Článek
123456, heslo nebo 1q2w3e. To jsou některá z nejčastějších hesel. Netřeba snad dodávat, že jsou to hesla slabá a uhodnutelná. On-line služby proto obvykle vyžadují složitější heslo. Vynucují to různými způsoby – přítomností velkých písmen, zvláštních znaků nebo třeba povinnou změnou hesla každé tři měsíce.
Jenže ani to obvykle nevede k lepším heslům. Lidem to jen přidělá vrásky, heslo si někam napíšou nebo budou s mírnými obměnami pořád dokola používat jedno oblíbené heslo. A když pak nějaké službě unikne databáze přihlašovacích údajů, což se stává poměrně často, jdou hackeři najisto. Pokud opakovaně používáte stejné nebo podobné heslo, přihlásí se na něj útočníci bez větších problémů.
Microsoft: Zkuste to bez hesla
Dobrým řešením je tzv. dvoukroková autentizace. První krok je přihlášení e-mailem a heslem. Ve druhém kroku použijete nějaké další zařízení k ověření, že jste to skutečně vy.
Může jít o ověřovací SMS, kód v aplikaci nebo speciální USB klíč. Odborníci radí zapnout dvojkrokovou autentizaci všude tam, kde je to možné. Naštěstí ji umožňují skoro všechny významné služby včetně Facebooku, Gmailu, Seznamu nebo Microsoftu.
Právě Microsoft nyní však dvoukrokovou autentizaci dotáhl ještě dále. Nabízí „vynechat“ první krok – heslo – a při ověřování uživatele se zcela spolehne na jiné metody. Tedy pokud si tuto možnost nastavíte.
Nikdo nemá rád hesla. Ale doteď to bylo nejdůležitější zabezpečení. Odteď ale můžete ze svého účtu u Microsoftu heslo zcela odstranit.
Na blogu Microsoft Security tuto novinku představila Vasu Jakkalová, viceprezidentka pro bezpečnost a identitu.
„Nikdo nemá rád hesla. Jsou nepohodlná a pro útočníky jsou snadným cílem. Ale dlouho byla hesla tím nejdůležitějším zabezpečením všeho v našich digitálních životech. Očekává se od nás, že si budeme vytvářet složitá a jedinečná hesla, pamatovat si je a často je měnit. Ale to nikdo nedělá rád.“
Microsoft už v minulosti umožnil přihlášení bez hesel firemním zákazníkům. Nyní tuto možnost nabízí všem. „Nyní si můžete ze svého účtu u Microsoftu své heslo zcela odstranit.“
Jak to funguje
Microsoft v podstatě vzal již existující možnost dvoukrokového ověření a vynechal z prvního kroku heslo. Uživatel napřed zadá jméno a pak je vyzván k tomu, aby svou identitu ověřil. Hlavní metodu ověření představuje aplikace Microsoft Authenticator (dostupná zdarma pro Android i iOS).
Možnosti najdete v nastavení svého účtu v sekci Zabezpečení - Další zabezpečení.
Po zadání uživatelského jména se zobrazí výzva k ověření pomocí mobilního telefonu, který máte samozřejmě zamčený pomocí kódu nebo jiného mechanismu. „Pouze vy můžete poskytnout ověření otiskem prstu nebo poskytnout správnou odpověď na svém mobilním telefonu ve správný čas,“ vysvětlila firma Microsoft v tiskovém prohlášení.
Pro zvýšení bezpečnosti ještě někdy přihlašovací dialog ukáže dvouciferné číslo. Na svém telefonu pak při potvrzování vyberete, které číslo se ukazuje, čímž ověříte, že máte obě zařízení na dohled.
Smazat heslo úplně?
Pokud se ztratí přístup k ověřovací aplikaci, například při ztrátě nebo krádeži telefonu, na kterém je nainstalována, je možné využít záložní možnosti. Mezi ty patří rozpoznávání obličeje pomocí Windows Hello, fyzický bezpečnostní klíč nebo přihlášení pomocí SMS či e-mailového kódu.
Výzva po zadání uživatelského jména v případě, že máte aktivní dvoukrokové přihlášení.
Na první pohled by se mohlo zdát, že vynechání hesla nutně sníží zabezpečení daného účtu. A z jistého pohledu je to pravda, chybí jedno „tajemství“, které hacker potřebuje znát, aby se k vašemu účtu dostal.
Ale Joy Chiková, další viceprezidentka Microsoftu, vysvětluje, že na heslo je třeba pohlížet jako na slabé místo v zabezpečení. Každé ověření, které používá hesla, je zranitelné vůči útokům využívajícím znalosti těchto hesel.
Proto Microsoft doporučuje heslo po zapnutí dvojitého ověření zcela smazat. Když jsem to ale u svého účtu vyzkoušel, z neznámého důvodu to zatím nešlo. Každopádně většiny výhod přihlašování bez hesla si můžete užívat už při aktivaci dvoukrokového ověření. Heslo už zadávat nemusíte.
Profesor Surreyské univerzity Alan Woodward, který je členem výzkumného týmu zabývajícího se ověřováním bez hesla, označil pro BBC rozhodnutí Microsoftu za poměrně „odvážný krok“.
Upozornil, že nejde jen o přihlašování do osobních počítačů, ale také internetových služeb, včetně důležitých jako jsou cloudová úložiště. Woodward nicméně souhlasí, že nějaká změna současného stavu je potřeba.
„Pořád dokola lidem říkáme, jak vypadají silná hesla a jak se s nimi správně zachází. Ale to se snadno říká a těžko dodržuje. Hesla jsou desítky let starý koncept a je možná čas začít hledat jiný způsob. Bylo by dobré, aby všichni začali hledat, jak toho dosáhnout.“
