U digitalnom dobu sigurnost podataka postaje ključna za povjerenje korisnika u online usluge. Jedan od najosjetljivijih podataka koji se čuvaju na serverima su lozinke. Iako se čini da bi se lozinke trebale pohraniti u čitljivom obliku, prakse i tehnologije danas osiguravaju da su one zaštićene na više razina. U nastavku ćemo detaljno objasniti kako se lozinke pohranjuju, koje slojeve zaštite sustavi koriste i koje mjere sprečavaju zlonamjerne napade.
Sadržaj...
1. Način pohrane lozinki
Lozinke se na serverima ne pohranjuju u čitljivom obliku. Umjesto toga, primjenjuju se posebne tehnike kodiranja koje pretvaraju korisničku lozinku u neprepoznatljiv niz znakova. Taj proces naziva se hashiranje. Hashiranje je jednostrani proces: iz lozinke se izračunava jedinstveni kod, a iz tog koda nije moguće vratiti izvorni tekst.
Za hashiranje se koriste algoritmi poput bcrypt, Argon2 ili SHA‑256. Svaki od njih je dizajniran da bude izuzetno otporan na brute‑force napade, što znači da je izračunavanje hash vrijednosti iz lozinke izuzetno sporo i zahtijeva mnogo računalne snage.
- Algoritmi hashiranja: Bcrypt i Argon2 su posebno razvijeni za pohranu lozinki jer omogućuju postavljanje složenosti (tzv. „cost factor“), što dodatno otežava napade.
- Dodavanje soli: Prije hashiranja, lozinka se kombinira s nasumičnim nizom znakova nazvanim sol. Sol osigurava da dvije iste lozinke ne dobiju isti hash, čime se sprječava upotreba unaprijed izračunatih hash vrijednosti (rainbow tables).
- Jedinstveni hash po korisniku: Svaki korisnik dobiva svoj jedinstveni hash i sol, što dodatno otežava napade na više korisnika istovremeno.
Na primjer, korisnik s lozinkom mojSuper123 i solom z9y8x7 može dobiti jedinstveni hash koji će biti neprepoznatljiv bez njegove lozinke i soli.
2. Slojevi zaštite
Dobro dizajnirani sistemi za upravljanje lozincima imaju višestruke slojeve zaštite. Prvi sloj je autentifikacija, koja se koristi za provjeru identiteta korisnika. Drugi sloj je autorizacija, koja se koristi za provjeru pristupa korisniku. Također, sistemi za upravljanje lozincima često koriste logiranje, koje omogućava praćenje aktivnosti korisnika.
3. Mjere za sprečavanje zlonamjernih napada
Zlouporaba lozinki se može sprečiti korištenjem zaštitnih mjera, kao što su ograničenja broja pokušaja prijave, zahtjevi za potvrdnu lozinku ili zahtjevi za promjenu lozinke nakon nekoliko mjeseci.
FAQ
- Može li zlonamjeran napadač dobiti moju lozinku? Ne, jer se lozinka pohranjuje kao jedinstveni hash koji nije moguće vratiti u izvorni tekst.
- Može li administrator dobiti moju lozinku? Ne, jer administrator ne može dobiti jedinstveni hash bez moje lozinke i soli.
- Što ako korisnik zaboravi lozinku? U tom slučaju korisnik može promijeniti lozinku ili kontaktirati administratora za pomoć.
