Většinou je systém autentizace zajištěn proti útokům brute force (hrubou silou), nebo útokům využívajících dictionary (slovníky). Ale proč by se měl neoprávněný uživatel namáhat s tvrdým útokem určení hesla zkoušejícím miliony možných kombinací znaků, když je daleko rychlejší použít logiku a odvodit heslo se znalostí jeho držitele.
První chybou v používání hesel je nezměnění hesla vytvořeného systémem nebo správcem sytému. Minimálně v polovině případů si uživatel ponechá heslo vytvořené správcem systému nebo systémem samotným. Proto pokud víte, jaké systém standardně vytváří uživatele a jejich hesla, znáte první způsob, jak proniknout do IS. Typickým příkladem generovaných hesel je systémem Oracle, který vytváří uživatele systém s heslem manager a uživatele sys s heslem change_on_install. Ale i hesla vytvořená správcem systému jsou slabinou, protože je většinou generuje podle svého standardního klíče. Takže pokud jste od administrátora systému právě obdrželi své heslo, určitě z něho odvodíte i hesla všech vašich kolegů a možná i administrátora sytému.
Druhý způsob určení hesla vychází z odvození hesla ze znalosti uživatele. Často užívaná hesla bývají jméno uživatele, případně manželky, milenky nebo psa, podle toho, koho má zrovna nejraději. V případě nezamilovaného uživatele to může být i název oblíbeného alkoholu, nebo jadrná nadávka.
Některý systém vyžaduje složitější hesla. Dlouhé, alespoň šest znaků, aby obsahovalo velká i malá písmena, číslice, a nějaký speciální znak, pak najdete toto heslo napsané v blízkosti počítače uživatele. Stačí se podívat, zda nebude napsané se zespoda na klávesnici, vedle počítače na stěně místnosti a není výjimkou ani heslo napsané na krytu monitoru, asi aby se neoprávněnému uživateli lépe četlo.
Častou chybou je též používání stejného hesla pro všechny používané aplikace. Jestliže si neoprávněný uživatel zjistí heslo z méně zabezpečeného sytému, dostane se pak do všech vámi používaných aplikací. Proto nepoužívejte stejná hesla pro zabezpečení dokumentů v MS Office i pro vstupy do aplikací!
Speciálním případem jsou administrátorská hesla. Mají to být ta nejsložitější hesla vůbec. Opak je pravdou, protože tato hesla mezi sebou sdílí několik uživatelů, zná je většinou každý zaměstnanec ve vašem podniku. Proto se ptejte kolegů! Oblíbená hesla správců jsou zejména názvy výrobců výpočetní techniky, počítačů, nebo tiskáren a hesla skládající se z po sobě jdoucích číslic (1234..).
Většinou nepomáhá ani nastavit v systému určení platnosti hesla a jeho vynucená změna. Lidé nemají rádi změny a dávají si stále stejná hesla, proto pokud to systém umožňuje, je dobré zakázat používání stávajícího hesla po vypršení jeho platnosti na minimálně jeden měsíc.
A jak tedy autentizačně zabezpečit IS ? Nejdůležitější úkol je stálé proškolování zaměstnanců o dodržování bezpečnostních pravidel při používání IS. Je to základní předpoklad, jak nepřijít o data. A nepřijde to tak draho jako investice do silných autentiazačních mechanismů, jakými jsou různá biometrická zařízení, která rozpoznávají unikátní fyzické charakteristiky uživatele. Jistou možností je autentizace uživatele na základě používání předmětů, které má ve vlastnictví jen této uživatel. Těchto předmětů se již používá celá řada a jsou zaváděny ve většině západních firem, ale dokud si uživatel bude myslet, že je rozdíl v přístupu k IS a přístupu k jeho bankovnímu kontu, nebude IS nikdy dokonale bezpečný.
