- Paroolid on endiselt kriitilise tähtsusega, kuid tehisintellekt on mitmekordistanud nende äraarvamise võimet sõnastikurünnakute, jõhkra jõu ja generatiivsete mudelite abil.
- LLM-id ei tekita tõelist juhuslikkust: nende mustrid põhjustavad madala entroopiaga paroolide genereerimist ja üllatavalt lihtsat lahtimurdmist.
- Kaitse hõlmab paroolihaldureid, pikki ja unikaalseid paroole, mitmefaktorilist autentimist ja pidevat tehisintellektil põhinevat jälgimist.
- Tulevik on suunatud paroolivabadele mudelitele, pääsukoodidele ja nullusalduspõhimõttele, kus identiteet ja kontekst on olulisemad kui üks jagatud saladus.
Paroolid seisavad tehisintellekti revolutsiooni keskel silmitsi tõelise proovikiviga . Need on endiselt planeedi kõige levinum autentimissüsteem, kuid iga tehisintellekti, küberrünnakute ja automatiseerimise areng avaldab sellele teises ajastus sündinud mudelile suuremat survet. Samal ajal kaitsevad miljonid kasutajad oma e-posti, pangandus- ja sotsiaalmeediakontosid paroolidega, mille tänapäevane ründaja saab sekunditega lahti murda.
Samal ajal ei ole kõik kontod valmis paroolivaba maailma hüppeks . Paroolid, biomeetriline autentimine ja nullusaldusmudelid arenevad küll edasi, kuid need eksisteerivad koos klassikaliste sisselogimisvormide ja pärandteenustega, mis endiselt tuginevad sellele „millelegi, mida sa tead“. Selles kontekstis ei ole enam tehniline küsimus, miks paroolid on olulisemad kui kunagi varem, kuidas tehisintellekt neid vaidlustab ja millised reaalsed alternatiivid meil on. See on digitaalse ellujäämise elementaarne küsimus.
Miks paroolid on tehisintellekti ajastul endiselt kriitilise tähtsusega
Tänapäeval on isiklikest ja ettevõtteandmetest saanud kõva raha . Üksainus lekkinud parool saab müüa mõne dollari eest salajastes foorumites, aga kui see parool avab ukse ettevõtte e-posti aadressile, sisemisele failisüsteemile või pangakontole, võib rahaline mõju ulatuda sadadesse tuhandetesse eurodesse.
Nii mitmekesised teenused nagu internetipangandus, e-post, haiguslood, sotsiaalmeedia ja pilvepõhised töövahendid tuginevad endiselt paroolidele kui peamisele juurdepääsu kontrollimeetmele. Kui keegi logib sisse parooliga „parool123” või mõne muu viletsa variatsiooniga, on see digitaalne vaste sellele, kui jätta oma välisuks lahti sildiga „tulge sisse ilma koputamata”.
Uuringud näitavad, et umbes pooled kõigist rakendustest tuginevad ainult paroolidele , ilma täiendavate turvakihtideta. Ja lisaks kõigele sellele kasutab vaid väike osa kasutajatest iga teenuse jaoks erinevat parooli. See on teravas vastuolus tegelikkusega: enamik inimesi haldab 70–100 veebikontot, samas kui meie suudame parimal juhul meeles pidada vaid 5–7 erinevat parooli.
See lõhe selle vahel, mida me suudame meelde jätta, ja kontode arvu vahel, mida me iga päev kasutame, viib ohtlike harjumusteni: paroolide taaskasutamine, nende krüpteerimata märkmetesse üleskirjutamine või jagamine ebaturvaliste kanalite kaudu . Kuigi teie seda tõenäoliselt ei tee, salvestavad paljud inimesed paroole ikkagi märkmete rakenduses või monitori külge kleebitud paberilehel, mis lihtsustab oluliselt iga mõõdukalt organiseeritud ründaja tööd.
Tehisintellekt lisab veel ühe keerukusastme: jõhkra jõu , sõnastiku- ja volituste täitmise rünnakuid saab nüüd automatiseerida ja optimeerida tööstuslikus mastaabis . See, mis varem nõudis aega, vaeva ja teatavat tehnilist oskusteavet, saab nüüd korraldada täiustatud tööriistadega, mis testivad miljoneid kombinatsioone, mis on õpitud reaalsetest andmeleketest.
Pikkus, keerukus ja entroopia: mis teeb parooli tõeliselt tugevaks
Üks levinumaid müüte on see, et "keerulisena tunduv" parool on automaatselt turvaline . Suurtähtede lisamine, tähtede asendamine numbritega või sümboli lisamine jätab teatud mulje tugevusest, kuid tänapäevaste rünnakumeetodite vastu on otsustavaks teguriks midagi muud: pikkus.
Kui ründaja saab juurdepääsu suurettevõtte lekkinud volituste andmebaasile, salvestatakse paroolid tavaliselt mitte lihttekstina, vaid krüpteeritud räsidena . Algse parooli taastamiseks kasutavad nad krüpteerimistehnikaid: nad genereerivad paroolide oletusi, krüpteerivad need samal viisil ja võrdlevad tulemusi, kuni leiavad vasted.
Sellisel juhul, mida pikem on parool, seda plahvatuslikum on võimalike kombinatsioonide arvu kasv . 8-tähemärgilise parooli saab GPU-klastris või pilvandmetöötluse keskkonnas murda sekundite või minutitega, isegi kui see vaheldub tähtede, numbrite ja sümbolitega. Seevastu hästi koostatud 16-tähemärgilise parooli murdmine võib võtta aastaid, sajandeid või olla praeguste ressurssidega lihtsalt võimatu.
Kui mõelda ka tulevastele kvantarvutitele, on pikkus ikkagi määrav: absurdset jada, näiteks 40 korda sama tähte, oleks teoreetiliste kvantvõimekustega praktiliselt võimatu tasa teha, samas kui lühikese „loomingulise“ parooli, mis põhineb teie jalgpallimeeskonnal või kuulsal laulul, võiks hetkega ära arvata.
Formaalsemast vaatenurgast mõõdetakse parooli turvalisust entroopia bittides , mis peegeldab seda, mitu katset keskmiselt selle äraarvamiseks vaja läheb. Mida laiem on kasutatav tähemärkide valik (suurtähed, väiketähed, numbrid, sümbolid) ja mida pikem on kombinatsioon, seda suurem on entroopia ja seda raskem on seda jõhkra jõu rünnakutega murda.
Umbes 20-bitise entroopiaga parool genereerib ligikaudu miljon võimalikku kombinatsiooni, mille ründaja suudab tänapäevaste graafikaprotsessorite abil murda mõne sekundiga . Seevastu umbes 100-bitise entroopiaga parool sisaldaks nii palju kombinatsioone, et praktikas kuluks selle dekrüpteerimiseks miljardeid aastaid. Nende kahe erinevus ei ole maagiline: see on tegelik pikkus ja märkide efektiivne mitmekesisus, mitte ainult keerukuse näivus.
Suur viga: turvalisuse jätmine tehisintellekti loodud paroolide kätte
Vestlusrobotite esiletõusu tõttu on ahvatlev paluda sellisel mudelil nagu ChatGPT, Claude või Gemini "genereerida turvaline 16-tähemärgiline parool numbrite, sümbolite ja tähtedega ". Paberil kõlab see ideaalselt: mudel tagastab keerulisi stringe, mida on raske lugeda ja esmapilgul võimatu meelde jätta, väga sarnaselt paroolihaldurite pakutavatele.
Probleem on selles, et keelemudelid ei ole sisuliselt loodud tekitama tõelist juhuslikkust . Need ennustavad järgmist kõige tõenäolisemat tekstiosa (tokenit) nende andmete põhjal, mille põhjal neid treeniti. See on täpselt vastupidine sellele, mida vajame tugeva parooli loomiseks, mis nõuab võrdselt tõenäolisi ja ettearvamatuid valikuid.
Tehisintellekti turvaspetsialistide hiljutised uuringud on näidanud, et kui neil mudelitel paluti genereerida kümneid „unikaalseid“ paroole, ilmnesid väga selged ja korduvad mustrid . Claude'iga tehtud testides algasid paljud paroolid sama tähega ja teine märk oli peaaegu alati sama number; lisaks kasutati uuesti väga väikest osa tähestikust, jättes välja enamiku tähti.
Midagi sarnast juhtus ka ChatGPT-ga: peaaegu kõik paroolid algasid sama tähega ja peaaegu pooled kasutasid teise tähena "Q" . Gemini puhul ilmnesid ka korduvad mustrid, kus kombinatsioonid tundusid juhuslikud, kuid statistiliselt analüüsituna olid need kaugel ühtlasest jaotusest.
Kõige silmatorkavam on see, et paljud neist genereeritud paroolidest ei näidanud ühtegi tähemärkide kordust . Inimsilmale annab see tunde kaootilisest korrast, kuid tõenäosuslikust vaatenurgast on äärmiselt ebatõenäoline, et otsuseid tehti tõepoolest juhuslikult. See on selge märk sellest, et mudel järgib "sisemisi reegleid", mis muudavad selle palju etteaimatavamaks, kui paistab.
Kui LLM-i abil loodud paroolide entroopiat mõõdeti, olid tulemused laastavad: võrreldes umbes 6,13 bitiga entroopiat tähemärgi kohta, mille tõeliselt juhuslik generaator toodaks , suutsid mudelid genereerida vaid umbes 2,08 bitti tähemärgi kohta. 16-tähemärgilise parooli puhul tähendab see umbes 98 biti (väga robustne) vähendamist kõigest 27 bitini, mille ründaja saab jõhkrate rünnakutega ilma higistamata lahti murda.
Lõpuks tuvastasid teadlased tehisintellekti loodud paroolides reaalsetes internetiteenustes iseloomulikke mustreid . Teisisõnu, on olemas rakendusi ja veebisaite, mis on juba kaitstud paroolidega, millel on etteaimatavad struktuurid, mis teeb neist ideaalsed sihtmärgid spetsiaalsetele sõnastikurünnakutele, mis sisaldavad "tüüpiliste vestlusrobotite paroolide loendeid".
Seepärast on paljud turvafirmad selles küsimuses selged: paroolide loomist ei ole hea mõte delegeerida üldotstarbelisele tehisintellektile . Need on optimeeritud genereerima usutavat teksti, mitte garanteerima juhuslikku jaotust, mis on analüüsile vastupidav. Kui olete juba vestlusrobotiga paroole genereerinud, tasub neid muuta ja vähemalt lisada kahefaktoriline autentimine (2FA), et kaitse taset tõsta.
Paroolihaldurid, tõeline juhuslikkus ja põhilised parimad tavad
Kui kümnete unikaalsete, pikkade ja keeruliste paroolide meeldejätmine on võimatu (mis see on), on praktiline lahendus halduse tsentraliseerimine . Siin tulevadki mängu paroolihaldurid , mis loovad ja salvestavad tugevaid paroole krüpteeritud "hoidlasse", mida kaitseb põhiparool ja üha enam ka täiendavad autentimisfaktorid.
Erinevalt LLM-idest kasutavad paroolihaldurid krüptograafilisi juhuslike arvude generaatoreid . Need tuginevad operatsioonisüsteemi entroopiale ja füüsilistele allikatele (hiire liigutused, sündmuste vaheline ajastus jne), et luua tõeliselt ettearvamatuid bitte, mis seejärel teisendatakse märgijadadeks, ilma et inimsilmale "ilusaid" mustreid ilmuks.
Sellised tööriistad nagu Bitwarden, mis pakub üsna põhjalikku tasuta versiooni, või 1Password, tasuline, kuid väga võimas teenus , võimaldavad hallata lisaks paroolidele ka krediitkaarte, turvamärkmeid ja muud tundlikku teavet. Kasutaja peab meeles pidama vaid väga tugevat peaparooli (ja ideaalis kaitsma kontot kahefaktorilise autentimisega), samal ajal kui haldur hoolitseb ülejäänu eest.
Lisaks tugevate paroolide genereerimisele sisaldavad need haldurid tavaliselt selliseid funktsioone nagu perioodiline volituste vahetamine, hoiatused teadaolevate andmetega seotud rikkumiste kohta ja paroolide taaskasutamise kontrollid . Kui veebisait kannatab rikkumise all või kui teie andmed ilmuvad tumeveebi nimekirjadesse, saab haldur teid hoiatada, et saaksite mõjutatud paroole enne, kui keegi neid ära kasutab.
Teine hea harjumus on kustutada kontod, mida te enam ei kasuta . Lihtne on unustada vana Myspace'i profiil, 2000. aastate alguse Hotmaili konto või teenus, millele registreerusite "lihtsalt proovimiseks". Kui aga olete seda e-posti aadressi kunagi mõne teise olulise konto taastamisaadressina kasutanud, muutub see teie turvaahelas haavatavaks lüliks.
Lõpuks on mitmefaktorilise autentimise lubamine kõigil võimalikel kontodel praktiliselt kohustuslik . Olenemata sellest, kas kasutate SMS-i, rakendusi nagu Authy või Google Authenticator või keerukamaid meetodeid, vähendab teise teguri (kood, füüsiline võti, biomeetria) nõudmine oluliselt ohustatud parooli mõju.
Kuidas tehisintellekt annab nii ründajatele kui ka kaitsjatele jõudu
Tehisintellekt muudab mängu mõlema poole jaoks. Ühelt poolt ei tugine küberkurjategijad enam ainult klassikalisele toorele jõule : nad treenivad mudeleid miljonite lekkinud paroolidega, et genereerida äärmiselt tõhusaid sõnaraamatuid, mis suudavad paroolide loomisel (nimed, kuupäevad, meeskonnad, laulusõnad jne) inimlikke mustreid jäädvustada.
Generatiivsetel võrkudel põhinevad tööriistad nagu PassGAN suudavad toota tohutul hulgal parooliarvamisi ilma selgesõnaliste, inimese määratletud reegliteta . Erinevalt traditsioonilistest utiliitidest nagu Hashcat, mis rakendavad teadaolevatele loenditele eelnevalt määratletud teisendusi, õpivad ja täpsustavad need mudelid oma väljundit pidevalt, kui nad genereerivad rohkem katseid.
Selliste andmekogumitega nagu kurikuulus RockYou leke või LinkedIni paroolid läbi viidud testides on PassGAN õigesti ära arvanud 51–73% rohkem unikaalseid paroole kui reeglipõhised tööriistad . Spetsiaalselt ühe konkreetse lekke näidiste põhjal treenituna suutis see õigesti ära arvata peaaegu veerandi paroolidest teises, sõltumatus komplektis – eriti murettekitav statistika, arvestades kasutajaid, kes kasutavad paroole erinevates teenustes.
Lisaks saavad täiustatud automatiseerimisest suurt kasu sellised rünnakutehnikad nagu volituste täitmine ja paroolide pihustamine . Tehisintellekti abil saavad ründajad kohandada proovitavate paroolide järjekorda ja prioriteeti, optimeerides ressursse ja keskendudes kombinatsioonidele, millel on ohvri profiili põhjal suurem edukuse tõenäosus.
Kuid tehisintellekt mitmekordistab kahju ka teises dimensioonis: andmepüük ja sotsiaalne manipuleerimine . Generatiivsed mudelid võimaldavad luua e-kirju, võltsitud sisselogimisveebisaite ja isegi süvavõltsingutega häälkõnesid, mis matkivad pereliikmeid, ülemusi või kolleege häiriva realismitasemega. Sellistes olukordades, olenemata sellest, kui tugev teie parool on, pole sellest erilist kasu, kui lõpuks sisestate selle võltsitud lehele, mis saadab selle otse ründajale.
Kaitsepositsioonil on tehisintellektist aga saanud asendamatu liitlane . Paljud turvasüsteemid kasutavad sisselogimismustrite analüüsimiseks ja anomaalse käitumise tuvastamiseks mudeleid: juurdepääs ebatavalistest riikidest, kahtlased ajad, inimese omast erinev trükkimiskiirus või ebatavalised seadmed.
Kui näiteks tuvastatakse ebatüüpilisest asukohast ligipääs koos pealtnäha automatiseeritud interaktsioonimustriga , saab süsteem katse blokeerida, nõuda täiendavat kinnitust või sundida parooli muutma. Peamine on siin pidev jälgimine: ukse lukustamisest üksi ei piisa; tuleb silma peal hoida ka sellel, kes ja kuidas siseneda üritab.
Lisaks paroolile: mitmekordne autentimine, biomeetria, nullusaldus ja pääsukoodid
Rünnakute pideva sagenemise ja digitaalsete identiteetide (nii inimeste kui ka teiste) leviku tõttu on klassikaline mudel, mis põhineb ainult kasutajanimedel ja paroolidel, ebaefektiivne . Suundumus on nihutada turvalisuse koormust ühelt saladuselt signaalide, konteksti ja pideva kontrollimise kombinatsioonile.
Esiteks on mitmefaktoriline autentimine (MFA) saanud nurgakiviks . Kõik tegurid ei ole võrdselt tugevad: näiteks SMS-i teel saadetud ühekordsed koodid on haavatavad pealtkuulamisrünnakute, SIM-kaardi kloonimise või keeruka andmepüügi suhtes. Sellegipoolest on need paremad kui mitte midagi ja järgmine samm on investeerida vastupidavamatesse meetoditesse, näiteks spetsiaalsetesse rakendustesse, turvavõtmetesse või pettusekaitsega push-teavitustesse.
Biomeetria, näiteks näotuvastus või sõrmejälgede skaneerimine tänapäevastes mobiiltelefonides ja sülearvutites , pakub väga mugavat kogemust ja tõstab ründajate jaoks lati, kuigi see pole lollikindel. Koos seadmesse salvestatud krüptograafiliste võtmetega võimaldab see süsteeme, kus kasutajal pole parooli sisestada, vähendades andmepüügi ohtu.
Siin tulevadki mängu pääsukoodid ja paroolivabad lahendused , mis kasutavad avaliku võtme krüptograafiat kasutaja autentimiseks ilma traditsioonilise võtmeta. Teenused nagu Okta FastPass võimaldavad teil seadme turvaliselt identiteediga siduda ja juurdepääsu krüptograafiliste võtmete abil valideerida, integreerudes ka selliste meetoditega nagu Windows Hello, Apple Touch ID või Face ID.
Selline lahendus mitte ainult ei paranda kasutajakogemust (enam pole vaja kümneid paroole meeles pidada), vaid vähendab oluliselt ka ründaja korduvkasutatavate volituste varastamise tõenäosust . Võrgus ei liigu "jagatud saladus", mida saaks jäädvustada: kontrollimine toimub krüptograafiliste väljakutsete abil, mida saab lahendada ainult legitiimne seade.
Paralleelselt on paljud organisatsioonid omaks võtnud nullusalduspõhimõtte, mis eeldab, et vaikimisi ei usaldata ühtegi juurdepääsu , isegi kui see pärineb ettevõtte võrgust. Iga päringut hinnatakse, võttes arvesse mitmeid tegureid: kes on kasutaja, millist seadet ta kasutab, tema asukoht, juurdepääsu aeg, tema hiljutine käitumine jne.
Selles mudelis saab identiteedi- ja juurdepääsuhaldusest (IAM/IGA) turvakontrolli keskmes . Rakendatakse minimaalsete privileegide, perioodiliste lubade ülevaatamise ja riskisignaalide reaalajas korrelatsiooni põhimõtteid. Kui midagi kaldub oodatud mustrist kõrvale, saab süsteem õigused koheselt tühistada või nõuda täiendavat kontrollimist.
Uus rinne: tehisintellekti agentide identiteedid ja mitte-inimkontod
Autonoomsete agentidega tehisintellekti tulek lisab veel ühe keerukuskihi. Need agendid mitte ainult ei päri süsteeme, vaid ka tegutsevad nende sees : nad autentivad, kutsuvad API-sid, loevad ja kirjutavad andmeid ning teevad isegi ettevõtte nimel operatiivseid otsuseid.
Igal seda tüüpi agendil on vaja oma identiteeti või vähemalt mandaatide komplekti . See laiendab oluliselt rünnakupinda, sest me räägime API-võtmetest, OAuth-tokenidest, teenusekontodest ja muudest saladustest, mis on sageli halvasti inventuuritud, millel on liigsed õigused või mis aeguvad hilja (kui üldse).
Lisaks toovad agendipõhised süsteemid kaasa uusi ja spetsiifilisi haavatavusi : käskude süstimine vastuvõetud juhistesse, mudeli mürgitamine, andmetega manipuleerimine, soovimatu privileegide eskaleerimine jne. Rünnatakse mitte ainult traditsioonilist koodi, vaid ka tehisintellekti otsustusloogikat.
Nn „vari-tehisintellekt“ halvendab olukorda: töötajad, kes integreerivad oma töövoogudesse volitamata tehisintellekti tööriistu, võivad luua haavatavusi, mille lahendamiseks traditsioonilised kontrollimeetmed (tulemüürid, viirusetõrje, pärandpoliitikad) ei ole loodud. Valesti konfigureeritud agent võib näiteks tühistada kehtivad volitused või panna karantiini kriitilised ressursid ilma, et keegi seda õigeaegselt märkaks.
Seetõttu soovitavad eksperdid käsitleda tehisintellekti agente väärtuslike digitaalsete identiteetidena . See hõlmab neile ainult rangelt vajalike lubade andmist, nende tegevuse tähelepanelikku jälgimist, mehhanismide loomist nende tegevuse peatamiseks või piiramiseks, kui need kalduvad kõrvale oodatud käitumisest, ning tagamist, et varundamine, taastamine ja haldamine käsitlevad ka neid komponente.
Märkimisväärne väljakutse on puhas nähtavus: paljud ettevõtted ei tea isegi, kui palju agente igal ajahetkel töötab, milliste süsteemidega nad ühenduvad või millistele andmetele nad ligi pääsevad . Ilma inventuuri või jälgitavuseta suureneb kontrolli kaotamise oht hüppeliselt ja iga intsidenti võib nende süsteemide autonoomia võimendada.
Hea uudis on see, et identiteetide, lubade ja juurdepääsu haldamise tööriistad – nii inimeste kui ka teiste – on juba olemas ja üsna küpsed . Tegelik väljakutse on kultuuriline ja organisatsiooniline: juhtimise, vastupidavuse ja koolituse integreerimine algusest peale, selle asemel, et käsitleda tehisintellekti lihtsa plug-and-play pluginana.
Suuremat pilti vaadates on selge, et paroolidel on endiselt oluline roll, kuid need ei suuda enam üksi digitaalset turvalisust tagada . Kontekstis, kus tehisintellekt kiirendab nii rünnakuid kui ka kaitset, kus autonoomsed agendid langetavad otsuseid kriitilistes süsteemides ja kus identiteedid mitmekordistuvad, hõlmab strateegia pikkade ja unikaalsete paroolide kasutamist, mida hallatakse tugevate tööriistadega, toetades neid pidevalt mitmefaktorilise autentimisega, vähendades järk-järgult nende olulisust pääsukoodide ja paroolivabade skeemide abil ning tugevdades identiteedi- ja juurdepääsumudelit, mis põhineb nullusaldusel ja pideval jälgimisel. Ainult sel viisil saame hoida eemal ohukeskkonda, mis muutub iga päevaga kiiremaks, automatiseeritumaks ja intelligentsemaks.
