Parollar haqidagi koʻp maslahatlar ularni eslab qolishni qiyinlashtiradi, lekin buzishni deyarli qiyinlashtirmaydi. Bu maqolada amalda nima ishlashini qisqa tushuntiraman: parollar qanday buziladi, nega bir nechta tasodifiy soʻz belgilar aralashmasidan kuchliroq va siz foydalanadigan sayt buzilganda ham sizni qaysi odatlar himoya qiladi.
Parollar qanday buziladi
Hech kim oʻtirib parollarni birma-bir terib koʻrmaydi. Sayt buzilganda xakerlar koʻpincha parollar bazasini, aniqrogʻi ularning xeshlarini olib ketishadi. Xesh — parol asosida hisoblanadigan va orqaga qaytarib boʻlmaydigan iz. Shundan keyin taxminlar xakerning oʻz kompyuterida, uskuna imkon bergancha tez tekshiriladi va urinishlar sonini hech kim cheklamaydi.
Ular tasodifiy belgilardan boshlamaydi. Avval oldingi sizib chiqishlardagi haqiqiy parollar (123456, qwerty, password1) sinab koʻriladi, keyin oʻsha roʻyxat oldindan bilsa boʻladigan oʻzgarishlar bilan: birinchi harf katta, a oʻrniga @, oxirida yil yoki !. Toshkent_2007! murakkab koʻrinadi, lekin aynan shunday roʻyxatlarning boshida turadi.
Bosh sahifamdagi tekshiruv aynan shu hujumni hisoblaydi: baza oʻgʻirlangan, xeshlar tez hisoblanadi va soniyasiga taxminan oʻn milliard urinish qilinadi. U brauzeringizning oʻzida ishlaydi va hech narsani hech qayerga yubormaydi. Shunday boʻlsa ham, haqiqiy parolingizni emas, unga oʻxshashini yozing.
Uzunlik belgilardan muhimroq
Har bir qoʻshimcha belgi mumkin boʻlgan parollar sonini koʻp barobar oshiradi. Klaviaturadagi barcha belgilardan tuzilgan tasodifiy 8 belgili parolning taxminan 6,6 kvadrillion varianti bor. Soniyasiga oʻn milliard urinishda bu bir haftacha ish, bir nechta videokarta bilan esa undan ancha tez.
Parol 12 ta tasodifiy belgidan iborat boʻlsa, xuddi shu hujumga million yildan ortiq vaqt kerak boʻladi. Qisqa parolga bitta belgi qoʻshish ozgina foyda beradi. Uzunlik esa juda katta foyda beradi va u soʻzlardan tuzilsa, eslab qolish ham oson.
Tasodifiy soʻzlardan parol
Soʻz-parol (inglizcha passphrase) bir-biriga aloqasi yoʻq bir nechta soʻzdan tuziladi, masalan olma-kitob-daryo-yulduz-tog. 7776 ta soʻzli roʻyxatdan (mashhur Diceware usuli) tasodifiy tanlangan beshta soʻz taxminan tasodifiy 10 belgili parolchalik kuchli. Ularni esa bitta kulgili manzara sifatida koʻz oldingizga keltirib, oson eslab qolasiz.
Bu yerda eng muhimi, soʻzlar tasodifiy boʻlishi kerak. Qoʻshiqdan bir satr, maqol yoki koʻchangiz nomi bilan tugʻilgan yilingiz xakerlarning roʻyxatlarida allaqachon bor. Soʻzlarni xotirangiz emas, oʻyin kubigi yoki parol generatori tanlasin. Oʻzbekcha soʻzlar ham inglizchasidan yomon emas, faqat ular katta roʻyxatdan tasodifiy olinsin. Eng muhim akkauntlar, yaʼni elektron pochtangiz va parol menejeringiz uchun besh-olti soʻz ishlating.
Har bir akkauntga alohida parol
Bitta parolni hamma joyda ishlatish oddiy odamlar akkauntini yoʻqotishining eng keng tarqalgan sababi. Bitta sayt sizib chiqsa, xakerlar undagi email va parol juftliklarini maxsus skriptlarga yuklaydi, skriptlar esa ularni pochta, bank, ijtimoiy tarmoq va onlayn doʻkonlarda birma-bir sinab chiqadi. Bu hujum credential stuffing deb ataladi.
Har bir akkauntda boshqa parol boʻlsa, bitta sizib chiqish bitta akkaunt bilan cheklanadi. Yuzta turli parolni hech kim eslab qololmaydi va bunga hojat ham yoʻq: bu ishni parol menejeri bajaradi. Bitwarden (ochiq kodli, bepul tarifi bor), 1Password, KeePassXC (internetsiz ishlaydi) yoki telefon va brauzeringizdagi tayyor menejer uzun tasodifiy parollar yaratib, ularni oʻzi toʻldiradi. Siz faqat bitta kuchli soʻz-parolni eslab qolasiz.
Menejer fishingdan ham asraydi: manzili sal boshqacha boʻlgan soxta saytga u bank parolingizni kiritmaydi.
Ikki bosqichli himoya va passkey
Ikki bosqichli tasdiqlash (2FA) paroldan tashqari yana bir narsani soʻraydi, shuning uchun oʻgʻirlangan parolning oʻzi yetmaydi. SMS kod oʻrniga autentifikator ilovani tanlang: Google Authenticator, Microsoft Authenticator, Aegis yoki parol menejeringizdagi ilova. Firibgarlar mobil operatorni aldab, raqamingizni yangi SIM-kartaga oʻtkazdirib olsa, SMS kodlar ularga keladi.
Bundan ham yaxshisi passkey, yaʼni kirish kaliti. Uni Google, Apple, Microsoft va boshqa koʻplab xizmatlar qoʻllab-quvvatlaydi. Passkey qurilmangizda saqlanadi, barmoq izi, yuz yoki PIN-kod bilan ochiladi va faqat haqiqiy saytda ishlaydi, shuning uchun uni fishing orqali oʻgʻirlab boʻlmaydi.
Telegramda Sozlamalar → Maxfiylik va xavfsizlik boʻlimiga kirib, ikki bosqichli tasdiqlashni (bulutli parolni) yoqing. Shunda kirish kodi oʻgʻirlansa ham, akkauntingizni hech kim egallay olmaydi.
Parolingiz sizib chiqqanmi?
Have I Been Pwned (yangi oynada ochiladi) emailingiz qaysi maʼlum sizib chiqishlarda borligini koʻrsatadi. Uning Pwned Passwords xizmati esa parolni umuman koʻrmasdan tekshiradi: qurilmangiz parolning SHA-1 xeshini hisoblaydi va faqat dastlabki beshta belgisini yuboradi. Xizmat shu belgilar bilan boshlanadigan barcha sizib chiqqan xeshlarni qaytaradi, solishtirish esa sizning qurilmangizda boʻladi. Parol menejerlari va brauzerlar ham sizib chiqish haqida ogohlantirish uchun xuddi shu usuldan foydalanadi.
Parolingiz roʻyxatda chiqsa, uni ishlatgan hamma joyda almashtiring, avvalo pochtangizda.
Standartlar hozir nima deydi
Koʻp kompaniyalar amal qiladigan AQSh standartlar instituti NIST oʻzining amaldagi SP 800-63B qoʻllanmasida bir nechta eski qoidadan voz kechgan. Xizmatlar parolni jadval boʻyicha muntazam almashtirishga majburlamasligi kerak, faqat buzilish belgilari boʻlsa almashtiriladi. Katta harf, raqam va maxsus belgi aralashmasini ham talab qilmasligi kerak. Buning oʻrniga uzun parollarga va parolni nusxalab qoʻyishga ruxsat berish, sizib chiqqan yoki keng tarqalgan parollarni bloklash, parol yagona himoya boʻlsa esa kamida 15 belgi talab qilish tavsiya etiladi.
Sayt hali ham “kamida bitta belgi va bitta raqam” talab qilsa, soʻzlar orasiga belgi, oxiriga raqam qoʻyilgan uzun soʻz-parol bu talabga toʻliq javob beradi.
Qisqa roʻyxat
- Har bir akkauntga alohida parol, hammasi parol menejerida saqlanadi.
- Pochta va menejer uchun besh-olti tasodifiy soʻzdan iborat parol.
- Imkon bor hamma joyda ikki bosqichli himoya, iloji boʻlsa SMS emas, ilova yoki passkey.
- Emailingizni Have I Been Pwned saytida tekshiring va sizib chiqqan yoki takrorlangan parollarni almashtiring.
- Haqiqiy parolni u tegishli boʻlmagan saytga hech qachon kiritmang, meniki kabi tekshiruvlarga ham.
