Политика паролей популярных сайтов оставляет потребителей доступными

После того, как ошибка Heartbleed была обнаружена в начале этого года, администраторы веб-сайтов попытались исправить уязвимый компонент, который позволял мошенникам захватывать куски памяти с защищенных серверов. Поскольку эти блоки могут легко содержать имена пользователей и пароли, многие сайты уведомляют пользователей об обновлении своих паролей после исправления. Тем не менее, отчет о безопасности от создателей популярного менеджера паролей Dashlane показывает, что большинство сайтов имеют гораздо больше работы над своими собственными политиками паролей.

Методика испытаний

Исследователи Dashlane проанализировали политики паролей более чем 80 популярных веб-сайтов, начисляя баллы за политики, улучшающие безопасность, и вычитая баллы за рискованные политики. Например, сайт, который отправляет электронное письмо с подтверждением после смены пароля, зарабатывает 10 баллов, а сайт, уведомление которого содержит пароль в виде простого текста, теряет 30 баллов. Сайт, который принимает пароли из трех символов или короче, теряет 5 баллов; тот, который требует не менее восьми символов, получает 20 очков.

Возможный диапазон баллов варьируется от идеальных 100 баллов до мрачных -100 баллов. Dashlane считает сайт достаточно безопасным, если он заработал не менее 50 баллов. Только 14 процентов опрошенных сайтов справились с этой задачей, а 53 процента получили отрицательные оценки.

Плохие пароли

Если политики паролей сайта не принуждают себя к успеху, многие люди все еще используют ужасные пароли, такие как «пароль», «123456» и «qwerty». Дашлейн определила десять худших нарушителей и оценила каждый сайт на 2, 5 балла за каждое принятое. Более 40 процентов сайтов приняли все десять. Горстка заблокировала почти все, но споткнулась о «abc123».

1800Flowers.com, Fab.com и Match.com имеют незавидное различие в том, чтобы принимать пароли размером не более одного символа. BestBuy.com был единственным опрошенным сайтом, на котором требуется десять или более символов.

Лучшие и худшие

Только веб-сайт Apple заработал 100 баллов. Microsoft Windows Live набрала 85 баллов, UPS и Microsoft Store заработали 75 баллов. Таргет и «Лаборатория Касперского» набрали 70 баллов. Обратите внимание, что это очень конкретно относится к политикам паролей на веб-сайте Kaspersky и не имеет ничего общего с программным обеспечением безопасности компании.

В поисках любви? Будем надеяться, что вы не используете свой пароль Match.com на других сайтах. С -70 баллами Match.com удалось набрать наименьшее количество баллов среди всех протестированных сайтов. Hulu и Overstock набрали -55, Fab - -50, а несколько сайтов, в том числе US Airways и Amazon - -45.

Средний балл среди всех протестированных сайтов был на волосок ниже нуля, но средний по категориям сильно отличался. Знакомства, путешествия и безопасность в среднем набрали -23, -17 и -5 баллов соответственно. Электронная коммерция, социальные и производительные программы получили положительные оценки в 3, 12 и 13 баллов соответственно. (Привет, охранные компании; работайте на своих сайтах!)

Политики влияют на пароли

Возможно, самый интересный результат был получен путем перекрестных ссылок на оценки политики паролей со средней надежностью паролей на каждом сайте. С разрешения пользователей Dashlane собирает и объединяет неличные данные на основании паролей каждого пользователя. (Не сами пароли! Только рейтинг надежности.) Неудивительно, что между двумя показателями существует сильная корреляция.

Вы можете просмотреть полный отчет, включая точные сведения о методологии тестирования и рекомендации Dashlane для сайтов с низкими оценками, по адресу www.dashlane.com/securityroundup. Нажмите на инфографику ниже, чтобы увеличить изображение.