अपना पासवर्ड बदलें: वेब सेवा पासवर्ड नीतियों का परीक्षण

2015 में वापस, हमने पहले ही सबसे बड़ी वेब सेवाओं की पासवर्ड नीतियों का परीक्षण किया, जिसके परिणाम यहां प्रस्तुत किए गए थे। और अब, 4 साल बाद, हमने इस अध्ययन को अपडेट करने और विस्तार करने का निर्णय लिया। 2019 के अध्ययन में, हमने 157 सेवाओं का परीक्षण किया, जो उनके उद्देश्य के आधार पर 14 श्रेणियों में विभाजित हैं। यदि आप इस बात में रुचि रखते हैं कि जीमेल, फेसबुक, ईबे, पेपाल, स्टीम, कॉइनबेस, ड्रॉपबॉक्स, गिटहब जैसे कई बड़े संसाधन पासवर्ड नीतियों के लिए उपयुक्त हैं, तो आपका स्वागत है!

उपयोगकर्ताओं को एक खाते को पंजीकृत करने की प्रक्रिया में खुद को सबसे सरल पासवर्ड तक सीमित रखने से रोकने के लिए और इसलिए खुद को खतरे में नहीं डालना चाहिए, पासवर्ड नीतियां मौजूद हैं। वे पासवर्ड की लंबाई के लिए आवश्यकताओं का निर्धारण करते हैं, उपयोग के लिए आवश्यक वर्णों के प्रकार और जटिलता की डिग्री आदि, अध्ययन के दौरान, हमने पाया कि विभिन्न वेब सेवाओं पर पासवर्ड की नीतियों का क्या उपयोग किया जाता है।

यह तुरंत ध्यान दिया जाना चाहिए कि आपको अपना पासवर्ड चुनते समय वेब संसाधनों की आवश्यकताओं पर पूरी तरह से निर्भर नहीं होना चाहिए। अध्ययन से पता चला कि यदि आप सभी सिफारिशों का पालन करते हैं, तो भी सेवा आपको कुछ सामान्य शब्दकोश पासवर्ड का उपयोग करने की अनुमति दे सकती है।

अनुसंधान पद्धति

विश्लेषण का संचालन करने के लिए, हमने नियमों का एक सेट निर्धारित किया, जो तालिका 1 में प्रस्तुत किया गया है, - कई सेवाओं की सिफारिशों का संकलन, लोकप्रिय और बहुत नहीं।

अगला कदम अंकों के साथ संसाधन आवश्यकताओं का मूल्यांकन करना था। प्रत्येक दोष के लिए, जो अंततः पासवर्ड के "कमजोर पड़ने" का कारण हो सकता है, अंक काट दिए गए थे। और, इसके विपरीत, इष्टतम सिफारिशों के साथ सेवाओं ने अच्छी तरह से लायक अंक अर्जित किए। अधिक अंक, सेवा की पासवर्ड नीति के अनुसार बेहतर है।

बेशक, सबसे खराब, अगर पासवर्ड बनाने के लिए कोई नियम नहीं हैं, और यहां बहुत कम संख्या में स्पष्टीकरण की आवश्यकता नहीं है। हालाँकि, एक दृष्टिकोण जिसमें एक सेवा के लिए 20 से अधिक वर्णों के संयोजन की आवश्यकता होती है या विशेष वर्णों के उपयोग को भी प्रतिबंधित करता है "पासवर्ड" को कमजोर करता है। इसलिए, इस मामले में, अंकों का घटाव उचित है।

सूचीबद्ध नियमों के अलावा, 0.5 अंक ने सेवा के लिए दो-कारक प्रमाणीकरण की उपस्थिति को जोड़ा।

हमने पासवर्ड की एक छोटी सूची भी बनाई है (तालिका 2 देखें), जो एक हद तक या कोई अन्य इन नियमों को पूरा करता है, लेकिन यह भी शब्दकोश और अक्सर उपयोग किया जाता है। यदि सेवा प्रस्तावित संयोजनों के साथ पंजीकरण करने की अनुमति देती है, तो वह अंक खो देता है।

डिक्शनरी अटैक से पासवर्ड क्रैकिंग में काफी तेजी आती है और एक सफल ब्रूट फोर्स अटैक की संभावना बढ़ जाती है। सरल पासवर्ड सेट करने की क्षमता का परीक्षण करने के लिए, पासवर्ड कई प्रसिद्ध शब्दकोशों से चुने गए थे:

• शीर्ष 100 सबसे खराब पासवर्ड
• शीर्ष 10,000 सबसे खराब पासवर्ड
• रॉक यू डिक्शनरी, ब्रूट फ़ोर्स अटैक के सबसे लोकप्रिय शब्दकोशों में से एक है। इसमें रॉक यू की साइट से चोरी किए गए पासवर्ड शामिल हैं, जो एक सोशल मीडिया एप्लिकेशन डेवलपर है।

स्पष्टता के लिए, हमने पासवर्ड नीति की खामियों के लिए कई "उपलब्धियों" को जोड़ा।

परीक्षण वेब सेवा पासवर्ड नीतियाँ

परीक्षण के परिणामस्वरूप विभिन्न उद्देश्यों के लिए 157 संसाधनों का विश्लेषण किया गया। चयनित श्रेणियों की सूची में विस्तार किया गया है, पुराने लोगों को जोड़ा गया है:

• होस्टिंग
• पासवर्ड प्रबंधक
• समाचार सेवा
• मनोरंजक संसाधन
• ब्लॉग और मंच
• इंटरनेट बैंकिंग

पूरा अध्ययन लिंक पर पढ़ा जा सकता है।

आइए परिणामों को तुरंत देखें। नीचे दी गई तालिका में आप प्रत्येक सेवा समूह के नेताओं और बाहरी लोगों को प्राप्त कर सकते हैं, प्राप्त उपलब्धियों की संख्या की तुलना कर सकते हैं, लेकिन सबसे महत्वपूर्ण बात यह पता लगाना है कि कौन अपने उपयोगकर्ताओं के खातों की सुरक्षा के बारे में अधिक चिंतित है।

हमेशा नहीं भी सबसे बड़ी सेवाएं सरल पासवर्ड के निर्माण के खिलाफ सुरक्षा पर पर्याप्त ध्यान देती हैं, और इसलिए उपयोगकर्ता खातों की सुरक्षा। सबसे लोकप्रिय इंटरनेट संसाधनों में से कुछ के पास गंभीर प्रमाणीकरण आवश्यकताएं हैं।

सामाजिक नेटवर्क

हम दिखाते हैं कि हमने सामाजिक नेटवर्क के उदाहरण पर अंक कैसे गिना। अंक वितरण तालिका निम्नानुसार है।

सेवाओं के इस समूह में अंतिम परिणाम।

अध्ययन की गई अधिकांश सेवाओं में पासवर्ड की न्यूनतम आवश्यकताएं होती हैं। मूल रूप से, प्रतिबंध केवल न्यूनतम लंबाई पर लगाए जाते हैं। पिछले अध्ययन की तुलना में, इस बार पासवर्ड "बड़ा हुआ", कम से कम 6-8 अक्षर। हालांकि, अभी भी कोई शब्दकोश पासवर्ड सत्यापन नहीं है। सामाजिक नेटवर्क अभी भी परवाह नहीं करता है कि आप किस पासवर्ड का उपयोग करते हैं। इस प्रकार, हमने सभी 14 सेवा समूहों का मूल्यांकन किया। पिछले कुछ वर्षों में क्या बदला है?

समग्र वर्गीकरण में, मेल सेवाएं अभी भी अग्रणी हैं, जो काफी तार्किक और न्यायसंगत है, लेकिन सामाजिक नेटवर्क ने अपना दूसरा स्थान छोड़ दिया है और सूची के मध्य में चले गए हैं। ई-कॉमर्स सेवाएं पहले की तुलना में रैंकिंग में भी कम थीं।

मेल सेवाओं

4 साल पहले की तरह, Pobox संसाधन ईमेल सेवाओं के बीच एक बाहरी व्यक्ति बन गया। वह प्रोटॉनमेल मेल सेवा से जुड़ गया था, जो किसी भी पासवर्ड नीतियों का उपयोग नहीं करता है और उपयोगकर्ता के कंधे पर पासवर्ड की ताकत के लिए सभी जिम्मेदारी डालता है।

Cryptocurrency Services

क्रिप्टोक्यूरेंसी सेवाओं के समूह में, सुरक्षा सेवाओं CEX.IO और BitPay के मामले में पहले से पिछड़ रही अपनी नीतियों को मजबूत किया है और अब मध्यम स्थिति ले रहे हैं।

इंटरनेट बैंकिंग

रेटिंग की तीसरी पंक्ति में केवल इंटरनेट बैंकिंग सेवाएं थीं। यह मानना ​​तर्कसंगत होगा कि इस श्रेणी की सेवाएं निश्चित रूप से अपने उपयोगकर्ताओं के खातों की सुरक्षा के लिए अधिक चौकस होंगी। वास्तव में, सब कुछ थोड़ा अलग निकला। यह पता चला कि सभी सेवाओं ने लॉगिन या मेल के साथ मेल खाते पासवर्ड को लागू नहीं किया है। यह अधिकांश शब्दकोश पासवर्ड का उपयोग करने के लिए भी निकला। बेशक, वन-टाइम एसएमएस कन्फर्मेशन कोड अच्छा है, लेकिन केवल तब जब फोन आपके हाथ में हो। सामान्य तौर पर, जांच की गई सेवाओं के लिए पासवर्ड नीतियों की गुणवत्ता पासवर्ड प्रबंधकों या क्रिप्टोक्यूरेंसी सेवाओं के लिए तुलनीय होती है।

भुगतान सेवाएं

हाल के वर्षों में भुगतान सेवाओं के समूह में वेबमनी, एक अग्रणी स्थिति से सूची के बहुत नीचे तक चली गई है। पासवर्ड चुनने के लिए लगभग हर सेवा बड़ी संख्या में सिफारिशें देती है। बेशक, वे सरलतम पासवर्ड को अवरुद्ध करते हैं, लेकिन फिर भी ऐसी सेवाओं के संदर्भ में सुरक्षा का एक समान स्तर अस्वीकार्य है।

खेल सेवाएं

खेल सेवाएं पासवर्ड नीतियों के बारे में अधिक चिंतित हो गई हैं। सच है, यह इस तथ्य को नहीं रोकता है कि खिलाड़ी के खाते लगातार लीक हुए डेटाबेस में दिखाई देते हैं। PlayStation नेटवर्क पृष्ठ पर एक दिलचस्प स्थिति दिखाई दी - बार-बार के निषेध, साथ ही कीबोर्ड पर एक के बाद एक स्थित वर्ण। लेकिन डिक्शनरी पासवर्ड के एक जोड़े को अभी भी सेट करने में कामयाब रहे।

क्लाउड फ़ाइल संग्रहण

ये सेवाएँ दुनिया में कहीं से भी डेटा तक पहुँच प्रदान करने के लिए उपयोगी हैं जहाँ नेटवर्क पहुँच है। हालांकि, सुरक्षा आमतौर पर आराम के लिए बलिदान की जाती है। उपयोगकर्ता को पासवर्ड चुनने की स्वतंत्रता देने की प्रवृत्ति भी है।

होस्टिंग

पासवर्ड होस्टिंग नीतियों के बारे में, दुर्भाग्य से, सभी उत्साहजनक नहीं हैं। अध्ययन की गई सभी सेवाओं में से केवल दो ने उपयोगकर्ता के पासवर्ड की मांग की। इसके अलावा, केवल DigitalOcean और Vscale फ़िल्टर डिक्शनरी पासवर्ड।

मनोरंजक संसाधन

मनोरंजन संसाधनों के लिए पासवर्ड नीतियां भी विश्वसनीय नहीं हैं। हमारी बिंदु प्रणाली में केवल एक सेवा "गरीबी रेखा पार" है। अन्य सभी जांच सेवाओं ने डिक्शनरी पासवर्ड के उपयोग की अनुमति दी और पासवर्ड सेट करने के लिए कोई भी चेक लागू नहीं किया। इस सब के बावजूद, कुछ संसाधनों पर दो-कारक प्रमाणीकरण का उपयोग करने की संभावना के बारे में जानना अच्छा था।

ब्लॉग और मंच

ब्लॉग और फ़ोरम बहुत दूर तक नहीं गए - उन्होंने उपयोगकर्ता के पासवर्ड के लिए अनुचित रूप से कुछ आवश्यकताओं को प्रस्तुत किया और उनकी जांच नहीं की। अध्ययन की गई सेवाओं के लिए मामलों की इस स्थिति को नियमों के एक बड़े सेट के साथ उपयोगकर्ताओं को डरा नहीं करने की इच्छा से उचित ठहराया जा सकता है। लोकप्रियता की खोज में, पृष्ठभूमि पर सुरक्षा को फिर से जमा किया जाता है। और हम हैबर के ऊपर से नहीं गुजरे - हमने ईमानदारी से इसकी पासवर्ड नीतियों की जाँच की, परिणाम बिल्कुल भी प्रभावशाली नहीं थे: लॉगिन या शब्दकोश पासवर्ड के साथ पासवर्ड के मिलान की कोई जाँच नहीं है, उपयोग किए गए पात्रों के लिए कोई सिफारिश नहीं।

निष्कर्ष

चित्र वही रहता है: एक मजबूत पासवर्ड का उपयोग अभी भी एक निजी पहल है। सबसे लोकप्रिय इंटरनेट संसाधनों में से कुछ के पास गंभीर प्रमाणीकरण आवश्यकताएं हैं। सुरक्षित प्रमाणीकरण के प्रति इस दृष्टिकोण को दर्शकों द्वारा सेवाओं की खोज के द्वारा समझाया जा सकता है। यहां आपको "सुनहरा मतलब" चुनने की आवश्यकता है: बहुत जटिल नियम आपको पंजीकरण पर अधिक समय बिताने के लिए मजबूर करेंगे, जो उपयोगकर्ता को दूर कर सकते हैं। दूसरी ओर, नीतियों की पूर्ण अनुपस्थिति आवश्यक रूप से सुरक्षा घटनाओं की घटना को दर्ज करेगी।

हालांकि, कोई फर्क नहीं पड़ता कि सेवा डेवलपर्स कितनी भी कोशिश कर लें, अगर उपयोगकर्ता खुद अपनी सुरक्षा का ध्यान नहीं रखता है, तो कोई भी उसकी मदद नहीं करेगा। अध्ययन का पूरा पाठ यहां पाया जा सकता है ।