- Parolele rămân esențiale, dar inteligența artificială a multiplicat capacitatea de a le ghici prin atacuri de dicționar, forță brută și modele generative.
- Mecanismele LLM nu produc o adevărată aleatorietate: tiparele lor fac ca parolele pe care le generează să aibă o entropie scăzută și să fie surprinzător de ușor de spart.
- Protecția implică administratori de parole, parole lungi și unice, autentificare multi-factor și monitorizare continuă bazată pe inteligență artificială.
- Viitorul este orientat către modele fără parolă, chei de acces și Zero Trust, unde identitatea și contextul contează mai mult decât un singur secret partajat.
Parolele se confruntă cu un adevărat test în mijlocul revoluției inteligenței artificiale . Acestea rămân cel mai răspândit sistem de autentificare de pe planetă, dar fiecare progres în domeniul inteligenței artificiale, atacurile cibernetice și automatizarea pune și mai multă presiune pe un model născut într-o altă eră. Între timp, milioane de utilizatori continuă să își protejeze conturile de e-mail, conturile bancare și cele de socializare cu parole pe care un atacator modern le poate sparge în câteva secunde.
În același timp, nu toate conturile sunt pregătite să facă saltul către o lume fără parole . Cheile de acces, autentificarea biometrică și modelele Zero Trust avansează, da, dar coexistă cu formularele clasice de conectare și serviciile vechi care încă se bazează pe acel „ceva ce știi”. În acest context, înțelegerea motivului pentru care parolele contează mai mult ca niciodată, modul în care inteligența artificială le provoacă și ce alternative reale avem nu mai este o problemă tehnică: este o chestiune de supraviețuire digitală de bază.
De ce parolele rămân esențiale în era inteligenței artificiale
Astăzi, datele personale și corporative au devenit bani gheață . O singură parolă divulgată poate fi vândută pentru câțiva dolari pe forumuri clandestine, dar dacă acea parolă deschide ușa către un e-mail corporativ, un sistem de fișiere intern sau un cont bancar, impactul financiar poate ajunge la sute de mii de euro.
Servicii diverse precum serviciile bancare online, e-mailul, dosarele medicale, rețelele sociale și instrumentele de lucru bazate pe cloud se bazează încă pe parole ca principal control al accesului. Dacă cineva se conectează cu „password123” sau o altă variantă de calitate inferioară, este echivalentul digital al faptului că îți lași ușa de la intrare deschisă cu un semn „intrați fără să bateți”.
Cercetările indică faptul că aproximativ jumătate din toate aplicațiile se bazează exclusiv pe parole , fără niveluri suplimentare de securitate. Și, pe deasupra, doar o minoritate de utilizatori folosesc parole diferite pentru fiecare serviciu. Acest lucru contrastează puternic cu realitatea: majoritatea oamenilor gestionează între 70 și 100 de conturi online, în timp ce noi, în cel mai bun caz, ne putem aminti doar 5 până la 7 parole diferite.
Această diferență dintre ceea ce putem memora și numărul de conturi pe care le folosim zilnic duce la obiceiuri periculoase: reutilizarea parolelor, scrierea lor în notițe necriptate sau partajarea lor prin canale nesigure . Deși probabil că nu o faceți, mulți oameni încă stochează parole într-o aplicație de notițe sau pe o foaie de hârtie lipită de monitor, ceea ce simplifică foarte mult munca oricărui atacator moderat organizat.
IA adaugă un alt nivel de complexitate: atacurile de tip „brute force” , atacurile de tip dicționar și atacurile de tip „credential stuffing” pot fi acum automatizate și optimizate la scară industrială . Ceea ce anterior necesita timp, efort și o anumită expertiză tehnică poate fi acum orchestrat cu instrumente avansate care testează milioane de combinații învățate din breșele de date din lumea reală.
Lungime, complexitate și entropie: ce face o parolă cu adevărat puternică
Unul dintre cele mai răspândite mituri este acela că o parolă „care pare complicată” este automat sigură . Adăugarea de majuscule, înlocuirea literelor cu cifre sau includerea unui simbol dă o anumită impresie de rezistență, dar împotriva metodelor moderne de atac, factorul decisiv este altul: lungimea.
Când un atacator obține acces la o bază de date cu acreditări de la o companie mare, care a fost divulgată, parolele sunt de obicei stocate nu în text simplu, ci ca hash-uri criptate . Pentru a încerca să recupereze parola originală, aceștia folosesc tehnici de cracare: generează presupuneri ale parolelor, le criptează în același mod și compară rezultatele până când găsesc potriviri.
În acest scenariu, cu cât parola este mai lungă, cu atât creșterea explozivă a numărului de combinații posibile este mai mare . O parolă de 8 caractere poate fi spartă în câteva secunde sau minute pe un cluster GPU sau într-un mediu de cloud computing, chiar dacă alternează litere, cifre și simboluri. În schimb, o parolă bine construită de 16 caractere poate dura ani, secole sau pur și simplu poate fi imposibil de spart cu resursele actuale.
Dacă ne gândim și la viitoarele computere cuantice, lungimea face în continuare diferența: un șir absurd, cum ar fi de 40 de ori aceeași literă, ar fi practic imposibil de descifrat chiar și cu capacități cuantice teoretice, în timp ce o parolă scurtă „creativă” bazată pe echipa ta de fotbal sau pe o melodie celebră ar putea fi ghicită într-o clipă.
Dintr-o perspectivă mai formală, securitatea parolei se măsoară în biți de entropie , ceea ce reflectă câte încercări ar fi necesare, în medie, pentru a o ghici. Cu cât setul de caractere utilizat este mai larg (litere mari, litere mici, cifre, simboluri) și cu cât combinația este mai lungă, cu atât entropia este mai mare și cu atât este mai greu de spart folosind atacuri de tip forță brută.
O parolă cu aproximativ 20 de biți de entropie generează aproximativ un milion de combinații posibile, lucru pe care un atacator cu GPU-uri moderne îl poate sparge în câteva secunde . În schimb, o parolă cu aproximativ 100 de biți de entropie ar implica atât de multe combinații încât, în practică, ar dura miliarde de ani pentru a fi decriptată. Diferența dintre cele două nu este magică: constă în lungimea reală și varietatea efectivă a caracterelor, nu doar în aparența de complexitate.
Marea greșeală: lăsarea securității în mâinile parolelor generate de inteligența artificială
Odată cu creșterea numărului de chatboți, este tentant să ceri unui model precum ChatGPT, Claude sau Gemini să „genereze o parolă sigură de 16 caractere, cu cifre, simboluri și litere ”. Pe hârtie, sună perfect: modelul returnează șiruri complexe, greu de citit și imposibil de reținut dintr-o privire, foarte similare cu cele oferite de managerii de parole.
Problema este că, în sinea lor, modelele lingvistice nu sunt concepute pentru a produce o adevărată aleatorietate . Ele funcționează prin prezicerea următorului fragment de text (token) cel mai probabil pe baza datelor cu care au fost antrenate. Aceasta este exact opusul a ceea ce avem nevoie pentru o parolă puternică, care necesită alegeri la fel de probabile și imprevizibile.
Cercetări recente efectuate de specialiști în securitatea inteligenței artificiale au arătat că, atunci când acestor modele li s-a cerut să genereze zeci de parole „unice”, au apărut tipare foarte clare și repetitive . În testele cu Claude, multe parole începeau cu aceeași literă, iar al doilea caracter era aproape întotdeauna același număr; în plus, un subset foarte mic al alfabetului a fost reutilizat, omitându-se majoritatea literelor.
Ceva similar s-a întâmplat și cu ChatGPT: aproape toate parolele începeau cu aceeași literă și aproape jumătate foloseau „Q” ca al doilea caracter . Gemini a prezentat, de asemenea, tipare recurente, cu combinații care păreau aleatorii, dar, atunci când au fost analizate statistic, erau departe de a avea o distribuție uniformă.
Cel mai frapant lucru este că multe dintre aceste parole generate nu afișau nicio repetare a caracterelor . Pentru ochiul uman, acest lucru dă o senzație de ordine haotică, dar dintr-un punct de vedere probabilistic, este extrem de puțin probabil ca deciziile să fie luate cu adevărat aleatoriu. Aceasta este o indicație clară a faptului că modelul urmează „reguli interne” care îl fac mult mai previzibil decât pare.
Când a fost măsurată entropia acestor parole create de LLM, rezultatele au fost devastatoare: comparativ cu aproximativ 6,13 biți de entropie pe caracter pe care i-ar produce un generator cu adevărat aleatoriu , modelele au reușit doar în jur de 2,08 biți pe caracter. Într-o parolă de 16 caractere, asta înseamnă trecerea de la aproximativ 98 de biți (foarte robustă) la doar 27 de biți, ceva ce un atacator poate sparge cu atacuri de forță brută fără efort.
În cele din urmă, cercetătorii au identificat tipare caracteristice în parolele generate de inteligența artificială în cadrul serviciilor de internet din lumea reală . Cu alte cuvinte, există aplicații și site-uri web deja protejate de parole care au structuri previzibile comune, ceea ce le face ținte perfecte pentru atacuri specializate de tip dicționar, cum ar fi „liste de parole tipice pentru chatbot-uri”.
De aceea, multe companii de securitate sunt clare în această privință: nu este o idee bună să delegi crearea parolelor unei inteligențe artificiale de uz general . Acestea sunt optimizate pentru a produce text plauzibil, nu pentru a garanta o distribuție aleatorie rezistentă la analiză. Dacă ai generat deja parole cu un chatbot, merită să le schimbi și, cel puțin, să adaugi autentificarea cu doi factori (2FA) pentru a crește nivelul de protecție.
Manageri de parole, aleatorietate reală și cele mai bune practici de bază
Dacă memorarea a zeci de parole unice, lungi și complexe este imposibilă (ceea ce este), soluția practică este centralizarea gestionării . Aici intervin administratorii de parole , creând și stocând parole puternice într-un „seif” criptat, protejat de o parolă principală și, din ce în ce mai mult, de factori de autentificare suplimentari.
Spre deosebire de LLM-uri, managerii de parole utilizează generatoare criptografice de numere aleatorii . Acestea se bazează pe entropia sistemului de operare și pe surse fizice (mișcările mouse-ului, intervalele de timp dintre evenimente etc.) pentru a produce biți cu adevărat imprevizibili, care sunt apoi convertiți în șiruri de caractere fără a introduce modele „drăguțe” pentru ochiul uman.
Instrumente precum Bitwarden, care oferă o versiune gratuită destul de cuprinzătoare, sau 1Password, un serviciu plătit, dar foarte puternic , vă permit să gestionați nu doar parole, ci și carduri de credit, note securizate și alte informații sensibile. Utilizatorul trebuie doar să își amintească o parolă principală foarte puternică (și, în mod ideal, să își protejeze contul cu autentificare cu doi factori), în timp ce managerul se ocupă de restul.
Pe lângă generarea de parole puternice, aceste manageri includ de obicei funcții precum rotația periodică a acreditărilor, alerte pentru încălcări de date cunoscute și verificări ale reutilizării parolelor . Dacă un site web suferă o încălcare de securitate sau dacă datele dvs. apar pe listele dark web, managerul vă poate alerta, astfel încât să puteți schimba parolele afectate înainte ca cineva să le exploateze.
Un alt obicei bun este să ștergeți conturile pe care nu le mai utilizați . Este ușor să uitați de un profil vechi de Myspace, un cont Hotmail de la începutul anilor 2000 sau un serviciu la care v-ați înscris „doar ca să-l încercați”. Cu toate acestea, dacă ați folosit vreodată acea adresă de e-mail ca adresă de recuperare pentru un alt cont important, aceasta devine o verigă vulnerabilă în lanțul dvs. de securitate.
În cele din urmă, activarea autentificării multi-factor pentru toate conturile posibile este practic obligatorie . Indiferent dacă utilizați SMS-uri, aplicații precum Authy sau Google Authenticator sau metode mai avansate, necesitatea unui al doilea factor (cod, cheie fizică, date biometrice) reduce drastic impactul unei parole compromise.
Cum IA oferă putere atât atacatorilor, cât și apărătorilor
Inteligența artificială schimbă jocul pentru ambele părți. Pe de o parte, infractorii cibernetici nu se mai bazează exclusiv pe forța brută clasică : ei antrenează modele cu milioane de parole divulgate pentru a genera dicționare extrem de eficiente, capabile să capteze tipare umane atunci când creează parole (nume, date, echipe, versuri de melodii etc.).
Instrumente precum PassGAN, bazate pe rețele generative, pot produce volume masive de ghiciri de parole fără a necesita reguli explicite, definite de om . Spre deosebire de utilitarele tradiționale precum Hashcat, care aplică transformări predefinite listelor cunoscute, aceste modele continuă să învețe și să își rafineze rezultatul pe măsură ce generează mai multe încercări.
În testele efectuate cu seturi de date precum faimoasa scurgere de informații RockYou sau parolele LinkedIn, PassGAN a ghicit corect între 51% și 73% mai multe parole unice decât instrumentele bazate pe reguli . Antrenat special pe mostre dintr-o anumită scurgere de informații, a reușit să ghicească corect aproape un sfert din parolele dintr-un alt set independent - o statistică deosebit de îngrijorătoare având în vedere utilizatorii care reutilizează parolele pe diferite servicii.
În plus, tehnicile de atac precum „credential stuffing” și „password spraying” beneficiază foarte mult de automatizarea avansată . Cu ajutorul inteligenței artificiale, atacatorii pot ajusta ordinea și prioritatea parolelor pe care le încearcă, optimizând resursele și concentrându-se pe combinațiile cu o probabilitate mai mare de succes, pe baza profilului victimei.
Însă inteligența artificială multiplică daunele și într-o altă dimensiune: phishing-ul și ingineria socială . Modelele generative permit crearea de e-mailuri, site-uri web false de conectare și chiar apeluri vocale cu deepfake-uri care imită membrii familiei, șefii sau colegii cu un nivel tulburător de realism. În aceste situații, indiferent cât de puternică este parola dvs., este de puțin folos dacă ajungeți să o introduceți într-o pagină falsă care o trimite direct atacatorului.
În defensivă, însă, inteligența artificială a devenit un aliat indispensabil . Multe sisteme de securitate folosesc modele pentru a analiza tiparele de conectare și a detecta comportamente anormale: acces din țări neobișnuite, ore suspecte, viteze de tastare incompatibile cu cele ale unui om sau dispozitive neobișnuite.
Dacă, de exemplu, se detectează acces dintr-o locație atipică, combinată cu un model de interacțiune aparent automatizat , sistemul poate bloca încercarea, poate solicita verificări suplimentare sau poate forța schimbarea parolei. Cheia aici este monitorizarea continuă: simpla încuiere a ușii nu este suficientă; trebuie să fii atent la cine încearcă să intre și cum.
Dincolo de parolă: MFA, biometrie, Zero Trust și chei de acces
Odată cu creșterea continuă a atacurilor și proliferarea identităților digitale (atât umane, cât și non-umane), modelul clasic bazat exclusiv pe nume de utilizator și parole a devenit insuficient . Tendința este de a muta povara securității de la un singur secret la o combinație de semnale, context și verificare continuă.
În primul rând, autentificarea multi-factor (MFA) a devenit o piatră de temelie . Nu toți factorii sunt la fel de robusti: codurile unice prin SMS, de exemplu, sunt vulnerabile la atacuri de interceptare, clonare a cartelei SIM sau phishing sofisticat. Chiar și așa, sunt mai bune decât nimic, iar următorul pas este investiția în metode mai rezistente, cum ar fi aplicații dedicate, chei de securitate sau notificări push cu protecție împotriva fraudei.
Tehnologiile biometrice, cum ar fi recunoașterea facială sau scanarea amprentelor digitale pe telefoanele mobile și laptopurile moderne , oferă o experiență foarte convenabilă și ridică ștacheta pentru atacatori, deși nu sunt infailibile. Combinate cu cheile criptografice stocate pe dispozitiv, acestea permit utilizarea sistemelor în care nu există o parolă pe care utilizatorul să o introducă, reducând riscul de phishing.
Aici intră în joc cheile de acces și soluțiile fără parolă , folosind criptografia cu cheie publică pentru autentificarea utilizatorului fără a fi nevoie de o cheie tradițională. Servicii precum Okta FastPass vă permit să conectați în siguranță un dispozitiv la o identitate și să validați accesul folosind chei criptografice, integrându-se și cu metode precum Windows Hello, Apple Touch ID sau Face ID.
Acest tip de soluție nu numai că îmbunătățește experiența utilizatorului (nu mai este nevoie să se țină minte zeci de parole), dar reduce drastic și probabilitatea ca un atacator să fure acreditări reutilizabile . Nu există niciun „secret comun” care circulă prin rețea și care poate fi capturat: verificarea se face prin provocări criptografice pe care doar dispozitivul legitim le poate rezolva.
În paralel, multe organizații adoptă abordarea Zero Trust, care presupune că niciun acces nu este considerat de încredere în mod implicit , chiar dacă provine din rețeaua corporativă. Fiecare solicitare este evaluată luând în considerare mai mulți factori: cine este utilizatorul, ce dispozitiv folosește, locația sa, ora accesului, comportamentul său recent și așa mai departe.
În acest model, gestionarea identității și accesului (IAM/IGA) devine punctul central al controlului securității . Se aplică principiile privilegiilor minime, revizuirilor periodice ale permisiunilor și corelării în timp real a semnalelor de risc. Când ceva deviază de la modelul așteptat, sistemul poate revoca instantaneu privilegiile sau poate solicita verificări suplimentare.
Noul front: Identități ale agenților IA și conturi non-umane
Apariția inteligenței artificiale cu agenți autonomi adaugă un alt nivel de complexitate. Acești agenți nu numai că interoghează sistemele, ci acționează și în cadrul acestora : se autentifică, apelează API-uri, citesc și scriu date și chiar iau decizii operaționale în numele companiei.
Fiecare agent de acest tip are nevoie de propria identitate sau, cel puțin, de un set de acreditări . Acest lucru extinde semnificativ suprafața de atac, deoarece vorbim despre chei API, token-uri OAuth, conturi de serviciu și alte secrete care sunt adesea inventariate prost, au permisiuni excesive sau expiră târziu (dacă expiră deloc).
În plus, sistemele bazate pe agenți introduc vulnerabilități noi și specifice : injectarea de comenzi în instrucțiunile pe care le primesc, otrăvirea modelului, manipularea datelor, escaladarea nedorită a privilegiilor și așa mai departe. Nu este atacat doar codul tradițional, ci și logica decizională a inteligenței artificiale.
Așa-numita „IA din umbră” agravează situația: angajații care integrează instrumente de IA neautorizate în fluxurile lor de lucru pot crea vulnerabilități pe care controalele tradiționale (firewall-uri, antivirus, politici vechi) nu sunt concepute să le abordeze. Un agent configurat greșit ar putea, de exemplu, să revoce acreditări legitime sau să pună în carantină resurse critice fără ca nimeni să observe la timp.
Prin urmare, experții recomandă tratarea agenților IA ca identități digitale de mare valoare . Aceasta implică acordarea lor doar a permisiunilor strict necesare, monitorizarea atentă a activității lor, stabilirea unor mecanisme pentru oprirea sau limitarea acțiunilor lor dacă se abat de la comportamentul așteptat și asigurarea faptului că backup-urile, recuperarea și guvernanța abordează și aceste componente.
O provocare semnificativă este cea a vizibilității pure: multe companii nici măcar nu știu câți agenți operează la un moment dat, la ce sisteme se conectează sau ce date accesează . Fără inventar sau trasabilitate, riscul de a pierde controlul crește vertiginos, iar orice incident poate fi amplificat de însăși autonomia acestor sisteme.
Vestea bună este că instrumentele pentru gestionarea identităților, permisiunilor și accesului - atât uman, cât și non-uman - există deja și sunt destul de mature . Adevărata provocare este culturală și organizațională: integrarea guvernanței, rezilienței și instruirii încă de la început, mai degrabă decât tratarea IA ca pe un simplu plugin plug-and-play.
Privind imaginea de ansamblu, este clar că parolele încă joacă un rol important, dar acestea nu mai pot asigura singure securitatea digitală . Într-un context în care inteligența artificială accelerează atât atacurile, cât și apărarea, în care agenții autonomi iau decizii în sistemele critice și în care identitățile se înmulțesc, strategia implică utilizarea unor parole lungi, unice, gestionate cu instrumente robuste, suportându-le întotdeauna cu MFA, reducându-le treptat importanța prin chei de acces și scheme fără parolă și consolidând un model de identitate și acces bazat pe Zero Trust și monitorizare continuă. Numai așa putem ține la distanță un mediu de amenințări care devine din ce în ce mai rapid, mai automatizat și mai inteligent în fiecare zi.
