For at holde adgangskoder sikre mod hackere skal du bare bryde dem op i stykker

En ny måde for websteder og andre onlinetjenester at gemme adgangskoder på kunne forhindre brud som den, der resulterede i, at 6,5 millioner LinkedIn-brugere fik deres adgangskoder lagt online tidligere i år.

Den slags datadump sker, når en angriber får adgang til serveren, der gemmer brugeradgangskoder. Forskere ved computersikkerhedsfirmaet RSA har skabt et system, der deler adgangskoder i to og gemmer hver halvdel forskellige steder. De to halvdele kommer aldrig sammen, selv når en person logger ind og får sin adgangskode bekræftet. Det burde gøre det sværere for nogen at stjæle dem, fordi en tyv skulle bryde ind på begge disse servere, som kan beskyttes på forskellige måder.

Kodeordslagring er mere og mere problematisk på grund af den stigende hyppighed af brud, men også fordi konsekvenserne af dem er blevet større, siger Ari Juels , der leder RSAs forskningslaboratorier i Cambridge, Massachusetts. Juels siger, at miste kontrollen over en online-konto kan give angribere information, der hjælper med at bryde ind i andre, og mange mennesker genbruger simpelthen adgangskoder på flere konti alligevel.

Selvom LinkedIn og mange andre virksomheder krypterer adgangskoder - så deres servere ikke indeholder den nøjagtige streng, som en bruger skriver - har angribere en række værktøjer, der kan vende denne kryptering, siger Juels. Selv de allerbedste praksisser, som LinkedIn ikke brugte, kan brydes.

Vores opfattelse er, at det er bedre, at adgangskoder og andre legitimationsoplysninger ikke bliver gemt ét sted, siger Juels, hvilket gør det sværere for en angriber at få fat i alt, hvad han skal bruge for at genskabe en persons adgangskode.

RSAs nye ordning fungerer ved at bryde en adgangskode i mange små stykker og gemme halvdelen af ​​disse stykker - udvalgt tilfældigt - ét sted og resten et andet. RSA kalder tilgangen for distribueret legitimationsbeskyttelse. Hvis et sted bliver angrebet, er adgangskoderne stadig sikre, siger Juels. Hvor magien kommer ind er systemets evne til at tjekke adgangskoder uden at samle dem igen.

Når en person logger på et system ved hjælp af distribueret legitimationsbeskyttelse, bliver den adgangskode, han eller hun giver, opdelt i to krypterede strenge af data. Hver streng sendes derefter til en af ​​de to adgangskodeservere, hvor den kombineres med halvdelen af ​​adgangskoden, der er gemt på den pågældende server, for at skabe en ny streng. De to servere sammenligner derefter disse to nye strenge for at afgøre, om adgangskoden er korrekt eller ej. Den involverede matematik betyder, at det er umuligt at bestemme adgangskoden ud fra en af ​​disse strenge, eller begge af dem kombineret - så adgangskoden forbliver ukendt, selvom en angriber kan fange strengene.

De to involverede servere kan sættes op med forskellige operativsystemer og forskellige steder, siger Juels, så at stjæle adgangskoder kræver, at man monterer to separate angreb med succes. Disse skulle også ske i kort rækkefølge, fordi systemet med jævne mellemrum opdaterer, hvilken tilfældig halvdel af uddragene af en adgangskode, der er gemt på hver server.

Softwaren kommer til salg senere i år, siger Juels.

RSAs nye tilgang er en version af en teknik kendt som threshold cryptography, som længe har været udforsket af forskere. Konceptet er ikke nyt, men det ville være første gang, at det bliver implementeret til den brede offentlighed, siger Dan Boneh , en professor ved Stanford University, som har forsket i sådanne designs. Tærskelkryptering bruges bag kulisserne af de virksomheder, kendt som certifikatmyndigheder, der udsteder de digitale sikkerhedscertifikater, der hjælper computere og webbrowsere med at vide, hvilke servere de skal stole på - for eksempel når de logger på et bankwebsted.

En måde at øge effektiviteten af ​​tilgangen på ville være at opdele adgangskoder eller hemmeligheder på tværs af mere end blot to servere, siger Boneh. Juels siger, at RSA planlægger at gøre det muligt i fremtiden og at frigive software, der gør det muligt at bruge den hemmelige opdelingstilgang til at beskytte krypterede data, for eksempel for filer, der er gemt i en cloud-tjeneste.

Boneh bemærker dog, at der er andre måder, hvorpå en persons hemmeligheder kan blive stjålet. Med adgangskodeadministration er den største bekymring ofte slutbrugeren – hvis brugerens maskine er inficeret med malware, så er der lidt, end der kan gøres for at sikre dem uden at ty til et fysisk token, siger Boneh med henvisning til systemer, der kræver, at folk skal bære en nøglebrik, eller brug en telefonapp til at angive en midlertidig adgangskode, hver gang de logger ind.

Denne tilgang, kendt som to-faktor-godkendelse, er normalt kun påkrævet for virksomheds- eller finansielle konti, men Google og Facebook tilbyder det nu til deres onlinekonti på grund af den livlige handel med at kompromittere sådanne konti.

skjule