Każde ważne konto powinno być chronione silnym hasłem, najlepiej o długości co najmniej 10 znaków, zawierającym oprócz liter również cyfry i znaki specjalne. Problem w tym, że takie hasła trudno zapamiętać. Według statystyk panelbiz około 76 proc. wszystkich internautów co najmniej raz zapomniało ważnego hasła. Bywa, że nie jesteśmy w stanie przypomnieć sobie frazy dającej dostęp do naszych zdjęć, ważnych dokumentów, elektronicznej korespondencji i innych danych przechowywanych na komputerze, smartfonie czy w usługach online. Wyjaśniamy, co zrobić w tego typu sytuacjach, i podpowiadamy, jak odzyskać dostęp do zasobów zablokowanych przez naszą… niepamięć.
Windows i Office
Ominięcie standardowych zabezpieczeń w systemie operacyjnym Microsoftu oraz w aplikacjach z pakietu Office jest dość proste, wręcz zbyt proste.
KONTO WINDOWS
Jeżeli zapomniałeś hasła dostępowego do systemu Windows, to potrzebujesz jedynie nośnika instalacyjnego systemu Windows. Uruchom komputer z nośnika instalacyjnego, następnie zamiast procesu instalacji wybierz kolejno »Napraw komputer«, »Rozwiązywanie problemów | Opcje zaawansowane« i wreszcie »Wiersz polecenia«. W Wierszu polecenia zlokalizuj dysk zawierający folder systemowy (Windows). Najpierw wprowadź komendę »C:«, co spowoduje przejście do dysku C:, następnie wpisz »dir« – na wyświetlonej liście katalogów dyskowych powinieneś zobaczyć wpis »Windows«. Oznacza to, że właściwy dysk jest wybrany. Jeżeli dysk systemowy ma przydzieloną inną literę, spróbuj zastąpić C literą D, E itd.
Zakładając, że folder systemowy został odnaleziony, za pomocą Wiersza polecenia trzeba przejść do jednego z systemowych podfolderów, wydając komendę: »cd \Windows\system32«. Gdy przejdziesz do tego miejsca (czego potwierdzeniem będzie wpis »C:\Windows\System32>« przed kursorem), będziesz musiał zmienić nazwę jednego z programów systemowych (utilman.exe). Pozostając cały czas w Wierszu polecenia i znajdując się w folderze System32, wprowadź polecenie: »rename utilman.exe utilman_org.exe«. Po wykonaniu tej komendy wpisz kolejną: »copy cmd.exe utilman.exe«. Wprowadź teraz polecenie »exit«, zamykające Wiersz polecenia, i ponownie uruchom komputer, usuwając uprzednio nośnik startowy, po to by podczas kolejnego rozruchu wystartował system zainstalowany na dysku. Gdy wyświetlony zostanie ekran logowania, zignoruj puste pole hasła – przecież i tak go nie pamiętasz.
Kliknij za to widoczną w dolnej części ekranu ikonkę funkcji »Ułatwienia dostępu« – zamiast spodziewanych ułatwień dla osób niepełnosprawnych na ekranie pojawi się… Wiersz polecenia. Teraz możesz zdefiniować nowe hasło dla dowolnego istniejącego w systemie konta, wydając komendę: »net user «. Możesz już zamknąć Wiersz polecenia (»exit«). Nowe hasło obowiązuje od razu – nie trzeba ponownie uruchamiać komputera. Możesz się już zalogować do komputera. Dla porządku dobrze byłoby przywrócić zmiany wprowadzone za pomocą nośnika instalacyjnego. Uruchom zatem ponownie komputer z nośnika instalacyjnego, wybierz »Napraw komputer«, następnie otwórz Wiersz polecenia trybu naprawczego (jak powyżej) i wydaj komendę: »del utilman.exe« (kasowanie fałszywych ułatwień dostępu, de facto skopiowany Wiersz polecenia), a potem »rename utilman_org.exe utilman.exe«. Wyjdź z Wiersza polecenia, wyjmij nośnik instalacyjny i ponownie uruchom komputer, wczytując już przywrócony do właściwej postaci system operacyjny zainstalowany na dysku.
MS OFFICE
Haseł do zabezpieczonych przez użytkownika dokumentów utworzonych za pomocą Worda czy Excela nie można przywrócić za pomocą narzędzi wbudowanych w system operacyjny. Tym razem bez dodatkowego oprogramowania się nie obejdzie. Jednym z najbardziej popularnych narzędzi jest program firmy Elcomsoft o nazwie Advanced Office Password Recovery Tool. Nie należy on do tanich (równowartość ok. 50 euro), ale jest skuteczny. Rozpoznaje wszystkie typy dokumentów z programów wchodzących w skład pakietu Microsoft Office. Aplikacja stosuje różne metody łamania haseł i w większości przypadków, przy współczesnych mocach obliczeniowych komputerów, już po około 10 minutach użytkownik odzyskuje dostęp do dokumentów zabezpieczonych zapomnianym hasłem.
Usługi i konta email
W przypadku usług online, wszelkiego rodzaju kont internetowych czy poczty elektronicznej większość haseł można przywrócić za pomocą właśnie… poczty elektronicznej.
ALLEGRO ITP.
Zarówno duże, jak i mniejsze firmy internetowe stosujące uwierzytelnianie dostępu do oferowanych przez nie usług i zasobów decyduje się na najprostszą z możliwych metodę weryfikacji tożsamości internauty: nazwę użytkownika oraz hasło dostępowe. Jeżeli nie pamiętasz hasła, to w wielu przypadkach spotkasz się z procedurą odzyskiwania hasła zainicjowaną już na stronie logowania poprzez kliknięcie odnośnika o treści »nie pamiętasz hasła?« lub podobnej. Gdy klikniesz taki odsyłacz, serwis automatycznie przyśle informacje na email podany podczas rejestracji konta. Przesłane dane niekiedy od razu zawierają alternatywne hasło (co nie jest bezpiecznym rozwiązaniem), ale zazwyczaj informacje przesyłane przez usługodawcę jedynie ułatwiają odzyskanie dostępu do konta zabezpieczonego zapomnianym hasłem, a nie zawierają samego hasła. Jeżeli jednak nie mamy już dostępu do skrzynki email, której adres podaliśmy podczas tworzenia konta w danym serwisie, to odzyskanie hasła staje się o wiele trudniejsze, a często wręcz niemożliwe – w takich przypadkach usługodawcy radzą po prostu założyć kolejne konto.
W przypadku kont, do których dostęp jest chroniony za pomocą podwójnego uwierzytelniania, odzyskanie hasła również okazuje się trudniejsze. Owszem, da się je przywrócić za pomocą poczty elektronicznej, ale gdy utraciliśmy dostęp do aplikacji-generatora kodów, jedynym sposobem jest użycie specjalnych kodów zapasowych.
KONTA EMAIL
W przypadku utraty hasła do konta email wiele zależy od sposobu korzystania z elektronicznej korespondencji. Jeżeli do zarządzania pocztą elektroniczną wykorzystywaliśmy oprogramowanie instalowane lokalnie na komputerze, pomóc może niewielka, dystrybuowana bezpłatnie aplikacja (do systemu Windows) firmy NirSoft o nazwie Mail PassView. Program po uruchomieniu skanuje system pod kątem obecności zainstalowanych aplikacji pocztowych, następnie analizuje zdefiniowane w tych programach konta i dekoduje informacje w nich zapisane, włącznie z hasłem chroniącym dostęp do skrzynek pocztowych. Mail PassView dla każdego znalezionego konta pocztowego w obsługiwanych przez tę aplikację programach pocztowych wyświetli takie informacje jak: adres elektroniczny, typ konta (IMAP/POP3 itp.), nazwa serwera, nazwa użytkownika, hasło, nazwa konta oraz nazwa aplikacji pocztowej, w której zdekodowane konto się znajduje. Całkiem nieźle, prawda?
W przypadku usług pocztowych, z których korzystamy wyłącznie za pośrednictwem interfejsu webowego (np. gmail.com, outlook.com itp.), analiza programów zainstalowanych na komputerze nic nie da. Na szczęście usługodawcy często sami oferują różne metody odzyskiwania haseł. Nie na darmo
w formularzach rejestracyjnych użytkownicy są proszeni o podanie co najmniej jednego alternatywnego adresu elektronicznego lub numeru telefonu komórkowego. W sytuacji awaryjnej usługodawca może przysłać informacje pozwalające odzyskać dostęp do konta właśnie na alternatywną skrzynkę lub bezpośrednio na telefon komórkowy właściciela zablokowanej skrzynki pocztowe.
Urządzenia mobilne
Ochrona dostępu do smartfonów to istotny element całej strategii bezpieczeństwa, którą powinien wdrożyć każdy, komu na sercu leży ochrona jego prywatnych danych. Nie ulega wątpliwości, że obecnie to właśnie sprzęt mobilny staje się rezerwuarem prywatnych danych poszczególnych użytkowników: prywatna korespondencja, prywatne zdjęcia, dokumenty itp. Nic dziwnego, że coraz więcej użytkowników chroni dostęp do swoich inteligentnych słuchawek za pomocą różnych haseł i blokad. Problem pojawia się, gdy zawiedzie pamięć.
KARTA SIM
We wczesnych latach ekspansji telefonów komórkowych kod PIN był jednym z najczęściej stosowanych zabezpieczeń dostępu do danego urządzenia. Dziś nieco stracił na znaczeniu i często bywa dezaktywowany – użytkownicy nie chcą po prostu wprowadzać kodu PIN podczas każdorazowego włączania telefonu, tym bardziej że w smartfonach restart jest często wymagany przez samą procedurę aktualizacji oprogramowania systemowego. Kod PIN okazuje się ponadto trochę kłopotliwy – po trzech nieudanych próbach jego wprowadzenia karta SIM jest blokowana (tym samym nie jest możliwe wykonanie żadnych połączeń poza awaryjnym). W takim przypadku można wyłączyć blokadę jedynie za pomocą kodu PUK, który otrzymujemy wraz z dokumentacją do karty SIM. Dobrą wiadomością jest to, że PIN chroni nie tyle cały telefon, co kartę SIM. Dawniej dane kontaktowe przechowywano właśnie na karcie SIM, dziś praktycznie już się tego nie stosuje – wszystkie dane kontaktowe są zazwyczaj zapisane bezpośrednio w pamięci urządzenia mobilnego. Dlatego cenniejsza może się okazać wiedza, jak obejść blokadę mobilnego systemu, a nie znajomość kodu PIN.
ANDROID
W przypadku urządzeń działających pod kontrolą najpopularniejszego obecnie systemu mobilnego ominięcie blokady ekranu okazuje się dość proste, jeżeli dany smartfon jest powiązany z kontem Google. Po pięciokrotnym błędnym wprowadzeniu wzoru odblokowania ekranu na wyświetlaczu powinien pojawić się komunikat informujący o pięciokrotnej próbie dostępu do smartfonu i prośba o odczekanie 30 sekund przed kolejną. Oprócz tego na ekranie ujrzymy napis “Nie pamiętasz wzoru?”. Po wskazaniu tego napisu należy zalogować się za pomocą komputera na konto Google zdefiniowane w zablokowanym smartfonie, co pozwoli zdalnie odblokować dostęp do smartfonu i zdefiniować nową blokadę ekranu. Jednak aby operacja się powiodła, smartfon musi być stale połączony z Internetem (nie ma znaczenia, czy przez Wi-Fi czy za pośrednictwem sieci komórkowej).
IOS
Ominięcie zabezpieczeń smartfonu, tj. blokady ekranowej – niezależnie od tego, czy ma ona postać kodu PIN czy np. Touch ID – w mobilnym systemie Apple jest o wiele trudniejsze. Starsze wersje systemu iOS można odblokować metodą brute force za pomocą specjalistycznego i bardzo drogiego oprogramowania (np. pakiet iOS Forensic Toolkit firmy Elcomsoft), ale jest to zupełnie nieopłacalne dla pojedynczego użytkownika – koszt takiego oprogramowania to równowartość około 1500 euro. Znacznie tańszym sposobem, ale skutecznym jedynie w iOS 9.0.1 jest zastosowanie triku wykorzystującego wadę w kodzie systemu iOS w tej właśnie wersji. Podczas wprowadzania kodu należy wpisać tylko dwie cyfry, w trakcie kolejnego wprowadzania dwóch cyfr (również zupełnie dowolnych) trzeba przytrzymać przycisk Home, co spowoduje aktywację Siri – cyfrowego asystenta Apple – którego prosimy o czas. Na kolejnym ekranie naciskamy na zegar, a nie na »+«, wprowadzamy dowolny tekst w linii i wskazujemy go. Z menu kontekstowego wybieramy »Udostępnianie«, następnie »Nowy«, ponownie wprowadzamy dowolny tekst, zaznaczamy go i wydajemy polecenie »Utwórz nowy kontakt«. Kolejny etap to wybranie opcji »Zdjęcie« i »Wybierz zdjęcie«, po czym wciskamy Home i… jesteśmy w systemie. Niestety, jak wspomnieliśmy, trik zadziała wyłącznie w iOS 9.0.1. W nowszych wersjach luka, na której bazował, została już zamknięta przez programistów Apple. W konsekwencji ominięcie hasła bądź ekranu blokady jest dla użytkownika indywidualnego po prostu nieopłacalne. Dlatego najważniejsze hasła zawsze warto zapisać i przechowywać w bezpiecznym, dostępnym tylko nam miejscu.
TYCH HASEŁ NIE ZAPOMNISZ
W przypadku szczególnie ważnych usług zalecaną metodą uwierzytelniania jest uwierzytelnianie podwójne: oprócz hasła podajemy wtedy jeszcze specjalny, unikalny kod generowany przez aplikację-
-token (np. Google Authenticator) zainstalowaną na smartfonie. Sam fakt korzystania z podwójnego uwierzytelniania zapewnia użytkownikowi jeszcze jeden profit: specjalne kody zapasowe dla wybranych usług i aplikacji. Takie kody można wygenerować z poziomu panelu ustawień podwójnego uwierzytelniania danej usługi (np. konta Google czy konta Microsoft – powiązanego, jak wiemy, z wieloma różnymi produktami chronionymi hasłem). Gdy zapomnimy hasła albo utracimy dostęp do aplikacji generującej kody uwierzytelniające, będziemy mogli zalogować się za pomocą wcześniej wygenerowanych kodów zapasowych.
WSKAZÓWKA:
Takie kody zapasowe powinny być wydrukowane w domu i przechowywane w bezpiecznym miejscu (np. sejfie). Absolutnie nie należy takich kodów zapisywać na smartfonie, bo wówczas podwójne uwierzytelnianie traci jakikolwiek sens. Dobrym pomysłem jest również sięganie po bezpieczne, instalowane lokalnie na komputerze programy do zarządzania hasłami, stosujące silne szyfrowanie bazy haseł użytkownika. Przykładem takiego programu udostępnianego bezpłatnie jest popularny KeePass. Od jego użytkownika wymaga się jedynie, by był w stanie zapamiętać jedno silne hasło – chroniące dostęp do bazy wszystkich innych haseł wprowadzonych do programu.
WSKAZÓWKA
: Hasło główne do menedżera haseł jest bardzo ważne i absolutnie nie można go zapomnieć, dlatego warto je zapisać (zamieniając np. pierwszą i ostatnią literę miejscami) i przechowywać w bezpiecznym miejscu.