Has gaitezen amaieratik, erantzuna laburra baita eta ia inork ez baitu osorik ematen: motiboren bat dagoenean. Ez laurogeita hamar egunez behin.
Egutegiaren arabera aldatzeko ohitura hain dago barneratuta, ia higienea ematen duela, hortzak garbitzea bezala. Baina iraungitze-data zuen gomendio bat zen, eta iraungi egin da: AEBetako NISTek 2003an idatzi zuen, 2017an kendu zuen, eta dokumentu haren egileak jendaurrean barkamena eskatu zuen urte berean. Istorio hori osorik kontatzen dugu zer den pasahitz bat artikuluan; hemen bestea interesatzen zaigu, ia inoiz azaltzen ez dena: zuk, gaur, zure pasahitzekin zer egin behar duzun.
Egutegiak ez daki ezer lapurtu dizuten ala ez
Datari begira txandakatzearen arazoa da datak ez duela inolako informaziorik.
Norbaitek otsaileko astearte batean lortu bazuen zure pasahitza, apirilaren 1ean aldatzeak —tokatzen delako— hilabete eta erdi luze oparitzen dio sarbidean. Eta inork ukitu ez badu, aldatzeak ez zaitu ezertatik babestu: pasahitz on bat beste batengatik ordezkatu duzu, seguru asko okerragoa, betebeharrez idazten diren pasahitzak gogo txarrez idazten baitira.
Hor dago porrotaren mekanismo osoa. Behartutako txandakatzeak ez ditu pasahitz
berriak sortzen, aldaerak baizik. Uda2026! Udazkena2026! bihurtzen da eta
gero Negua2026!, eta erasotzaileak badaki, serie hori hormako egutegia bezain
aurreikusgarria baita. Sistema pozik geratzen da —pasahitza «aldatu» da— eta
benetako segurtasuna jaitsi egin da, ez igo.
Horregatik esaten ditu NISTek, SP 800-63B dokumentuan, bi gauzak batera: ez aldatu arbitrarioki denboragatik, eta behartu aldatzera arriskuan egotearen zantzurik dagoen bezain laster. Ez da aldatzea axola ez zaionik. Abiarazlea gertaera bat izan behar dela baizik, ez data bat.
Benetan kontatzen duten motiboak
Hona zerrenda. Hauetakoren bat gertatzen bazaizu, pasahitza gaur aldatzen da, ez datorren hilean:
- Filtrazio batean agertu da. Zerbitzu horrena edo pasahitz bera erabiltzen zenuen beste edozeinena.
- Berrerabili duzu.
Xfiltratu bada eta beste lau tokitan jarrita baduzu, bost pasahitz daude aldatzeko, ez bat. - Web bat ez zen web batean idatzi duzu. Presa zuen mezu bat, esteka bat, antz handia zuen formulario bat. Berdin dio bi segundo geroago konturatu bazara: bidalita zeneukan jada.
- Partekatu duzu. Bikotekidearekin, lankide batekin, laneko txat batean, paper batean. Nork irakurtzen duen kontrolatzen ez duzun kanal batetik pasatu den pasahitza ez da jada zurea.
- Mugimendu arraroa ikusten duzu. Inoiz egon ez zaren toki batetik egindako saio-hasiera, eskatu ez dituzun berrezartze-mezuak, idatzi ez duzun mezu bidali bat.
- Gailua arriskuan egon da. Malwarea duen ordenagailu bat, galdutako mugikor bat, zerbitzu tekniko ezezagun batetik pasatako eramangarri bat.
- Zerbitzuak abisatzen dizu. Enpresa batek mezu hori bidaltzen duenean, egin kasu egun berean. Literalki SP 800-63B dokumentuak aurreikusten duen kasua da.
- Elkarbizitza bat amaitu da. Bikotekide ohi bat, partekatutako etxe bat, bazkide bat. Bi zineten kontuak eta orain bat zarena.
Erreparatu zer duten komunean: denak gertaerak dira. Bat ere ez da «laurogeita hamar egun pasatu dira».
Lehenengorako tresna dago. Pasahitz jakin bat dabiltzan zerrendetan dagoen jakin nahi baduzu, eta bide batez zenbat iraungo lukeen, pasa ezazu egiaztatzailetik: zure nabigatzailean aztertzen da eta handik ez da ateratzen.
Motiboa dagoenean, ordenak axola du
Pasahitza aldatzea urrats agerikoa da, eta askotan ez da lehena. Hau da lana birritan ez egiteko ordena:
Lehenik, gailua. Idazten duzuna irakurtzen duen zerbait instalatuta dagoela susmatzen baduzu, ekipo horretatik bertatik pasahitza aldatzea berria eskura ematea da. Garbitu, edo erabili beste gailu bat aurretik.
Ondoren, posta. Zure posta-kontua ez da kontu bat gehiago: gainerako guztien «pasahitza ahaztu dut» estekak jasotzen dituena da. Posta kontrolatzen duenak gainerakoa kontrolatzen du ate nagusitik. Pasahitz bakar batetik hasi behar baduzu, hori da.
Gero, itxi irekita dauden saioak. Pasahitza aldatzeak ez du beti barruan dagoena kanporatzen. Bilatu kontuaren ezarpenetan gailu guztietan saioa ixteko aukera eta erabili: bestela, sartu denak konektatuta jarraitzen du zure pasahitza jada behar ez duen saio batekin.
Eta azkenik, begiratu zer utzi duen jarrita. Hau da jende gehienak saltatzen duen urratsa. Kontu batean sartzen denak ez du begiratzera mugatzen: berreskuratze-helbidea aldatzen du, telefono bat gehitzen du, bere bigarren faktorea aktibatzen du, aplikazio bat konektatzen du, birbidaltze-arau bat jartzen du postontzian. Pasahitza aldatu eta hori berrikusten ez baduzu, bihar berriz sartuko da guztiz zabalik dagoen ate batetik. Errepasatu berreskuratze-metodoak, baimendutako gailuak, konektatutako aplikazioak eta birbidaltze-arauak.
Beste gauza bat, agerikoa eta horregatik gehien hausten dena: aldatzean, berriak berria izan behar du. Ez betikoa beste zenbaki batekin. Sortu sorgailuan eta gorde zure memoriaren mende ez dagoen leku batean.
Zer egiten duzu beste hirurehun eta hirurogei egunetan
Abiarazlea gertaera bat bada eta gertaerak bakanak badira, galdera beste bat bihurtzen da: orduan ez dago ezer egin beharrik? Alderantziz. Txandakatzeak gaizki konpondu nahi zuena lau gauzarekin konpontzen da ondo, eta lauak behin bakarrik egiten dira.
Luzeak izan daitezela. SP 800-63B dokumentuak luzera jartzen du bihurdura baino lehen: pasahitz luze batek gehiago balio du sinboloz betetako labur batek baino. Hor dago lanaren zatirik handiena.
Toki bakoitzean desberdinak izan daitezela. Honek bihurtzen du besteren filtrazio bat sute baten ordez gorabehera txiki bat. Kontu bakoitzak berea badu, bat filtratzeak ez ditu besteak ukitzen; pasahitza partekatzen baduzu, erabili zenuenik ere gogoratzen ez duzun zerbitzu batek erabakitzen du zure bankuaren segurtasuna.
Filtratutakoen zerrendekin alderatuta egon daitezela. Hori da NISTek egin zuen truke zehatza: sinbolo bat eskatu beharrean, egiaztatu zure pasahitza ez dabilela jada zirkulazioan. Egiaztapen horrek bai, iraungitzen du —gaur zerrendetan ez dagoen pasahitz bat datorren urtean egon liteke— eta horregatik kudeatzaile onek beren kabuz errepikatzen dute eta abisatzen dizute.
Bigarren faktorea egon dadila ahal den tokietan. Bigarren faktorea jarrita, lapurtutako pasahitz bat giltza izateari uzten dio eta erdi giltza bihurtzen da.
Laurek batera txandakatzeak inoiz egin ez zuena egiten dute: pasahitza motiboa dagoen unean bertan aldatzen dute, dagoela jakiten duzulako. Zerrendak zaintzen dituen kudeatzaile bat abisu-sistema bat da; egutegiak ez du ezertaz abisatzen, pasatu besterik ez du egiten.
Eta enpresak laurogeita hamar egunez behin behartzen bazaitu
Gertatzen da, eta asko gertatzen da, duela hamabost urte idatzitako politikak daudelako, inork berriz begiratu ez dituenak. Bi gauza.
Lehena, praktikoa: aldatu behar baduzu, aldatu benetan. Sortu berri oso bat eta gorde kudeatzailean. Urtaroaren araberako aldaera da ez aldatzea baino okerrago den gauza bakarra, zerbait egin izanaren sentsazioa ematen duelako.
Bigarrena, politika mugitu dezakeenarentzat: argudioa ez dago asmatu beharrik. SP 800-63B dokumentuan dago, NISTen gida ofiziala da, eta literalki dio ez dela pasahitzen aldaketa periodikoa eskatu behar eta bai behartu behar dela arriskuan egotearen zantzurik dagoenean. Gaur laurogeita hamar eguneko araua mantentzen duenak argitaratu zuen erakundeak berak duela urte batzuk ordezkatu zuen dokumentu bat jarraitzen ari da.
Erantzun laburra, berriro
Zenbatero aldatu behar da pasahitza? Zerbait gertatzen denean.
Eta «zerbait gertatzen denean» horrek gertatu dela jakiten baduzu bakarrik funtzionatzen duenez, erantzun luzea hau da: egin ezazu pasahitz bakoitza luzea, desberdina eta zaindua izan dadin, eta horrela bat aldatu behar den egunean jakingo duzu, bakarra izango da, eta bi minutu eramango dizu.
Gainerakoa egutegi batean lauki bat markatzea da, seguru sentitzeko.
Iturriak: NIST SP 800-63, «Electronic Authentication Guideline» (2003), non konposizio-arauak eta aldaketa periodikoa agertzen diren · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): luzera konplexutasunaren aurretik, aldaketa periodiko arbitrariorik gabe, aldaketa behartua arriskuan egotearen zantzuen aurrean, eta arriskuan dauden pasahitzen zerrendekin alderatzea · Bill Burr-en adierazpenak, 2003ko gidaren egilearenak, Wall Street Journal egunkarian 2017ko abuztuan.
Argazkia: Hatice Baran · Pexels