אימות עם סמס - MFA

תמלול ההרצאה: אימות עם סמס - MFA

הטקסט המלא של הדקות הראשונות בהרצאה «אימות עם סמס - MFA» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאה הזו נדבר על סיסמאות במיוחד על הסיסמאות של אדמיניסטרטור עם הרשאות גבוהות שיכולים לשנות הרבה דברים בכל המערכות זה נקרא פריבילג' יוזר יוזר עם פריבילגיות גבוהות וזה מאוד מאוד נפוץ על ידי האקרים לפרוץ לתחנת עבודה נניח דרך איזשהו מייל פישינג להשתלט

2. 00:24

   על אדמיניסטרטור מקומי בתוך התחנה הזאת ולנסות להעלות את ההרשאות שלהם לעשות אסקלציה לאדמיניסטרטור של כל הרשת כדי לא להיות כלואים בתחנה אחת.

3. 00:38

   הם מצליחים לעשות אסקלציה בגלל טעויות של אדמיניסטרטור. לדוגמה, אדמיניסטרטור משתמש באותה סיסמה גם ליוזר הרגיל שלו וגם לאיזשהו יוזר עם הרבה הרשאות, או שאדמיניסטרטור שם סיסמה פאסוורד עם פי גדולה אחד וסימן קריאה. זה נראה כאילו סיסמה מורכבת, כי יש גם אותיות קטנות, כמויותיות גדולות, גם מספרים, גם סימן מיוחד

4. 01:02

   כמו סימן קריאה, אבל הסיסמה הזאת היא סיסמה חלשה. היא מורכבת, אבל היא חלשה. זאת אומרת שלהיות קומפלקס, להיות מורכבת זה לא מספיק.

5. 01:13

   למה? בגלל שהיא יכולה להיות בהרבה מילונים של פורצים. לפורצים יש מילונים עם כל הסיסמאות הנפוצות, והסיסמה הזאת, פספורד אחד וסימן קריאה, מופיע שמה, ולכן נורא קל לנחש אותה, כי היא במילון הדברים הידועים.

6. 01:30

   זה נקרא פספורד ליסטס, רשימת סיסמאות ידועות. דרך אגב, ככה פורצים ווי-פיי. לוקחים את כל הסיסמאות שאנחנו חושדים שהן יכולות להיות.

7. 01:40

   יש מיליוני סיסמאות ברשימות האלו, ואנחנו מנסים אחד-אחד, וככה פורצים לווי-פיי. יש לנו סרטים נפרדים על פריצה לווי-פיי. אז שימו לב, לא מספיק שהסיסמה תהיה מורכבת, עם אותיות גדולות, טענות סימן קריאה ומספר צריך גם שהיא לא תהיה חלשה שלא יהיה קל לנבא אותה ולעלות עליה לדוגמה

8. 02:00

   אפשר להשתמש במשפט לקחת סיסמה כזאת I like my coffee warm אני אוהב את הקפה שלי חם או לרשום משהו בעברית ככה שהסיסמה תהיה ארוכה והסיכוי שהיא תהיה בפסוורד ליסט מאוד נמוך וצריך לשלב גם אותיות קטנות גדולות מספרים כדי שיהיה קשה לנחש את זה שיהיו הרבה קומבינציות חוץ מסיסמאות מורכבות, צריך גם לשים MFA.

9. 02:26

   MFA זה Multi-Factor Authentication, עימות דו-שלבי, ששולחים לנו גם אסמס לוודא שאני באמת עושה לוגין. לא רק שם וסיסמה, כי יכול להיות שמישהו גנב לי את השם והסיסמה שלי כי הוא השתיל לי איזה תוכנה זדונית, אבל הוא לא יכול לגנוב לי את הטלפון, כי הוא צריך לפרוץ גם למחשב וגם לטלפון.

10. 02:44

    או שמישהו הציץ לי בסיסמה כשהקשתי אותה על המקלדת. יש הרבה תוכנות שגונבות סיסמאות, כמו Keylogger, תוכנה שכל מה שאני מקיש במקלדת מעבירה לאקר.

11. 02:55

    נניח שהוא הצליח לפרוץ למחשב שלי עם איזשהו אימייל פישינג ושתל אצלי תוכנה שמקליטה את כל ההקלדות שלי, עדיין זה לא מספיק בשביל לפרוץ לארגון, אפילו שהוא יודע את הסיסמה שלי, כי בזמן הלוגין שולחים לי גם סמס.

12. 03:10

    וצריך לעשות את העימות דו-שלבי הזה, את ה-MFA, על כל החשבונות של כל האדמיניסטרטורים. כל מי שיש לו הרשאות גבוהות שיכולים לעשות נזק ממשי למערכת, כל לוגין שלו צריך להיות עם MFA וזה דרך אגב מה שנהוג גם בעולם של ענן באבטחה בענן שענן זה למעשה אותה רשת כמו שלנו רק השרת הפיזי