך בו משתמשים על מנת לעביר את הסיסמא. הגדרת תוקף של סיסמא כך שהוא יפוג לאחר תקופה קבועה מראש (בד"כ אחרי 72 שעות) עוזרת לצמצם את הסיכון. זה יכול גם להיות סימן לכך שהחשבון אינו בשימוש.

אין להשתמש במידע אישי עבור סיסמא התחלתית/ראשונית:

מידע אישי כולל מספרים אישיים, שמות, תאריכי לידה וכו'. אין להשתמש בסוג זה של מידע כחלק מסיסמאות התחלתיות/ראשוניות.

אמת את זהות המשתמש תמיד לפני איפוס סיסמא:

חייב להיעשות אימות של זהות המשתמש לפני איפוס הסיסמא.  בדרך כלל יש לשאול את המשתמש שאלות שאת התשובות אליהן רק המשתמש יכול לדעת. במקרים מסוימים, יש לדרוש מהמשתמש להופיע פיזית על מנת שניתן יהיה לקבל את סיסמתו.  

לעולם אל תבקש סיסמה ממשתמש:

למשתמשים אסור להעביר את הסיסמא שלהם, לכן אין לבקש מהם להעביר את הסיסמא.

במקרים של תיקון מחשב או טיפול בתקלה כלשהי, יש לבקש מהמשתמש להכניס את הסיסמא או ליצור חשבון ייעודי, ובאמצעותו לבצע את הטיפול.

 

הנחיות עבור אחראים לעיצוב וליישום של מערכות

שנה את הסיסמאות עבור חשבונות ברירת המחדל:

חשבונות ברירת המחדל הם לעיתים קרובות המקור לגישה לא מורשית על ידי גורמים זדוניים. במידת האפשר, הם צריכים להיות מבוטלים לחלוטין. במידה שלא ניתן לבטל את החשבון, יש לשנות את סיסמאות ברירת המחדל מייד עם ההתקנה או הגדרת התצורה של המערכת או עם יישומה.

אין להשתמש באותן סיסמאות עבור חשבונות מנהל שונים:

שימוש באותה סיסמא עבור מספר חשבונות משתמש יכול אומנם להקל על ניהולם, אך פעולה זו יכולה לאפשר לתוקפים גישה למספר חשבונות על ידי פענוח סיסמא אחת בלבד.

אין לאפשר העברת סיסמא בטקסט רגיל:

סיסמאות המועברות בטקסט רגיל יכולות להתגלות על ידי משתמשים עם כוונות זדוניות.

פרוטוקולי תקשורת כמו HTTP, FTP ו-TELNET, מעבירים מידע, כולל פרטי הזדהות,  באמצעות טקסט רגיל. כל מי שיש לו גישה לרשת, עלול להיחשף לנתונים אלו ולקבל גישה למערכת ו/או למידע המועבר. יש להשתמש בפרוטוקולים מאובטחים, אשר מצפינים את המידע המועבר ברשת או להצפין את התווך כולו באמצעות טכנולוגיות ההצפנה.

אל תאחסן סיסמא בצורה לא מוצפנת:

אין לאחסן או להעביר סיסמאות או כל מידע רגיש אחר בצורה לא מוצפנת. גם במקרה ש(ו)גורם עוין קיבל גישה למיקום אחסון הנתונים, ההצפנה הופכת את המידע לחסר ערך עבורו ובכך מונעת ממנו לקבל גישה לשירותים ו/או למערכות אחרות.

יישם התראות אוטומטיות של שינוי או איפוס סיסמא:

יש לשלוח אימייל לדואר האלקטרוני של המשתמש עבור כל פעולה של איפוס או שינוי סיסמא על מנת לספק למשתמש אישור על כך שהפעולה בוצעה בהצלחה, ובנוסף על מנת להתריע בפני המשתמש אם הסיסמא לחשבונו שונתה ללא ידיעתו.

עודכן: 20/12/2016 , 12:53