Parolele sunt unul dintre subiectele la care fiecare bănuiește în sinea lui că face ceva greșit, și aproape nimănui nu-i place să vorbească despre asta. Așa că hai să lăsăm deoparte judecățile de la bun început. Obiceiurile pe care le au majoritatea echipelor în privința parolelor sunt obiceiuri formate de instrumentele de altădată. Să ții minte parolele, să le refolosești, să trimiți datele de conectare ale site-ului într-un mesaj pe chat: toate sunt reacții firești la un sistem care le cerea oamenilor ceva la care memoria umană chiar nu se pricepe.
Vestea bună e că soluția nu e disciplina. E un set mic de obiceiuri care, odată formate, înseamnă mai puțină bătaie de cap decât înainte, nu mai multă. Sunt cele pe care le recomandăm fiecărei echipe pe care o avem în grijă și pe care le respectăm și noi.
Lasă un manager de parole să țină minte în locul tău
Cel mai mare pas înainte pe care îl poate face o echipă e să nu mai țină minte parole deloc. Un manager de parole e o aplicație mică care păstrează fiecare cont într-un seif criptat, completează datele în locul tău și se sincronizează între dispozitive. Tu ții minte o singură frază de acces puternică. Managerul ține minte tot restul.
Asta rezolvă problema de fond din spatele aproape oricărui obicei prost legat de parole. Refolosirea apare pentru că nimeni nu poate ține minte zeci de parole unice. Parolele slabe apar pentru că "ușor de reținut" și "puternic" trag în direcții opuse. Odată ce memoria iese din ecuație, fiecare cont poate avea o parolă lungă, unică și aleatorie, fără niciun efort zilnic. Majoritatea managerilor oferă planuri de echipă cu seifuri partajate, care contează dintr-un motiv la care ajungem imediat. Oricare ar fi produsul ales, obiceiul e același: dacă o parolă merită păstrată, intră în seif, și nicăieri altundeva.
Nu mai inventa niciodată o parolă
E bine știut că oamenii nu se pricep să inventeze parole aleatorii. Orice ne-ar veni în minte tinde să urmeze tipare, iar programele de spart parole exact pe tipare mizează. Parolele generate ocolesc problema complet: un șir lung de caractere aleatorii, creat de instrument, păstrat de instrument, introdus de instrument. Nimeni nu trebuie să îl vadă vreodată, cu atât mai puțin să îl memoreze.
Noi mizăm pe asta în propriile produse. Când portalul nostru pentru clienți sau oricare dintre instrumentele noastre îți cere să setezi o parolă, îți propune din start una generată, puternică, astfel încât drumul cel mai comod să fie și cel sigur. Nimeni nu trebuie să fie creativ pe loc, și e bine așa, pentru că așa ajung numele pisicii și un an de naștere să păzească site-ul companiei. Acceptă parola generată, las-o în grija managerului și vezi-ți liniștit de treabă.
O persoană, un cont
Conturile folosite la comun sunt răspândite pentru că sunt comode. Un cont de editor pentru site, un cont pentru instrumentul de newsletter, toată lumea în același panou de control cu statistici. Comoditatea e reală, dar la fel sunt și costurile, iar ele ies la iveală în cele mai proaste momente. Când toată lumea e același utilizator, nu ai cum să știi cine a modificat ce, iar micile mistere se transformă în investigații lungi. Când se schimbă parola, toți rămân blocați deodată. Iar când cineva pleacă din echipă, nu îi poți retrage doar lui accesul, așa că în practică parola pur și simplu nu se mai schimbă niciodată.
Un cont de persoană rezolvă toate astea, iar pe sistemele pe care le construim nu costă nimic. Adăugarea unui editor pe un site Drupal durează câteva clipe, și fiecare cont primește exact permisiunile de care are nevoie persoana respectivă, nimic în plus. Acolo unde un serviciu extern taxează per utilizator și te împinge spre conturi la comun, tratează asta ca pe o întrebare care merită pusă, nu ca pe un dat al vieții. Iar pentru datele de acces care chiar sunt comune, cum ar fi conturile de social media ale companiei, un seif partajat în managerul de parole face treaba pe care o făcea odinioară bilețelul lipit de monitor, doar fără bilețel.
Activează 2FA acolo unde contează
Autentificarea în doi pași înseamnă că o conectare are nevoie de ceva în plus față de parolă, de obicei un cod de pe telefon. E centura de siguranță a conturilor: ușor enervantă câteva zile, apoi invizibilă, apoi, într-o zi, foarte importantă. Dacă o parolă ajunge totuși pe mâini străine, și li se întâmplă și oamenilor atenți, 2FA e ce mai stă între parola scursă și un cont preluat de altcineva.
Nu trebuie să o pornești peste tot până vineri. Începe acolo unde miza e cea mai mare: mai întâi e-mailul, pentru că oricine controlează o căsuță de e-mail poate reseta din ea majoritatea celorlalte parole. Apoi conturile care țin bani sau trimit mesaje în numele tău, apoi conturile de administrare ale site-ului, apoi domeniul și DNS-ul. Alege o aplicație de autentificare în locul codurilor prin SMS acolo unde ai de ales. Managerii de parole pot păstra și aceste coduri, chiar lângă parolă, ceea ce reduce tot ritualul la câteva secunde.
O notă practică: atunci când activezi 2FA, serviciul îți oferă de obicei coduri de recuperare pentru ziua în care telefonul se pierde sau e înlocuit. Păstrează-le tot în seif. Rostul unui al doilea factor e să îi țină pe străini departe de conturile tale, nu să te lase pe tine pe dinafară.
Un plan liniștit pentru când pleacă cineva
Oamenii pleacă din echipe, în relații bune și uneori mai puțin bune, iar accesul lor ar trebui să plece odată cu ei. Echipele care gestionează asta fără emoții nu sunt cele mai suspicioase. Sunt cele care au o listă scurtă de verificare, scrisă înainte să fie nevoie de ea. Dezactivează sau șterge conturile care au aparținut persoanei. Schimbă datele de acces cu adevărat comune la care a avut acces; cu un manager de parole, e o treabă de zece minute, nu un proiect de arheologie. Verifică și căile de acces discrete: regulile de redirecționare a e-mailurilor, aplicațiile conectate, cheile API salvate, registrarul de domenii.
Dacă obiceiurile de mai sus sunt deja formate, lista rămâne scurtă și plictisitoare, exact cum ar trebui să fie o plecare. Un cont de persoană înseamnă că poți retrage accesul cu precizie chirurgicală. Seiful înseamnă că știi ce a fost partajat. 2FA înseamnă că o parolă veche scăpată de la schimbare nu e o cheie universală. Nimic din toate astea nu cere dramă și nimic nu înseamnă neîncredere. E la fel de firesc ca atunci când recuperezi cheile de la birou.
Obiceiurile bune sunt mai simple decât par
Nimic din toate astea nu cere pregătire în securitate sau un buget serios. Un manager de parole, parole generate, conturi individuale, 2FA pe conturile care contează și o listă de verificare pentru plecări: fiecare se pune la punct cam într-o după-amiază, iar împreună elimină cea mai mare parte din riscul de zi cu zi pe care îl poartă o echipă mică. Mai mult, îți iau muncă de pe cap, nu îți adaugă. Gata cu resetările de parole uitate, gata cu mesajele către colegi pentru datele de conectare, gata cu întrebarea cine mai are cheile.
Odată formate, obiceiurile astea trec în fundal și își fac treaba în liniște, și mai bine de atât nici nu poate face securitatea. Începe săptămâna asta cu managerul de parole. Restul vine mai ușor decât te aștepți.