திங்கள் காலை வரை வலுவாகத் தோன்றிய கடவுச்சொல்

திங்கள் காலை வரை வலுவாகத் தோன்றிய கடவுச்சொல்

வெள்ளிக்கிழமை பிற்பகல், அலுவலகத்தில் உள்ள மனநிலை ஏற்கனவே பாதியாகக் குறைந்துவிட்டது. மக்கள் லேப்டாப்புகளை மூடிக்கொண்டிருந்தார்கள், கடிகாரத்தைப் பார்க்கவில்லை போல நடித்தார்கள். ஒரே ஒரு திட்ட மேலாளரான, நாமாக நினைப்போம்; நின்னா, உலகிலேயே மிகவும் சாதாரணமான ஒன்றை செய்துகொண்டிருந்தார்: ஒரு vendor portal-க்கான புதிய கணக்கை அமைத்தல்.

இந்த தளத்திற்கு ஒரு கடவுச்சொல் வேண்டியது. பன்னிரண்டு எழுத்துகள், ஒன்று பெரிய எழுத்து (uppercase), ஒன்று எண், ஒன்று சின்னம். நீங்கள் தெரிந்த வழக்கம்தான். நின்னா Summer2024! மாதிரி ஒன்றை தட்டச்சு செய்து சிறிய பச்சை சரிபார்ப்பு குறியீடு வரவே வாழ்க்கை மீண்டும் முன்னேறியது. சரியாக இருப்பதாகத்தான் தோன்றியது. அதில் பெரிய எழுத்து இருந்தது. எண் இருந்தது. உற்சாகக் குறி (exclamation point) இருந்தது. மிக அதிகாரப்பூர்வமாகத் தோன்றியது.

ஆனால் திங்கள்கிழமை காலை, அந்த vendor கணக்கு வாடிக்கையாளர்களுக்கு விசித்திரமான செய்திகள் அனுப்பத் தொடங்கியது.

கடவுச்சொற்கள் பற்றிய இந்த தொந்தரவு தரும் உண்மை இதுதான்: ஒரு கடவுச்சொல் விதிகளை பூர்த்தி செய்தாலும், அது பலவீனமாக இருக்கலாம். மக்கள் அலட்சியமாகவோ முட்டாள்தனமாகவோ இருப்பதாலல்ல; அந்த விதிகள் அனைவரையும் ஒரே மாதிரி கடவுச்சொல்லை—வேறு அலங்காரங்களுடன்—உருவாக்கக் கற்றுத் தந்ததால். ஒரு பருவம். ஒரு ஆண்டு. முடிவில் ஒரு சின்னம். ஒருவேளை நிறுவனத்தின் பெயர். அல்லது செல்லப்பிராணியின் பெயரில் O எழுத்துக்கு பதிலாக zero. தாக்குபவர்கள் இந்த முறையை அறிவார்கள். அதைப் அவர்கள் மிகச் சிறப்பாகவே அறிந்திருக்கிறார்கள்.

“சிக்கலாகத் தெரிகிறது” என்பதும் “வலுவானது” என்பதும் ஒன்றல்ல

பெரும்பாலானவர்கள் கடவுச்சொல் வலிமை என்பது கண்களுக்கு குழப்பமாகத் தெரிதல் என்று நினைக்கிறார்கள். Tr0ub4dor! போன்றது சாதாரண வாக்கியத்தைவிட பாதுகாப்பாக இருப்பது போலத் தெரிகிறது; ஏனெனில் அதில் வித்தியாசமான மாற்றங்கள் (substitutions) மற்றும் குறியீடுகள் இருக்கின்றன. ஆனால் கணினிகளுக்கு ‘விப்ஸ்’ (vibes) பிடிக்காது. அவை மாதிரிகள் (patterns), பட்டியல்கள், கசிந்த கடவுச்சொற்கள் (leaked passwords), மற்றும் கணிக்கக்கூடிய மாற்றங்களை வெறித்தனமான வேகத்தில் முயற்சிக்கும்.

தனித்துவமாகவும் வெளிப்படையான வாசகத்திலிருந்து எடுக்கப்படாத நீளமான கடவுச்சொல், சின்னமடித்த போலி மீசை அணிந்த குறுகிய கடவுச்சொல்லைவிட பொதுவாக நல்லது. உதாரணமாக, தொடர்பில்லாத நான்கு அல்லது ஐந்து சொற்கள் கொண்ட ஒரு வாக்கியம், சின்னங்கள் நிறைந்த குறுகிய கடவுச்சொல்லைவிட யூகிக்க முடியாததாக இருக்கலாம்—அந்த வாசகம் பிரபலமான மேற்கோள், பாடல் வரி, அணியின் கோஷம், அல்லது உங்கள் சமூக ஊடகத்தில் இருந்து யாராவது எடுத்துக்கொள்ளக்கூடிய ஒன்றாக இல்லாவிட்டால் மட்டும்.

நீளம் (length) மிக முக்கியம். தனித்துவம் (uniqueness) இன்னும் அதிகமாக முக்கியம். ஒரு தளத்திற்கு மீறல் (breach) நடந்துவிட்டது, நீங்கள் அந்தவே கடவுச்சொல்லை வேறிடமும் மறுபயன்படுத்தியிருந்தால், தாக்குபவர் எதையும் உடைக்க வேண்டிய அவசியமில்லாமல் போகலாம். அவர்கள் செய்ய வேண்டியது எல்லாம்: அதே மின்னஞ்சல் மற்றும் கடவுச்சொல்லை வங்கிக் கணக்குகள், மின்னஞ்சல் வழங்குநர்கள், ஷாப்பிங் கணக்குகள், கிளவுட் சேமிப்பு, சம்பள அமைப்புகள் (payroll systems) மற்றும் தானியக்கமாகச் செய்யக்கூடிய பிற எல்லா இடங்களிலும் முயற்சிப்பது. இதை credential stuffing என்று சொல்வார்கள்; விடுமுறை பக்க உணவு போலத் தான் பெயர், ஆனால் அதில் கவர்ச்சியே இல்லை.

நின்னாவின் கடவுச்சொல்லை ஆபத்தாக மாற்றிய சிறிய தவறு

நின்னாவின் கடவுச்சொல் அசாதாரணமானதல்ல. அதுதான் பிரச்சினை. Summer2024! மிக சாதாரணமான ஒரு சமையல் முறையைப் பின்பற்றுகிறது: சொல் + ஆண்டு + குறியீடு. அவள் நிறுவனத்தின் பெயரை, ஒரு தயாரிப்பு பெயரை, அல்லது vendor பெயரை பயன்படுத்தியிருந்தால் இன்னும் எளிதில் யூகிக்கக் கூடியதாக இருந்திருக்கும். அவள் அதை வேறு ஒரு தளத்தில் முன்பே பயன்படுத்தியிருந்தும், அந்த தளம் கசிந்த (leak) கடவுச்சொற்களை கொண்டிருந்திருந்தால்—பின்னர் கதைகூட முடிந்ததுதான்.

விசித்திரமான விஷயம் என்னவென்றால், அவள் பெரும்பாலும் அமைப்பின் கேட்டதைத்தான் செய்திருப்பாள். பல வலைத்தளங்கள் இன்னும் மக்களை பலவீனமான பழக்கங்களுக்குத் தள்ளிக்கொண்டிருக்கின்றன. அவை ஒரு சின்னத்தை கேட்கும்; பிறகு இடைவெளிகளை (spaces) மறுக்கும்; நீளத்தை வரம்பிடும்; அல்லது ஒவ்வொரு சில மாதங்களுக்கும் மாற்ற வேண்டுமென கட்டாயப்படுத்தும்—இதெல்லாம் நடந்தால் எல்லாரும் PasswordMarch1!, PasswordApril1! போன்றவற்றை பயன்படுத்தத் தொடங்கிவிடுவார்கள். மனிதர்கள் மிகவும் படைப்பாற்றலுள்ளவர்கள்; ஆனால் சோர்வாக இருக்கும்போதும் மதிய உணவுக்குப் போக முயற்சிக்கும்போதும் மட்டும் அதெல்லாம் இல்லை.

மேலும் நல்ல அணுகுமுறை நீளமான, குறைவாக கணிக்கக்கூடிய passphrase-ஐ பயன்படுத்துவது அல்லது ஒரு கடவுச்சொல் மேலாளர் (password manager) சீரற்ற (random) ஒன்றை உருவாக்கி சேமிக்க அனுமதிப்பது. ஒருவர் பெருமையாக நினைவில் வைத்துக்கொள்ள வேண்டிய அவசியமில்லாத அளவுக்கு. அதுதான் உண்மையில் நோக்கம்.

நிஜ வாழ்க்கையில் வேலை செய்யும் நல்ல கடவுச்சொல் பழக்கங்கள்

சிறந்த கடவுச்சொல் அமைப்பு—நீங்கள் உண்மையில் கடைபிடிக்க முடியும் ஒன்றாக இருக்க வேண்டும். 85 தனித்தனி (unique) string-களை மனப்பாடம் செய்து ஒருபோதும் தவறு செய்யாத மாதிரி ஒரு வீரத்தனமான திட்டம் அல்ல. அத்திட்டம் புதன்கிழமையிலேயே சாகும்.

• ஒரு கடவுச்சொல் மேலாளரை (password manager) பயன்படுத்துங்கள். இதுதான் பெரிய விஷயம். ஒவ்வொரு கணக்கிற்கும் தனித்துவமான கடவுச்சொற்களை உருவாக்கி சேமித்து வைக்க password manager உதவும். நீங்கள் ஒன்றே ஒரு வலுவான master password-ஐ மட்டும் நினைவில் வைத்துக்கொண்டால் போதும்; மறுபயன்படுத்தப்பட்ட டஜன் கணக்கானவை வேண்டாம்.
• master password-ஐ நீளமாக உருவாக்குங்கள். சீரற்ற சின்னங்களை விட passphrase-ஐ நினைவில் வைத்துக்கொள்வது எளிதாக இருக்கலாம். பிடித்த திரைப்படத்தில் இருந்து வரும் மேற்கோள் அல்லது வாக்கியம் அல்ல; பல தொடர்பில்லாத சொற்களை நினைத்துப் பாருங்கள்.
• பல-காரணி அங்கீகாரத்தை (multi-factor authentication) இயக்குங்கள். MFA மாயாஜாலம் அல்ல, ஆனால் உதவும். பொதுவாக authenticator app அல்லது security key, SMS குறியீடுகளைவிட வலிமையாக இருக்கும்; இருந்தாலும் பல அன்றாட கணக்குகளுக்கு SMS இப்போதும் ‘ஒன்றும் இல்லை’ என்பதைக் காட்டிலும் மேல்.
• ஒருபோதும் கடவுச்சொற்களை மறுபயன்படுத்தாதீர்கள். “முக்கியமில்லாத” கணக்குகளுக்கும் கூட. சிறிய கணக்குகள் stepping stones போல செயல்படலாம்—குறிப்பாக அவை உங்கள் தனிப்பட்ட தகவல்களை வெளிப்படுத்தினால் அல்லது உங்கள் மின்னஞ்சலுடன் இணைந்திருந்தால்.
• உண்மையான அபாய நிகழ்வுக்குப் பிறகு கடவுச்சொற்களை மாற்றுங்கள். ஒரு சேவை மீறல் (breach) நடந்ததாக அறிவித்தால், அல்லது நீங்கள் போலியான உள்நுழைவு (fake login) பக்கத்தில் கடவுச்சொல்லை உள்ளிட்டிருந்தால் மாற்றுங்கள். காரணம் இல்லாமல் மீண்டும் மீண்டும் கட்டாயப்படுத்தும் மாற்றங்கள் பெரும்பாலும் பலவீனமான மாதிரிகளுக்குத்தான் வழிவகுக்கும்.
• கசிவுகள் (leaks) இருக்கிறதா சரிபாருங்கள். உங்கள் மின்னஞ்சல் அறியப்பட்ட கசிவு தரவுகளில் இருப்பதாக தெரிந்தால், பழைய சில கடவுச்சொற்கள் சுற்றிக்கொண்டிருக்கலாம் என்று கருதி, முதலில் மறுபயன்படுத்தியவைகளை மாற்றுங்கள்.

நீங்கள் ஒரு கடவுச்சொல் யோசனையை பயன்படுத்த முடிவு செய்வதற்கு முன் அது அதிகமாக கணிக்கக்கூடியதாக இருக்கிறதா என்று விரைவாகப் புரிந்துகொள்ள, ஒரு Password Strength Checker உதவும் sanity check ஆக இருக்கலாம். ஆனால் எந்த ஒரு மதிப்பெண்ணையும் ‘பரலோகத்தின் பாதுகாப்பு ஆசீர்வாதம்’ போல கருத வேண்டாம். அது வழிகாட்டி (guide) மட்டுமே; force field அல்ல.

இன்னும் பலர் செய்யும் பொதுவான கடவுச்சொல் தவறுகள்

தெளிவான தவறு password, 123456, அல்லது கீபோர்டு பாதை (keyboard walk) போல qwerty பயன்படுத்துவதே. ஆனால் இன்னும் பல புத்திசாலி போலத் தோன்றும் தவறுகளும் வழுக்கித் தப்பிக்கும்.

பலவீனமான ஒரு சொல்லில் சின்னம் சேர்ப்பது. Dragon! என்பது குறியீடுகள் கற்றுக் கொண்ட பள்ளிக்கு போனதாலேயே திடீரென சக்திவாய்ந்ததாக ஆகிவிடாது. அந்த மாற்றங்களைத் தாக்குதல் கருவிகள் (attack tools) முயற்சித்தே பார்க்கும்.

தனிப்பட்ட விவரங்களை பயன்படுத்துவது. குழந்தைகளின் பெயர்கள், பிறந்தநாள்கள், செல்லப்பிராணி பெயர்கள், விளையாட்டுக் குழுக்கள், சொந்த ஊர்கள், பள்ளிப் பெயர்கள். அது சமூக ஊடகத்தில் தெரிந்தால், பொது பதிவுகளில் இருந்தால், அல்லது உங்கள் அத்தை ஒருவர் போடும் உற்சாகமான பிறந்தநாள் பதிவில் வந்தால்—அது ரகசியமான அளவுக்கு இல்லை.

ஒரே அடிப்படை கடவுச்சொல்லை மறுசுழற்சி செய்வது. மக்கள் இதை அடிக்கடி செய்கிறார்கள்: BlueRiverBank!, BlueRiverEmail!, BlueRiverShop!. இது ஒழுங்காக இருப்பது போலத் தோன்றும். ஆனால் அது ஒரு தாக்குபவருக்கு template-ஐ (மாதிரியை) தருகிறது.

சாட் அல்லது மின்னஞ்சலில் கடவுச்சொற்களை பகிர்வது. ஒரு நிறுவனத்துக்குள்ளேயே கூட இது வேகமாக குழப்பமாகி விடும். செய்திகள் forward ஆகும், சேமிக்கப்படும், தேடப்படும், backup எடுக்கப்படும். குழு அணுகல் (team access) தேவைப்படும் போது, password manager-இல் உள்ள சரியான பகிர்வு (sharing) அம்சங்களைப் பயன்படுத்துங்கள்.

பகிரப்பட்ட சாதனங்களில் browser-ல் கடவுச்சொற்களை சேமிப்பது. உங்கள் சொந்த பூட்டப்பட்ட லேப்டாப்பில், சிலருக்கு browser password storage சரியாக இருக்கலாம். ஆனால் பகிர்ந்து பயன்படுத்தும் குடும்ப கணினி, வாங்கி பயன்படுத்தும் டேப்லெட், அல்லது பலர் பயன்படுத்தும் அலுவலக இயந்திரம்—இதெல்லாம் சேர்ந்தால் அது ஒரு குழப்பமாக மாறிவிடும்.

மின்னஞ்சல் கணக்கை கவனிக்காமல் விடுவது. உங்கள் மின்னஞ்சல் உங்கள் வாழ்க்கையின் reset பட்டன். யாராவது அதை கட்டுப்படுத்தினால், மற்ற இடங்களிலும் கடவுச்சொற்களை reset செய்ய முடியும். உங்கள் மின்னஞ்சல் கணக்கிற்கு உங்கள் மிக வலுவான கடவுச்சொல்லையும் MFA-யையும் கொடுங்கள்; குறுக்குவழிகள் எதுவும் வேண்டாம்.

கடவுச்சொல் பாதுகாப்பு சலிப்பாகத் தெரியும்—அது நடக்காதவரை

திங்கள்கிழமை நடந்த சம்பவத்திற்குப் பிறகு, நின்னாவின் நிறுவனம் வழக்கமானபடி அவசரக் குழப்பத்தில் இறங்கியது. vendor கடவுச்சொல்லை reset செய்தது. logs-ஐ சரிபார்த்தது. சில வாடிக்கையாளர்களிடம் மன்னிப்பு கேட்டது. எப்படி இருந்தாலும் அனைவரையும் ஒரே நேரத்தில் தூக்கமாகவும் குற்றம் சாட்டப்பட்டதாகவும் உணர வைத்த பாதுகாப்பு நினைவூட்டலில் உட்கார்ந்தது. ஆனால் உண்மையான சரிசெய்தல் (fix) திடுக்கிடும் அளவுக்கு நாடகமாக இல்லை. அவர்கள் ஒரு password manager-ஐ வெளியிட்டார்கள், vendor கருவிகளுக்கு MFA-யை கட்டாயமாக்கினார்கள், மேலும் குழுக்கள் தன்னிச்சையான சாட் திரிகளில் கணக்கு உள்நுழைவுகளை பகிர அனுமதிக்காமல் நிறுத்தினார்கள்.

அதுதான் பொதுவாக கடவுச்சொல் பாதுகாப்பு மேம்படும் விதம். ஒரே பெரிய சினிமாடிக் தருணம் மூலம் அல்ல; ஆசையை (temptation) குறைக்கும் சிறிய அமைப்புகளின் மூலம். ஏனெனில் மக்கள் அவசரமாக இருக்கும்போது—படிவத்தை கடந்து செல்லும் கடவுச்சொல்லைதான் தேர்வு செய்வார்கள். சோர்வாக இருக்கும்போது—பழையதையே மறுபயன்படுத்துவார்கள். விதிகள் எரிச்சலூட்டுமாறு இருந்தால்—அவற்றைச் சுற்றி ஒரு மாதிரியை கண்டுபிடிப்பார்கள்.

அதனால் நடைமுறை பாடம் எளிமையானது—அந்த பழக்கங்களுக்கு கொஞ்சம் அமைப்பு நேரம் தேவைப்பட்டாலும்: நீளமான தனித்துவமான கடவுச்சொற்களை பயன்படுத்துங்கள், வேலைக்கேற்ற வகையில் வடிவமைக்கப்பட்ட இடத்தில் சேமியுங்கள், மற்ற எல்லாவற்றையும் காப்பாற்றும் கணக்குகளை பாதுகாத்திடுங்கள், மற்றும் ‘சுறுசுறுப்பாக’ இருப்பதாக தோன்றினாலும் பொதுவான ஒரு மாதிரியைப் பின்பற்றும் எதையும் சந்தேகத்துடன் பாருங்கள். சிறந்த கடவுச்சொல் sticky note-ல் பயமுறுத்தும் மாதிரி தெரியும் ஒன்றல்ல. தாக்குபவரால் கணிக்க முடியாததும், ஒரு breach-இல் இருந்து மீண்டும் பயன்படுத்த முடியாததும், மேலும் சிறப்பாக—மனத்திலிருந்து நினைத்து டைப் செய்யவே வேண்டியதில்லாததும் அதுதான்.