Parole ir problēma

Sākotnēji nozare domāja un ticēja, ka galvenais izaicinājums ir vājas paroles. Tātad tās ir jāstiprina. Tāpēc pakalpojumu sniedzēji visā pasaulē sāka ieviest arvien stingrākas prasības, liekot lietotājam veidot garākas paroles, kombinēt parolēs lielos un mazos burtus, ciparus, speciālos simbolus un pieprasot regulāru paroles maiņu. Tomēr paroļu noplūdes un uzlaušanas gadījumu skaits būtiski nemainās, kas liek secināt, ka lielākā problēma nav paroles stiprums vai vājums. Tas liek uz problēmu paskatīties citādi. Iespējams, lielākais izaicinājums vairs nav tas, vai parole ir pietiekami stipra. Problēma ir pati paļaušanās uz paroli kā galveno veidu, kā digitālajā vidē apliecinām savu identitāti.

Jo vairāk kontu, jo lielāks risks

Vidējam digitālo pakalpojumu lietotājam ir desmitiem, nereti pat simtiem dažādu kontu. To vidū ir darba sistēmas, e-veikali, sociālie tīkli, straumēšanas platformas un mobilās lietotnes.  Būsim godīgi - izveidot un atcerēties unikālu paroli katram no tiem ir gandrīz neiespējami. Tāpēc rezultāts ir prognozējams un paredzams, proti, cilvēki atkārtoti izmanto vienas un tās pašas paroles vai veido ļoti līdzīgas kombinācijas, mainot tikai vienu ciparu vai simbolu. Paroles satur personīgus, viegli uzminamus datus, paroles privātajos resursos tiek izmantotas arī darba resursos.  

2026. gada PasswordManager.com aptaujā 84% ASV pieaugušo atzina, ka neizmanto unikālu paroli katram savam kontam. 20% atzīst, ka izmanto vienu un to pašu paroli lielākajai daļai savu kontu. Diemžēl tā nav tikai ASV iedzīvotāju problēma, citi pētījumi apstiprina līdzīgus datus visā pasaulē, piemēram, 25% respondentu atkārtoti izmanto paroles 11–20 vai vairāk kontos, liecina pētījums, kurā BitWarden aptaujāja Lielbritānijas, Francijas, Vācijas, Austrālijas, Japānas un ASV iedzīvotājus. Varētu šķist, ka jaunākā paaudze, kas jau ir dzimusi un dzīvo digitālā laikmetā, ir daudz zinošāka un prasmīgāka. Izrādās, ka tomēr nē, jaunākās paaudzes jeb Gen Z vidū problēma nav zināšanu trūkums, bet šo zināšanu ignorēšana. 79% Gen Z apzinās, ka paroļu atkārtota izmantošana ir riskanta, taču 72% tik un tā atkārtoti izmanto paroles. Šī pati aptauja parāda vēl kādu interesantu faktu – neatkarīgi no vecuma un zināšanām, brīdī, kad kaut kādu iemeslu dēļ lietotājam ir jāmaina parole, tajā tiek nomainīts viens vai daži simboli. Piemēram, no Ludmila2025 uz Ludmila2026. Un tas notiek 46-51% paroļu maiņas gadījumu.  

Šādi digitālie ieradumi un kiberhigiēnas trūkums būtiski atvieglo darbu kibernoziedzniekiem. Pietiek kompromitēt vienu pakalpojumu, lai iegūtie piekļuves dati ļautu mēģināt piekļūt arī citiem lietotāja kontiem. Diemžēl, tā nav tikai teorētiska iespēja, nopludināto paroļu datu aina ir dramatiska visā pasaulē. Cybernews 2024.-2025. gadā analizēja vairāk nekā 19 miljardus nopludinātu paroļu un konstatēja, ka tikai 6% no tām bija unikālas, bet 94% datu kopā atkārtojās, līdere starp tām – parole 123456.  No vienas puses, viss nav galīgi slikti, tendences ir cerīgas - NordPass dati rāda, ka pēc kāpuma un absolūta rekorda 2024. gadā, kad vienam lietotājam bija vidēji 168 paroles, 2026. gadā šis rādītājs ir nokrities līdz 120. NordPass to saista ar  pāreju uz lietotājiem ērtākiem autentifikācijas veidiem, piemēram, autorizēšanos ar Google vai Apple kontiem, passkeys un biometrisko autentifikāciju. No otras puses, es tomēr pārsteidzīgi nepriecātos par to, jo tādiem globālajiem tīkliem kā Google un Apple, kas ir visbiežāk izmantotie pasaulē, pamatā vēl arvien ir parole. Arī skaitļi arvien rāda, ka paroļu noplūde ir pamats būtiskai kibernoziegumu daļai. Viens no lielākajiem ASV telekomunikāciju un tehnoloģiju uzņēmumiem Verizon savā ikgadējā Data Breach Investigations Report gadu no gada norāda, ka nozagti akreditācijas dati diemžēl joprojām ir būtisks sākotnējās piekļuves mehānisms reālos kiberuzbrukumos. Uzmanību uz to vērš arī Microsoft, norādot, ka lielākā daļa identitātes uzbrukumu joprojām ir saistīti ar plaši izmantotu vai atkārtoti izmantotu paroļu izmantošanu.

Jāmaina nevis parole, bet princips 

Ik pa laikam dažādās sarunās man nākas dzirdēt versijas, ka kiberuzbrucēji cenšas uzminēt paroles, izmantojot arvien jaudīgākus datorus. Taču daudz vienkāršāk ir paroli nevis uzminēt, bet iegūt. Tam kalpo datu noplūdes, pikšķerēšanas kampaņas, viltotas autorizācijas lapas un ļaunprogrammatūra, kas zog lietotāju akreditācijas datus. Ja lietotājs pats zina savu paroli, viņu var mēģināt pārliecināt to atklāt vai ievadīt vietā, kas tikai izskatās pēc īstā pakalpojuma.

Papildu risku rada arī kontu koplietošana. Taču līdz ar to rodas papildu riski, jo nevari būt drošs, kā otrs cilvēks šo paroli glabā, vai viņa ierīce nav inficēta, vai parole netiek ierakstīta un glabāta kādā čata grupā, kur tā vēlāk var tikt ļaunprātīgi izmantota.

Tāpēc arvien skaļāk un uzstājīgāk izskan aicinājumi no lielākajiem pasaules tehnoloģiju uzņēmumiem un kiberdrošības institūcijām  mainīt pieeju pēc būtības. Rekomendācijas un uzsvars tiek likts nevis uz regulāru paroļu maiņu un sarežģītākām parolēm, bet gan uz pāreju uz daudzfaktoru autentifikāciju, pret pikšķerēšanu noturīgām autentifikācijas metodēm un bezparoļu autentifikācijas risinājumiem. 

Ar ko šie risinājumi atšķiras no parolēm? Piemēram, divfaktoru autentifikācijas risinājumi, kāds Latvijā ir Smart-ID, balstās uz citu principu. To veido divu faktoru kombinācija - “kaut kas, kas lietotājam pieder” (viedtālrunis ar instalētu lietotni) un “kaut kas, ko lietotājs zina” (PIN kodi). Šāda kombinācija konceptuāli izslēdz iespēju “padalīties” ar piekļuvi tā, kā to var izdarīt ar paroli. 

Ērtība vai drošība – kam jādod priekšroka?

Te labi redzama atšķirība starp regulētajām nozarēm un pārējo digitālo biznesu.

Bankām un virknei citu regulētu nozaru klienta pārbaude nav izvēles jautājums. Bankām, maksājumu un finanšu pakalpojumu sniedzējiem, kriptoaktīvu pakalpojumu sniedzējiem, kā arī noteiktos gadījumos azartspēļu, nekustamā īpašuma un citu nozaru uzņēmumiem ir jāievēro KYC un plašākas AML/CFT prasības. Vienkārši sakot – tiem noteiktās situācijās ir jāzina, kas ir viņu klients, un jāspēj pārbaudīt viņa identitāti.

Daudziem citiem digitālajiem pakalpojumiem šāda vispārēja pienākuma nav. E-veikalam, straumēšanas platformai vai sociālajam tīklam vēsturiski daudz svarīgāk ir bijis pēc iespējas vienkāršāk ielaist cilvēku pakalpojumā. Jo mazāk soļu līdz reģistrācijai, saturam vai pirkumam, jo labāk. Tāpēc daudzviet joprojām pietiek ar e-pasta adresi un paroli.

Taču arī šī situācija sāk mainīties. Labs piemērs ir bērnu un jauniešu aizsardzība internetā. Eiropas Digitālo pakalpojumu akts (DPA) liek platformām daudz nopietnāk domāt par nepilngadīgo drošību, un arvien aktuālāks kļūst jautājums par uzticamu vecuma pārbaudi.

Un te parādās ļoti interesanta digitālās identitātes priekšrocība. Ne vienmēr uzņēmumam ir jāzina, kas tu esi. Dažreiz tam jāzina tikai viens konkrēts fakts par tevi. Piemēram, platformai var nebūt vajadzīgs mans vārds, personas kods vai precīzs dzimšanas datums. Tai nepieciešama tikai uzticama atbilde uz jautājumu, piemēram, vai esi sasniedzis konkrēto vecumu. Jā vai nē.

Tas ir digitālās identitātes atribūts. Līdzīgi citā situācijā pakalpojumam varētu būt svarīgi zināt: Vai personai ir derīga autovadītāja apliecība? Jā vai nē. Vai persona ir konkrētas valsts rezidents? Jā vai nē. Tādējādi ir iespējami divi atšķirīgi scenāriji: vienā nepieciešams noskaidrot un pārbaudīt klienta identitāti, bet otrā pietiek ar droši apliecinātu atbildi uz konkrētu jautājumu – jā vai nē.

Un te arī atklājas paroles ierobežojums. Parole pierāda tikai to, ka cilvēks zina paroli. Tā neapliecina, vai to izmanto īstais cilvēks, kas viņš ir, cik viņam gadu vai viņam ir tiesības saņemt konkrēto pakalpojumu. Digitālā identitāte ļauj šo principu mainīt. Nevis “pastāsti man visu par sevi”, bet “apliecini tikai to, kas man šajā situācijā jāzina”. Tas ir gan drošāk, gan privātāk. Uzņēmums saņem uzticamu atbildi, bet cilvēkam nav katrā interneta vietnē jāatstāj vairāk personas datu, nekā konkrētā pakalpojuma saņemšanai patiešām nepieciešams.

Kiberhigiēnas un digitālās identitātes laikmets  

Lai gan virzība uz bezparoļu autentifikāciju kļūst arvien izteiktāka, paroles tuvākajā laikā pilnībā nepazudīs. Tāpēc vēl joprojām nozīmīgi ir lietotāju pašu paradumi un uzvedība digitālā vidē. Mēs daudz runājam par mentālo higiēnu, miega higiēnu, zobu higiēnu un citiem higiēnas veidiem, bet es teiktu, ka mūsdienās digitālā higiēna jeb kiberhigiēna ir starp tām, kuras jāierindo topa augšgalā.  

Un kiberhigiēnas pamatprincipi mums saka, ka drošākais risinājums ir izmantot katram pakalpojumam unikālu paroli, bet tās visas glabāt paroļu pārvaldniekā un iespējot daudzfaktoru autentifikāciju visur, kur tas ir iespējams. Tikpat svarīgi ir nekad neievadīt paroli, atverot saiti no aizdomīga e-pasta, kā arī regulāri pārbaudīt, vai izmantotās paroles nav nonākušas publiski pieejamās datu noplūdēs. Savukārt par kompromitētiem kontiem iespējams uzzināt, izmantojot tādus pakalpojumus kā Have I Been Pawnd, kas ļauj pārbaudīt, vai e-pasta adrese ir parādījusies zināmās datu noplūdēs.

Paroļu pārvaldnieks šajā ziņā ir būtisks palīgs, jo cilvēkam nav jācenšas atcerēties desmitiem sarežģītu kombināciju. Uzticami paroļu pārvaldnieki izmanto datu šifrēšanu un citas drošības tehnoloģijas, taču arī šeit jāatceras, ka neviena tehnoloģija nav absolūti bez riska. Tāpēc jāizvēlas uzticams pakalpojuma sniedzējs un galvenais konts jāaizsargā ar spēcīgu autentifikāciju. 
Eiropā strauji attīstās digitālās identitātes ekosistēma, kas ļauj cilvēkiem ne tikai droši autentificēties digitālajā vidē, bet arī pašiem pārvaldīt savu identitāti un apliecināt tikai konkrētam pakalpojumam nepieciešamos atribūtus. Baltijas valstīm šajā jomā jau ir ilggadēja pieredze, jo miljoniem cilvēku ikdienā izmanto Smart-ID, Mobile-ID un nacionālo elektronisko identitāti, lai droši piekļūtu digitālajiem pakalpojumiem. Baltijas valstīs nākamais solis jau tika sperts arī atribūtu verifikācijā, izmantojot Authentigate, SK ID Solutions risinājumu, kas ļauj apliecināt nepieciešamo informāciju, neatklājot vairāk personas datu, nekā konkrētajā situācijā vajadzīgs.

Nākotne pieder digitālajai identitātei un privātai, kontrolētai personas datu izpaušanai, proti, iespējai apliecināt nepieciešamo atribūtu, nevis nodot pakalpojuma sniedzējam visu savu identitāti vai liekus personas datus. ES Digitālās identitātes maks šo principu attīstīs vēl tālāk, ļaujot vienuviet pārvaldīt identitātes datus un apliecināt, piemēram, vecumu, vadītāja tiesības, kvalifikāciju vai citus atribūtus. Tāpēc digitālā identitāte būs viens no būtiskākajiem digitālās vides attīstības virzieniem: tā pakāpeniski aizstās uz parolēm balstītu autentifikāciju un radīs vidi, kurā cilvēks pats kontrolē, kādus datus, kam un kādam nolūkam atklāj. Ieguvēji būs tie pakalpojumu sniedzēji, kuri šo virzienu apzinās un sāk tam gatavoties jau šodien.

Autore ir SK ID Solutions Latvijas filiāles vadītāja.