Techniky zmírnění hrozeb
K dispozici je celá řada technik pro zmírnění hrozeb, které můžete použít k lepšímu zabezpečení hesel. Tyto techniky se implementují pomocí jedné nebo více následujících čtyř primárních technologií.
| Technologie | Popis |
|---|---|
| CryptoAPI | CryptoAPI poskytuje sadu funkcí, které vám pomůžou použít kryptografické rutiny pro cílové entity. CryptoAPI může poskytovat hodnoty hash, hodnoty hash, šifrování a dešifrování, aby se zmínily o jeho primárních funkcích. CryptoAPI má také další funkce. Informace o kryptografii a CryptoAPI najdete v tématu Základy kryptografie. |
| Seznamy řízení přístupu | seznam řízení přístupu (ACL) je seznam bezpečnostních ochrany, které platí pro objekt. Objektem může být soubor, proces, událost nebo cokoli jiného, co má popisovač zabezpečení. Další informace o seznamech ACL najdete v tématu seznamy řízení přístupu (ACL). |
| Rozhraní API pro ochranu dat | Rozhraní API pro ochranu dat (DPAPI) poskytuje následující čtyři funkce, které používáte k šifrování a dešifrování citlivých dat: CryptProtectData, CryptUnprotectData, CryptProtectMemorya CryptUnprotectMemory. |
| Uložená uživatelská jména a hesla | Funkce úložiště, díky kterým se zpracovávají hesla uživatelů a další přihlašovací údaje, jako jsou privátní klíče, jednodušší, konzistentnější a bezpečnější. Další informace o této funkci naleznete v tématu CredUIPromptForCredentials. |
Tyto technologie nejsou dostupné ve všech operačních systémech. Proto rozsah, v jakém lze zlepšit zabezpečení, závisí na tom, které operační systémy jsou zapojeny. Tady jsou technologie, které jsou dostupné v jednotlivých operačních systémech.
| Operační systém | Technologie |
|---|---|
| Windows Server 2003 a Windows XP |
|
| Windows 2000 |
Následující techniky pro zmírnění hrozeb používají jednu nebo více čtyř technologií. Techniky, které vyžadují použití technologií, které nejsou součástí operačního systému, nelze použít.
Získání hesel od uživatele
Když uživateli povolíte nastavit heslo, vynuťte použití silných hesel. Například vyžadovat, aby hesla byla minimální délka, například osm znaků nebo více. Hesla by také měla obsahovat velká a malá písmena, číslice a další znaky klávesnice, jako je znak dolaru ($), vykřičník (!) nebo větší než (>).
Jakmile získáte heslo, použijte ho rychle (co nejmenší kód) a pak vymažte všechny nákrčníky hesla. Tím se minimalizuje doba, která je k dispozici pro útočníka, aby heslo "schytávala". Kompromisem s touto technikou je frekvence, s jakou musí být heslo načteno od uživatele; zásada by však měla být použita, kdykoli je to možné. Informace o tom, jak správně získat hesla, najdete v tématu Žádost uživatele o přihlašovací údaje.
Nepoužívejte možnosti uživatelského rozhraní zapamatovat si heslo. Uživatelé často vyžadují, aby tuto možnost měli. Pokud ho musíte zadat, pak alespoň zajistěte, aby se heslo uložilo zabezpečeným způsobem. Informace najdete v části Ukládání hesel dále v tomto tématu.
Omezit pokusy o zadání hesla Po určitém počtu pokusů bez úspěchu zamkněte uživatele po určitou dobu. Volitelně můžete prodloužit dobu odezvy pro každý pokus o maximum. Tato technika je zaměřena na porážku hádacího útoku.
Ukládání hesel
Nikdy neukládejte hesla v prostém textu (nezašifrovaná). Šifrování hesel výrazně zvyšuje zabezpečení. Informace o ukládání šifrovaných hesel naleznete v tématu CryptProtectData. Informace o šifrování hesel v paměti naleznete v tématu CryptProtectMemory. Hesla uložte co nejméně na několika místech. Čím více míst je heslo uloženo, tím větší je šance, že ho útočník může najít. Nikdy neukládat hesla na webovou stránku ani do webového souboru. Ukládání hesel na webovou stránku nebo do webového souboru umožňuje jejich snadné ohrožení zabezpečení.
Po zašifrování hesla a jeho uložení použijte zabezpečené seznamy ACL k omezení přístupu k souboru. Případně můžete ukládat hesla a šifrovací klíče na vyměnitelných zařízeních. Ukládání hesel a šifrovacích klíčů na vyměnitelné médium, jako je čipová karta, pomáhá vytvořit bezpečnější systém. Po načtení hesla pro danou relaci je možné kartu odebrat, čímž se odebere možnost, že k ní může útočník získat přístup.