Mengapa Perusahaan Masih Menyimpan Kata Sandi Dalam Teks Biasa?

Beberapa perusahaan baru-baru ini mengakui menyimpan kata sandi dalam format teks biasa. Itu seperti menyimpan kata sandi di Notepad dan menyimpannya sebagai file .txt. Kata sandi harus diasinkan dan dipilah untuk keamanan, jadi mengapa tidak terjadi pada tahun 2019?

Mengapa Kata Sandi Tidak Harus Disimpan dalam Teks Biasa

Ketika perusahaan menyimpan kata sandi dalam teks biasa, siapa pun yang memiliki basis data kata sandi atau file apa pun yang disimpan kata sandi tersebut dapat membacanya. Jika seorang hacker mendapatkan akses ke file, mereka dapat melihat semua kata sandi.

Menyimpan kata sandi dalam teks biasa adalah praktik yang mengerikan. Perusahaan harus salting dan hashing password, yang merupakan cara lain untuk mengatakan "menambahkan data tambahan ke kata sandi dan kemudian berebut dengan cara yang tidak dapat dibalik." Biasanya itu berarti bahkan jika seseorang mencuri kata sandi dari database, mereka harus tidak dapat digunakan. Saat Anda masuk, perusahaan dapat memeriksa apakah kata sandi Anda cocok dengan versi acak yang disimpan — tetapi kata sandi itu tidak dapat "bekerja mundur" dari database dan menentukan kata sandi Anda.

Jadi mengapa perusahaan menyimpan kata sandi dalam plaintext? Sayangnya, terkadang perusahaan tidak menganggap keamanan dengan serius. Atau mereka memilih untuk mengompromikan keamanan demi kenyamanan. Dalam kasus lain, perusahaan melakukan segalanya dengan benar saat menyimpan kata sandi Anda. Tetapi mereka mungkin menambahkan kemampuan pencatatan yang terlalu bersemangat, yang merekam kata sandi dalam teks biasa.

Beberapa Perusahaan Memiliki Kata Kunci Yang Tidak Disimpan Dengan Benar

Anda mungkin sudah terpengaruh oleh praktik buruk karena Robinhood, Google, Facebook, GitHub, Twitter, dan lainnya menyimpan kata sandi dalam teks biasa.

Dalam kasus Google, perusahaan melakukan hashing dan salting kata sandi yang memadai untuk sebagian besar pengguna. Tetapi kata sandi akun G Suite Enterprise disimpan dalam teks biasa. Perusahaan mengatakan ini adalah praktik sisa dari ketika memberi alat administrator domain untuk memulihkan kata sandi. Seandainya Google menyimpan kata sandi dengan benar, itu tidak mungkin terjadi. Hanya proses reset kata sandi yang berfungsi untuk pemulihan ketika kata sandi disimpan dengan benar.

Kapan Facebook juga mengaku menyimpan kata sandi dalam teks biasa, itu tidak memberikan penyebab pasti masalah. Tetapi Anda dapat menyimpulkan masalah dari pembaruan yang lebih baru:

… kami menemukan log tambahan Instagram kata sandi disimpan dalam format yang dapat dibaca.

Terkadang sebuah perusahaan akan melakukan segalanya dengan benar ketika awalnya menyimpan kata sandi Anda. Dan kemudian menambahkan fitur baru yang menyebabkan masalah. Selain Facebook, Robinhood, Github, dan Twitter kata sandi teks biasa yang tidak terekam.

Pencatatan berguna untuk menemukan masalah dalam aplikasi, perangkat keras, dan bahkan kode sistem. Tetapi jika perusahaan tidak menguji kemampuan logging secara menyeluruh, itu dapat menyebabkan lebih banyak masalah yang dipecahkannya.

Dalam kasus Facebook dan Robinhood, ketika pengguna memberikan nama pengguna dan kata sandi mereka untuk masuk, fungsi logging bisa melihat dan mencatat nama pengguna dan kata sandi saat mereka diketik. Itu kemudian menyimpan log-log itu di tempat lain. Siapa pun yang memiliki akses ke log itu memiliki semua yang mereka butuhkan untuk mengambil alih akun.

Pada kesempatan yang jarang, perusahaan seperti T-Mobile Australia dapat mengabaikan pentingnya keamanan, kadang-kadang atas nama kenyamanan. Dalam sejak dihapus Twitter pertukaran, perwakilan T-Mobile menjelaskan kepada pengguna bahwa perusahaan menyimpan kata sandi dalam teks biasa. Menyimpan kata sandi seperti itu memungkinkan perwakilan layanan pelanggan untuk melihat empat huruf pertama kata sandi untuk tujuan konfirmasi. Kapan lainnya Twitter pengguna dengan tepat menunjukkan seberapa buruknya jika seseorang meretas server perusahaan, perwakilan itu menjawab:

Bagaimana jika ini tidak terjadi karena keamanan kami sangat bagus?

Perusahaan itu menghapus tweet itu dan kemudian mengumumkan bahwa semua kata sandi akan segera diasinkan dan di-hash. Tapi itu tidak lama sebelum perusahaan seseorang melanggar sistemnya. T-Mobile mengatakan bahwa kata sandi yang dicuri dienkripsi, tetapi itu tidak sebagus hashing kata sandi.

Bagaimana Perusahaan Harus Menyimpan Kata Sandi

Perusahaan tidak boleh menyimpan kata sandi teks biasa. Sebaliknya, kata sandi harus diasinkan, lalu di-hash. Penting untuk mengetahui apa itu salting, dan perbedaan antara mengenkripsi dan hashing.

Pengasinan Menambahkan Teks Tambahan ke Kata Sandi Anda

Kata sandi penggaraman adalah konsep lurus ke depan. Proses dasarnya menambahkan teks tambahan ke kata sandi yang Anda berikan.

Anggap saja seperti menambahkan angka dan huruf ke akhir kata sandi reguler Anda. Alih-alih menggunakan "Kata Sandi" untuk kata sandi Anda, Anda dapat mengetik "Kata Sandi123" (jangan pernah menggunakan salah satu kata sandi ini). Salting adalah konsep serupa: sebelum sistem membuat kata sandi Anda, itu menambahkan teks tambahan untuk itu.

Jadi, bahkan jika seorang hacker membobol basis data dan mencuri data pengguna, akan jauh lebih sulit untuk memastikan apa kata sandi yang sebenarnya. Peretas tidak akan tahu bagian mana yang merupakan garam, dan bagian mana adalah kata sandi.

Perusahaan tidak boleh menggunakan kembali data asin dari kata sandi ke kata sandi. Kalau tidak, itu bisa dicuri atau dipatahkan dan karenanya tidak berguna. Memvariasikan data asin dengan tepat juga mencegah tabrakan (lebih lanjut tentang itu nanti).

Enkripsi Bukan Pilihan Tepat untuk Kata Sandi

Langkah selanjutnya untuk menyimpan kata sandi Anda dengan benar adalah dengan hash. Hashing tidak boleh disamakan dengan enkripsi.

Saat Anda mengenkripsi data, Anda mengubahnya sedikit berdasarkan kunci. Jika seseorang mengetahui kuncinya, mereka dapat mengubah data kembali. Jika Anda pernah bermain dengan dering dekoder yang memberi tahu Anda "A = C" maka Anda telah mengenkripsi data. Mengetahui bahwa "A = C," Anda kemudian dapat mengetahui bahwa pesan itu hanya sebuah iklan Ovaltine.

Jika seorang hacker membobol sistem dengan data terenkripsi dan mereka berhasil mencuri kunci enkripsi juga, maka kata sandi Anda mungkin juga berupa teks biasa.

Hashing Mengubah Kata Sandi Anda Menjadi Gibberish

Pembuatan kata sandi pada dasarnya mengubah kata sandi Anda menjadi serangkaian teks yang tidak dapat dipahami. Siapa pun yang melihat hash akan melihat omong kosong. Jika Anda menggunakan "Kata Sandi123", hashing dapat mengubah data menjadi "873kldk # 49lkdfld # 1." Perusahaan harus meng hash kata sandi Anda sebelum menyimpannya di mana saja, dengan cara itu tidak pernah memiliki catatan kata sandi Anda yang sebenarnya.

Sifat hashing itu membuatnya menjadi metode yang lebih baik untuk menyimpan kata sandi Anda daripada enkripsi. Jika Anda dapat mendekripsi data yang dienkripsi, Anda tidak dapat "melepaskan data". Jadi jika seorang hacker membobol basis data, mereka tidak akan menemukan kunci untuk membuka kunci data hash.

Sebagai gantinya, mereka harus melakukan apa yang dilakukan perusahaan ketika Anda mengirimkan kata sandi Anda. Garam tebakan kata sandi (jika peretas tahu apa yang harus digunakan), buat hash, lalu bandingkan dengan hash pada file untuk pertandingan. Ketika Anda mengirimkan kata sandi Anda ke Google atau Bank Anda, mereka mengikuti langkah yang sama. Beberapa perusahaan, seperti Facebook, bahkan mungkin mengambil "tebakan" tambahan untuk menghitung kesalahan ketik.

Peretas pada akhirnya dapat menerobos data hash, tetapi sebagian besar merupakan permainan untuk menguji setiap kata sandi yang mungkin dan berharap adanya kecocokan. Prosesnya masih membutuhkan waktu, yang memberi Anda waktu untuk melindungi diri.

Yang Dapat Anda Lakukan untuk Melindungi Terhadap Pelanggaran Data

Anda tidak dapat mencegah perusahaan dari penanganan kata sandi Anda secara tidak benar. Dan sayangnya, ini lebih umum dari yang seharusnya. Bahkan ketika perusahaan benar-benar menyimpan kata sandi Anda, peretas dapat melanggar sistem perusahaan dan mencuri data hash.

Mengingat kenyataan itu, Anda tidak boleh menggunakan kembali kata sandi. Sebaliknya, Anda harus memberikan kata sandi rumit yang berbeda untuk setiap layanan yang Anda gunakan. Dengan begitu, meskipun penyerang menemukan kata sandi Anda di satu situs, mereka tidak dapat menggunakannya untuk masuk ke akun Anda di situs web lain. Kata sandi yang rumit sangat penting karena semakin mudah kata sandi Anda ditebak, semakin cepat seorang hacker dapat menembus proses hashing. Dengan membuat kata sandi lebih rumit, Anda membeli waktu untuk meminimalkan kerusakan.

Menggunakan kata sandi unik juga meminimalkan kerusakan itu. Paling-paling, peretas akan mendapatkan akses ke satu akun, dan Anda dapat mengubah satu kata sandi dengan lebih mudah daripada lusinan. Kata sandi yang rumit sulit untuk diingat, jadi kami sarankan pengelola kata sandi. Pengelola kata sandi menghasilkan dan mengingat kata sandi untuk Anda, dan Anda dapat menyesuaikannya untuk mengikuti aturan kata sandi dari hampir semua situs.

Beberapa, seperti LastPass dan 1Password, bahkan menawarkan layanan yang memeriksa apakah kata sandi Anda saat ini terganggu.

Pilihan bagus lainnya adalah mengaktifkan otentikasi dua langkah. Dengan begitu, bahkan jika seorang peretas memang mengkompromikan kata sandi Anda, Anda mungkin masih mencegah akses yang tidak sah ke akun Anda.

Meskipun Anda tidak dapat menghentikan perusahaan dari kesalahan penanganan kata sandi, Anda dapat meminimalkan dampaknya dengan mengamankan kata sandi dan akun Anda dengan benar.