کمیته رکن چهارم – با وجود آنکه تقریباً همه افراد از کلمه عبور نفرت دارند ولی تاکنون جایگزین مناسبی برای آن پیدا نشده است. عموماً یکی از پرکاربردترین راهکارهای سازمانی برای رفع مشکل کلمه عبور، شیوه ورود یکپارچه (SSO) است. این راهکار، سرویس‌های سازمانی را به یک دایرکتوری که معمولاً همان اکتیو دایرکتوری مایکروسافت است متصل می‌کند تا کاربران بتوانند تنها از یک گذرواژه برای ورود به سامانه های مختلف استفاده کنند.
SSO یک قابلیت کاربردی و عالی است. این ویژگی به مدیران سیستم‌ها اجازه می‌دهد بسیاری از راهکارهای عملی خوب را از طریق سیاست‌های متمرکز اجرایی نمایند. مدیران سیستم می‌توانند کاربران را وادار کنند کلمات عبورشان را به صورت دوره‌ای تغییر داده، قوانینی در خصوص میزان پیچیدگی کلمات عبور کاربران ایجاد کرده و برای همه یا بعضی از افراد، استفاده از احراز هویت دوعاملی را اجباری نمایند.
در یک سازمان نسبتاً بزرگ و با ساختار پیچیده کاربران می بایست اطلاعات محرمانه ورود به سیستم‌هایی که از طریق اکتیو دایرکتوری دسترسی شان مدیریت نمی شود را همچنان نزد خود نگه دارند. البته باید توجه داشت انجام چنین کاری (امکان ورود به سیستم ها بدون احراز هویت مرکزی) با راهکارهای حفاظتی و همچنین انطباق با الزامات قانونی چندان سازگار نیست.
مشکلی به نام «به خاطرسپاری کلمه عبور»
احراز هویت کاربران از طریق اکتیو دایرکتوری برای استفاده از سرویس‌های سازمانی در شرکت های بسیار کوچک و چند نفره ممکن است به منزله سربار باشد. همچنین احتمال دارد در سازمان های بزرگ نیز کاربران تمایل چندانی به انتخاب و حفظ کردن کلمات عبور متعدد، آن هم با کاراکترهای زیاد و طولانی نداشته باشند.
بنابراین بهترین راهکار، استفاده از برنامه‌های مدیریت کلمه عبوری همچون LastPass ،۱Password ،Dashlane و RoboForm است. این برنامه ها دارای یک پایگاه داده امن و رمزنگاری شده برای ذخیره نام کاربری و کلمه عبور کاربران هستند. برنامه‌های مدیریت کلمه عبور می توانند به صورت خودکار مقادیر درون فرم‌ها را با اطلاعات صحیح پر کنند. آنها همچنین با قابلیت‌های متنوعی که دارند، رعایت الزامات امنیتی را در دنیای وب امکان‌پذیر می‌سازند. امروزه نسخه‌های این برنامه ها که امکان ادغام و یکپارچگی با مرورگرهای پرکاربرد را دارند، از محبوبیت بیشتری نزد کاربران برخوردارند. این برنامه ها در قالب یک افزونه امکان نصب در مرورگرهای وب را دارند.
برنامه‌های مدیریت کلمه عبور و تسهیل در اجرای الزامات امنیتی
از برنامه های مدیریت کلمه عبور برای انجام راهکارها و الزامات امنیتی زیر می توان استفاده کرد:
- انتخاب کلمات عبور پیچیده و طولانی: بیشتر افراد در به خاطرسپاری کلمات عبور طولانی و بسیار پیچیده مانند “Aa7^AYg9&a6n.” مشکل دارند. یک برنامه مدیریت کلمه عبور می‌تواند صدها نوع از چنین رمزهایی را برای شما تولید و به صورت امن نگهداری کند.
- عدم استفاده مجدد از یک کلمه عبور: مهاجمان با نفوذ به یک وب سایت و دسترسی به گذرواژه های کاربران آن می‌توانند در صورتی که افراد از این کلمات عبور در سایر حساب های کاربری خود نیز استفاده کرده باشند، از آنها برای ورود به آن وب سایت‌ها هم استفاده نمایند. استفاده از کلمات عبور منحصر به فرد برای هر وب سایتی میزان خسارت‌های وارد شده به کاربران را به شدت کاهش می دهد. دستیابی به چنین قابلیتی تنها با بهره مندی از یک برنامه مدیریت کلمه عبور امکان پذیر است.
- تغییر دوره‌ای کلمات عبور: با در نظر گرفتن این فرض که نفوذهای امنیتی و نشت های اطلاعاتی بلافاصله شناسایی نمی‌شوند پس لازم است گذرواژه‌تان را به صورت دوره ای و در بازه های زمانی مشخص تغییر دهید. برنامه‌های مدیریت کلمه عبور می توانند این روند را در بسیاری از وب سایت‌ها به صورت خودکار انجام دهند.
- دسترسی به اطلاعات ورودی سیستم، بر روی دستگاه‌های مختلف: برنامه های مدیریت کلمه عبور نه تنها امکان ورود به حساب های کاربری آنلاین تان را از طریق دستگاه‌های تلفن همراه فراهم می کنند بلکه می توانند به صورت خودکار شناسه کاربری و کلمه عبور شما را در داخل پارامترهای مربوطه قرار دهند. بنابراین به جای آنکه شما مجبور به وارد کردن این اطلاعات و پر کردن دستی فیلدهای فرم ها باشید آنها می توانند به صورت خودکار این کار را برای تان انجام دهند.
- امن‌سازی مکان ذخیره کلمات عبور: تمامی برنامه‌های مدیریت کلمه عبور به کاربران اجازه می‌دهند شناسه کاربری و رمز عبورشان را در یک پایگاه داده امن که در داخل خود این برنامه ها تعبیه شده است، ذخیره کنند. بنابراین اطلاعات ورودی شما برای حساب های کاربری حساس تان دیگر در یک پایگاه داده امن که هیچ گونه امکان دسترسی اشخاص غیرمجاز به آن وجود ندارد، قرار خواهد گرفت.
بعضی از برنامه‌های مدیریت کلمه عبور مختص سازمان‌ها همچون محصولات MDM/EMM، قابلیت‌های مدیریتی ویژه ای همچون محدود کردن امکان ورود به سیستم از طریق دستگاه‌های root یا جیلبرک شده را نیز دارند.
برنامه‌های مدیریت کلمه عبوری که مخصوص دستگاه‌های تلفن همراه هستند نسبت به آنهایی که در رایانه ها نصب و اجرا می‌شوند، عموماً از محبوبیت بیشتری در نزد کاربران برخوردارند. این برنامه ها از تایپ کلمات عبور سخت، طولانی و پیچیده آن هم با استفاده از صفحه کلید تلفن های همراه که بسیار آزاردهنده هستند، جلوگیری می کنند. همچنین موجب صرفه جویی در وقت افراد شده و بر حس ناخوشایند تایپ کردن کلمه عبور نیز غلبه می شود؛ در عین حال سطح بالاتری از امنیت نیز برای کاربران فراهم می گردد.
افرادی که از برنامه‌های مدیریت کلمه عبور استفاده می کنند تنها یک گذرواژه اصلی در اختیار دارند که امکان کنترل دسترسی به آن برنامه را برای شان فراهم کرده و به عنوان یک کلید برای رمزنگاری سایر گذرواژه‌هایشان از آن استفاده می‌شود. بنابراین لازم است از این کلمه عبور به شدت مراقبت شده و از اشتراک گذاری آن با دیگران یا یادداشت آن به شدت خودداری شود. اگر شما کلمه عبور اصلی‌تان را فراموش کنید حتی شرکت تولیدکننده آن برنامه مدیریت کلمه عبور هم نمی‌تواند کمکی به شما کند. با وجود اینکه چنین کاری خوب است ولی ممکن است باعث شود یک اشتباه یا سهل انگاری، منجر به از دست رفتن همیشگی اطلاعات شما شود.
ذخیره اطلاعات حساب های کاربری در ایمیل ها یا استفاده از فضای ابری برای نگهداری کلمات عبورتان ممکن است موجب نگرانی شما شده و ترجیح دهید از برنامه های مدیریت کلمه عبور استفاده کنید. از آنجا که کلمات عبور، آن هم به صورت ذخیره شده در یک فایل، حکم طلا را برای مهاجمان سایبری دارد از این رو آنها مدام در حال تدارک حملات مختلف به سمت زیرساخت های ابری جهت دسترسی به چنین اطلاعاتی هستند.
لازم به ذکر است گذرواژه ها به صورت رمزنگاری شده در پایگاه داده برنامه های مدیریت کلمه عبور ذخیره می شوند و در صورت دسترسی هکرها به آنها به دلیل آنکه کلید رمزگشایی در اختیارشان قرار ندارد، امکان بازیابی کلمات عبور کاربران را نخواهند داشت. البته چیزی که در خصوص رمزنگاری می‌دانیم این است که کرک کردن اطلاعات رمز شده به قدری دشوار و زمان بر است که به زحمت آن نمی‌ارزد. هرچند تاکنون حملات مختلفی رخ داده که مهاجمان موفق شده اند به کلمات عبور کاربران دسترسی پیدا کنند. در این مواقع سعی می شود با اطلاع رسانی به موقع، کاربران ملزم به تغییر گذرواژه شان در آن سایت شوند. به محض تغییر کلمه عبور، داده‌های جمع‌آوری شده توسط نفوذگران عملاً دیگر بی‌فایده خواهند بود.
ضروری است به این نکته مهم توجه داشته باشید که بر اساس استانداردهای امنیتی نباید هیچ کدام از کلمات عبور خود را در مرورگرها ذخیره کنید. مرورگرهای گوگل کروم و مایکروسافت Edge با وجود آنکه تنظیماتی برای کنترل مدیریت کلمه عبور از طریق سیاست‌های گروهی دارند ولی تنها کارکرد اصلی آنها فعال‌سازی یا غیرفعال سازی عملکرد مدیریت کلمه عبور است.
نکات پایانی برای مدیران
برنامه های مدیریت کلمه عبور، به کاربران در انتخاب و استفاده از گذرواژه‌های امن کمک زیادی می کنند.
ادغام این برنامه ها با سیاست های مدیریت امنیت شبکه می‌تواند منجر به رعایت بهتر الزامات امنیت سایبری توسط کاربران شود.
برنامه‌های مدیریت کلمه عبور موجب تسهیل در اجرا و برآورده کردن نیازمندی‌ها و الزامات قانونی نیز خواهند شد.
منبع : فراست
