Foydalanuvchi parollarni boshqarish vositalaridan foydalanishi

AXBOROT TEXNOLOGIYALARI VA KOMMUNIKATSIYALARINI RIVOJLANTIRISH VAZIRLIGI MUHAMMAD AL-XORAZMIY NOMIDAGI TOSHKENT AXBOROT TEXNOLOGIYALARI UNIVERSITETI


Kiberxavfsizlik kafedrasi
Kiberxavfsizlik siyosati fanidan
AMALIY ISH 2
Mavzu: FOYDALANUVCHI PAROLLARNI BOSHQARISH VOSITALARIDAN FOYDALANISHI.


Bajardi: 087-20guruh talabasi
Atoyev Lochin
Tekshirdi: Rajabova M.


TOSHKENT – 2022
FOYDALANUVCHI PAROLLARNI BOSHQARISH VOSITALARIDAN FOYDALANISHI.
Xavfsizlik siyosati tashkilot xodimlarining Internetdan kundalik foydalanishi va tarmoq va kompyuterlarning kundalik boshqaruvi bilan chambarchas bog'liq bo'lishi kerak. Shuningdek, u o'qitish orqali tashkilot madaniyatiga kiritilishi kerak. Ushbu hujjat asosan siyosatning texnik jihatlarini tavsiflaydi. Ammo ma'muriy masalalar, masalan, xavfsizlikni ta'minlash uchun mas'uliyatni taqsimlash, ba'zan muhimroqdir. Ushbu amaliy ish parol siyosati kabi tashkiliy chora-tadbirlar orqali hisobga olinishi kerak bo'lgan kibermakondagi xavfsizlikning qo'shimcha jihatlarini tavsiflaydi.
Parollar siyosati.
Parol siyosati quyidagi bo'limlardan iborat bo'lib, tahminan shunday tarzda yaratiladi.
Tavsif. Parollar axborot xavfsizligining eng muhim jihatlaridan biri hisoblanadi, chunki noto‘g‘ri tanlangan parol kompaniyaning axborot tizimiga ruxsatsiz kirishning potentsial xavfini oshiradi. “SIZNING KORXONA” barcha xodimlari (shu jumladan pudratchilar va uchinchi shaxslar) ushbu siyosat talablariga rioya qilish uchun javobgardir.
Maqsad. Ushbu siyosatning maqsadi kuchli parollar, ularni himoya qilish, saqlash va o'zgartirish chastotasi uchun standartlarni o'rnatishdan iborat.
Qo'llash doirasi. Ushbu siyosat korporativ tarmog'ingizga kiradigan (yoki maxfiy ma'lumotlarni saqlaydigan) har qanday tizim, qurilmada barcha darajadagi maxfiy ma'lumotlarga (yoki parolni qo'llab-quvvatlaydigan yoki talab qiladigan kirishning har qanday shakliga) ega bo'lgan yoki kirish uchun javobgar bo'lgan barcha xodimlarga nisbatan qo'llaniladi.
Siyosat.
Tizim foydalanuvchilari qayd yozuvlarining parollari (domen administratori, mahalliy administrator, root va boshqalar) har chorakda o'zgartirilishi kerak.
Tizim foydalanuvchilari qayd yozuvlarining barcha parollari, shuningdek ilovalar va faol qurilmalarning parollari kirish cheklangan shifrlangan ma’lumotlar bazasida saqlanishi kerak.
Domen qayd yozuvlari parollarining foydalanish muddati 9 oydan oshmasligi kerak. Tavsiya etilgan parolni o'zgartirish oralig'i 6 oy.
Guruh aʼzoligi yoki sudo kabi dasturlar orqali olingan maʼmuriy imtiyozlarga ega boʻlgan foydalanuvchi qayd yozuvlarining paroli ushbu foydalanuvchi uchun boshqa hisob parollariga nisbatan takrorlanmas boʻlishi kerak.
Foydalanuvchilarga parollarni pochta orqali yoki Internet orqali boshqa ochiq usulda o‘tkazish ta’qiqlanadi.
Foydalanuvchining tizim tomonidan olingan standart paroli birinchi kirishda o'zgartirilishi kerak.
SNMP protokolidan foydalanilganda standart “public”, “private”, “system” qiymatlaridan farqli va tizimga kirishda foydalaniladigan paroldan farq qiluvchi parollardan (Community Name) foydalanish kerak.
Barcha foydalanuvchi parollari hamda tizim parollari ushbu siyosatga mos kelishi kerak.

Ko’rsatmalar. “SIZNING KOMPANIYA” turli maqsadlarda parollardan foydalanadi. Ular orasida: foydalanuvchi qayd yozuviga kirish, veb-interfeyslar, elektron pochta, ovozli pochta parollari va routerlarga kirish kabi maqsadlar uchraydi. Juda kam sonli tizimlar bir martalik parolli tokenlarini qo'llab-quvvatlaganligi sababli, siz kuchli parolni qanday tanlashni bilishingiz kerak.
Yomon, zaif parollar quyidagi xususiyatlarga ega:
Sakkiztadan kam belgidan iborat.
Lug'atlarda (ruscha yoki xorijiy) mavjud so'z.
Ko‘p ishlatiladigan so‘z.
Familiya, hayvon nomi, do'stlar, xodimlarning ismlari, fantastik qahramonlar va boshqalarni o'z ichiga oladi.
Kompyuter atamalari va nomlari, buyruqlar, saytlar, kompaniyalar nomlari, uskunalar, dasturiy ta'minotni o'z ichiga oladi.
Kompaniyangiz nomini va "Toshkent", "Samarqand" yoki ularning hosilalari kabi geografik nomlarni o'z ichiga oladi.
Tug'ilgan sana va boshqa shaxsiy ma'lumotlar, masalan, manzillar va telefon raqamlari mavjud.
Aabbb, qwerty, zyxwvuts, 12345 va boshqalar kabi so'z yoki raqam qolipi.
Sakkizinchi misol teskari tartibda kiritilgan bo’lishi.
Oltinchi misoldagi kabi parolning boshida yoki oxirida raqam kiritilsa (masalan, Toshkent1, 1Samarqand).
Kuchli parol parametrlari.
Katta va kichik harflar birikmasidan iborat (masalan, a-z, A-Z).
0-9, !@#$%^&*()_+|~-=\`{}[ [ ] ]:";'<>?,./ kabi raqamlar va tinish belgilarini o'z ichiga oladi.
Sakkiz yoki undan ortiq belgilardan iborat.
Hech bir tilda, shevada, jargonda, dialektda va hokazolarda mavjud so‘z emas.
Familiya, tug'ilgan sana va boshqalar kabi shaxsiy ma'lumotlarga asoslanmagan.
Hech qachon yozib olinmagan yoki onlayn saqlanmaydi.
Oson eslab qoladigan parollar yarating. Bunday parollarni yaratish usullaridan biri qo'shiqlar, she'rlar va boshqa jozibali iboralardan foydalanishdir. Masalan, "This May Be One Way To Remember" iborasidan siz quyidagi parollarni olishingiz mumkin: "TmB1w2R!" yoki "Tmb1W>r~" va boshqa variantlar.
Parolli himoya qoidalari. “SIZNING KOMPANIYA”ngiz akkauntlari va boshqa resurslarga kirish uchun bir xil paroldan foydalanmang (masalan, uydan Internetga kirish, elektron tijorat tizimlari va boshqalar). Iloji bo'lsa, kompaniya ichidagi turli manbalarga kirish uchun bir xil paroldan foydalanmang. Misol uchun, ilovalar uchun bitta paroldan foydalaning, boshqasi esa resurslarni boshqarish uchun. Windows va Unix hisoblari uchun turli xil parollardan foydalaning.
Parolingizni hech kimga, hatto kotibingiz yoki xodimlaringizga ham bermang. Barcha parollar “SIZNING KOMPANIYA”ngizning maxfiy ma'lumotlaridir.
Taqiqlangan harakatlar ro'yxati.
Telefon orqali parolingizni hech kimga aytmang.
Parolingizni elektron pochta orqali yubormang.
Parolingizni boshlig’ingizga bermang.
Notanishlar atrofida parolingiz haqida gapirmang.
Parolning mazmunini eslatib o'tmang (masalan, "mening tug'ilgan kunim").
Anketa yoki so’rovnomalarda parolingizni kiritmang.
Parolingizni oila a'zolaringiz bilan baham ko'rmang.
Ta'tilga chiqishdan oldin parolingizni hamkasblaringizga aytmang.
Parolni yozmang va uni ish joyida saqlamang.
Parolni kompyuterdagi faylda, shu jumladan portativ qurilmalarda, shifrlashsiz saqlamang.
Eudora, Outlook yoki Netscape Messenger kabi ilovalarda “Запомнить пароль” funksiyasidan foydalanmang.
Agar kimdir sizning parolingizni so'rasa, ushbu hujjatga qarang yoki axborot xavfsizligi bo'limiga qo'ng'iroq qilishni so'rang.
Agar akkauntingiz yoki parolingiz buzilgan deb hisoblasangiz, bu haqda “SIZNING KOMPANIYA” axborot xavfsizligi bo‘limiga xabar bering va barcha parollarni o‘zgartiring.
"SIZNING KOMPANIYA"ngiz vakolatli shaxslari parollarni muntazam ravishda bashorat qilish yoki buzishga urinishlari mumkin. Agar bunday tadbirlar paytida parol aniqlansa yoki buzilgan bo'lsa, sizdan parolni o'zgartirish so'raladi.
Ilovalarni ishlab chiqish standarti. Ilova ishlab chiquvchilari o'z dasturlarida quyidagi xavfsizlik choralarini ta'minlashi kerak:
Ilovalar guruhlarni emas, balki alohida foydalanuvchilarning autentifikatsiyasini qo'llab-quvvatlashi kerak.
Ilovalar parollarni ochiq matnda yoki oson kirish mumkin bo'lgan shaklda saqlamasligi kerak.
Ilovalar har doim iloji boricha LDAP asosidagi TACACS+, RADIUS va/yoki X.509 ni qo'llab-quvvatlashi kerak..
Masofaviy kirish uchun parollar va mahfiy iboralardan foydalanish.
“SIZNING KOMPANIYA”ngiz tarmoqlariga masofadan kirishni boshqarish uchun bir martalik parollar yoki kuchli parolli assimetrik kalit tizimidan foydalaning.
Parol iboralari parollardan farq qiladi. Parol iborasi parolning uzunroq versiyasidir va shuning uchun xavfsizroq. Parol iboralari odatda assimetrik shifrlash tizimlarida autentifikatsiya qilish uchun ishlatiladi. Asimmetrik kalit tizimi hammaga ma'lum bo'lgan ochiq kalit bilan faqat uning egasiga ma'lum bo'lgan yopiq kalit o'rtasidagi matematik munosabatni belgilaydi. Shaxsiy kalitga kirish huquqini beruvchi parol iborasi bo'lmasa, foydalanuvchi kirish huquqiga ega bo'lmaydi.
Parol iborasi odatda bir nechta so'zlardan iborat bo'lib, lug'at hujumlariga nisbatan ancha chidamli. Yaxshi parol iborasi nisbatan uzun va katta va kichik harflar, shuningdek, raqamlar va tinish belgilarining kombinatsiyasini o'z ichiga oladi. Mana yaxshi parol iborasiga misol: "The*?#>*@TrafficOnThe101Was*&#!#This Morning"
Kuchli parollarni yaratishning barcha qoidalari parol iboralariga ham tegishli.
Javobgarlik. Ushbu siyosatning buzilishi har qanday xodimning intizomiy jazoga tortilishi, shuningdek, ishdan bo'shatilishiga olib kelishi mumkin.
Parol menejerlaridan foydalanish.
Parol menejerlaridan foydalanish zarurati turli veb-saytlar uchun bir nechta login va parollarni eslab qolish qiyinligi bilan bevosita bog'liq. Tabiiyki, parol menejerlari xavfsizlik darajasini oshirishi mumkin, chunki ular sizga ko'p sonli turli xil identifikatorlar va parollardan foydalanishga imkon beradi. Shu tarzda, foydalanuvchi ko'plab foydalanuvchi nomlarini yaratishi mumkin va shu bilan buzg’unchini taxmin qilish bilan parolni topib olishini qiyinlashtiradi.
Bu yerda asosiysi, foydalanuvchi o'z rolini bajarish uchun dasturga ishonishi kerak (ma'lumotlarni xavfsiz saqlash, qayta ishlash va vakolatli tugunga yo'naltirish). Garchi parol menedjerlari autentifikatsiyani talab qiladigan muhitlarni boshqarish uchun foydalanuvchi interfeysidan foydalangan holda xavfsizlikni kuchaytirasada va buzg’unchi uchun buzib kirish chegarasini oshirsada, ular davolovchi vosita emas.
Foydalanuvchilar va kompaniyalar mumkin bo'lgan xavf omillarini hisobga olgan holda parollarni boshqarish tizimlari to'g'ri joriy etilganligi va to'g'ri qo'llanilishiga ishonch hosil qilishlari kerak.
Turli veb-saytlarda bir xil login va parollardan foydalanish buzib kirish ehtimolini oshiradi, chunki buzg’unchi foydalanuvchining barcha resurslariga kirish uchun faqat foydalanuvchi nomi va parolni bilishi kerak bo'ladi.
Parol menejeridan foydalanganda siz faqat bitta parolni eslab qolishingiz kerak, chunki parol menejeri turli hisoblar uchun parollarni saqlaydi va hatto yaratib, kerak bo'lganda avtomatik ravishda tizimga kiradi.
Parol menejeriga xuddi sizga ma'lum kalit bilan qulflangan parollaringiz kitobi kabi qarang. Ba'zilar buni yomon deb o'ylashadi, chunki kimdir bu kalitni ushlab qolsa, ular BARCHA parollarni oladi. Ammo kuchli, noyob va eslab qolish oson parolni tanlasangiz, boshqa parollaringizni ruxsatsiz kirishdan himoya qilishning deyarli mukammal usuliga ega bo'lasiz.
Parol menejerlari nafaqat parollaringizni saqlaydi, balki yangi veb-saytlarga ro'yxatdan o'tganingizda kuchli va noyob parollarni yaratish va saqlashga yordam beradi. Bu shuni anglatadiki, siz veb-sayt yoki dasturga kirganingizda parol menejerini ochishingiz, parolni nusxalashingiz, avtorizatsiya maydoniga joylashtirishingiz va kirish huquqiga ega bo'lishingiz mumkin. Ko'pincha parol menejerlarida siz uchun parollarni avtomatik ravishda to'ldiradigan brauzer kengaytmalari mavjud.
Siz foydalanadigan ko'plab parol menejerlari shifrlash yordamida qurilmalarda sinxronlashi mumkin, shunda parollaringiz hamma joyda, hatto telefoningizda ham mavjud bo'ladi.
Parol menejerlari barcha parollaringizga shifrlangan shaklda kirishni ta'minlash uchun mo'ljallangan, xakerlar va zararli dasturlarga kirish mumkin emas. Ular sizning ma'lumotlaringiz maxfiyligini ta'minlab, katta qulaylik va mukammal himoyani taklif qiladi.
Umuman olganda, parol menejerlarining ikki turi mavjud:
- individual foydalanuvchilar/xodimlarning turli ilovalari va xizmatlariga kirish parollarini boshqaradigan shaxsiy parol menejerlari;
- imtiyozli hisoblar uchun parol menejerlari. Ushbu maqsadli ishlab chiqilgan korporativ yechimlar markazlashtirilgan korporativ parollar ombori bilan imtiyozli hisob ma'lumotlarini himoya qiladi va boshqaradi. Imtiyozli hisobga olish ma'lumotlari foydalanuvchi hisob ma'lumotlariga, ilovalarga, tizimlarga imtiyozli kirishni ta'minlaydigan eng xavfsiz sirlardir. Ular ko'pincha imtiyozli kirish seanslarini boshqarish tizimlari bilan birlashtirilgan va korporativ imtiyozlarni boshqarish platformasining asosiy komponenti hisoblanadi.
Ushbu ishning amaliy qismida biz brauzerimiz yordamida parol menejerini o'rnatish usullarini, shuningdek, misol sifatida LastPass dasturidan foydalangan holda maxsus dasturlardan foydalanishni ko’rib chiqamiz.

Google Chrome parol menejeri. Brauzerdagi parol menejeri odatda istalgan saytga birinchi marta kirganingizda yaratilgan parolni saqlashingizni so'raydi. Shundan so'ng, parol menejeri uni to'g'ridan-to'g'ri brauzerga saqlaydi va uni shifrlangan holda Google profilingizga yuklaydi (agar sizda akkaunt sinxronizatsiyasi yoqilgan bo'lsa).

Bundan tashqari, parol menejeri ro'yxatdan o'tganingizda kuchli parol yaratishingizni taklif qiladi. Barcha parollar shifrlangan holda saqlanadi va ularni qo'lda boshqarishingiz mumkin. Saqlangan parollarni ko'rish uchun kompyuteringizning administrator parolini yoki Google akkauntingiz parolini kiritishingiz kerak bo'ladi.
Google Chrome parol menejerini ochish uchun kompyuteringizdagi brauzer oynasining yuqori o'ng burchagidagi profil belgisini bosing (4.1-rasm).

Menyudan "Пароли" ni tanlang

Menejer tizimi sizga qaysi parollar kuchli ekanligini aytib beradi.
LastPass parol menejeri. LastPass - bu dunyoning istalgan nuqtasidan istalgan kompyuterdan kirishingiz va kerakli vaqtda ma'lumotlaringiz bilan saytlarga kirishingiz mumkin bo'lgan parolni boshqarish vositasi. LastPass parollarni yaratishi mumkin, shuning uchun siz har bir sayt uchun parol yaratishingiz shart emas, uni siz uchun yaratadi.
LastPass’ning yana bir afzalligi Windows, Linux, OS X operatsion tizimida ishlaydigan qurilmalar, shuningdek, Android, BlackBerry, WindowsMobile, Symbian, WebOS mobil qurilmalari bilan ishlash imkoniyatidir. U shakllarni avtomatik ravishda to'ldirish imkoniyatini, shuningdek, avtomatik ravishda Enter tugmasini bosishni o'z ichiga oladi. Siz u bilan istalgan brauzerda ishlashingiz mumkin.
Keling, iLastPass akkauntiga ro'yxatdan o'tish va keyin kompyuter uchun dasturiy ta'minotni yuklab olishni boshlaylik.

Yuklab olingan faylni ishga tushiring => tilni tanlang va pastdagi "Дополнительные параметры" tugmasini bosing => yoki hamma narsani standart sifatida qoldiring yoki kerakli parametrlarni qo'shing va o'rnatish papkasini tanlang
Keyingi bosqichda mavjud qayd yozuviga kiring yoki yangisini yarating. Yangi qayd yozuvi yaratishda siz asosiy parolni o'ylab topishingiz kerak, u kuchli bo'lishi lozim va uni unutmaslik zarur. Parolni yaratishda tizim quyida parolning qanchalik ishonchli ekanligini ko'rsatib turadi, agar siz xotirangizga ishonchingiz komil bo'lmasa, ushbu parolni yozib qo'yganingiz ma'qul .

Yaratganingizdan yoki tizimga kirganinigizdan so'ng - brauzerlardan parollarni import qilish taklif qilinadi, agar qarshi bo'lmasangiz - "Import" tugmasini bosing .

Pochta va parolingizni kiriting, agar siz ushbu brauzerda va ushbu kompyuterda tizimga kirish avtomatik ravishda amalga oshirilishini istasangiz, katakchalarni belgilang.