Beskytte informasjon med et passord

I dag er passordet det mest akseptable og derfor det mest brukte autentiseringsmiddelet basert på kunnskap om tilgangsemnene.

I ethvert kritisk system er menneskelige operatørfeil de klart mest kostbare og vanlige. Når det gjelder kryptosystemer, opphever uprofesjonelle brukerhandlinger den sterkeste kryptoalgoritmen og dens mest korrekte implementering og anvendelse.

Dette skyldes først og fremst valg av passord. Det er klart at korte eller meningsfulle passord er enkle å huske for mennesker, men mye lettere å knekke. Bruken av lange og meningsløse passord er absolutt bedre med tanke på kryptografisk styrke, men en person kan vanligvis ikke huske dem og skriver dem ned på et stykke papir, som deretter enten går tapt eller faller i hendene på en inntrenger. Nettopp fordi uerfarne brukere vanligvis velger enten korte eller meningsfulle passord, er det to metoder for å bryte dem: brute-force angrep og ordbokangrep.

Sikkerheten til et passord når du gjetter det avhenger generelt av hastigheten på passordkontrollen og størrelsen på hele settet med mulige passord, som igjen avhenger av lengden på passordet og størrelsen på det brukte alfabetet av karakterer. Dessuten er sikkerheten sterkt påvirket av implementeringen av passordbeskyttelse.

Med økningen i datakraft er det mye mer sannsynlig at brute-force-angrep vil lykkes enn før. I tillegg brukes distribuert databehandling aktivt, d.v.s. jevn fordeling av oppgaven til et stort antall maskiner som jobber parallelt. Dette lar deg redusere innkjøringstiden betraktelig.

La oss imidlertid gå tilbake for noen år siden, da det ikke var nok datakraft til å brute force alle passord. Likevel oppfant hackere en smart metode basert på det faktum at en person velger et eksisterende ord eller informasjon om seg selv eller sine bekjente som passord (navn, fødselsdato, etc.). Vel, siden det ikke er mer enn 100 000 ord på noe språk, vil det ta svært kort tid å søke i dem, og fra 40 til 80 % av eksisterende passord kan gjettes ved å bruke et enkelt opplegg kalt et "ordbokangrep". Forresten, opptil 80 % av disse passordene kan gjettes ved å bruke en ordbok så liten som 1000 ord!

Selv om brukere i dag allerede forstår at det er umulig å velge slike passord, ser det ut til at datasikkerhetseksperter aldri vil vente på at så enkle og behagelige passord som 34jX skal brukes. [e-postbeskyttet] Ta! 6 ;). Derfor jukser selv en sofistikert bruker og velger passord som hope1, user1997, PAsSwOrD, toor, roottoor, rago1, gfhjkm, asхz. Det kan sees at alle av dem, som regel, er basert på et meningsfylt ord og en enkel regel for transformasjon: legg til et tall, legg til et år, oversett gjennom en bokstav til et annet register, skriv ned ordet i omvendt rekkefølge, legg til et ord skrevet omvendt, skriv ned det russiske ordet med latinske bokstaver, skriv russisk et ord på et tastatur med latinsk layout, lag et passord fra tastene på tastaturet, osv.

Derfor bør man ikke bli overrasket om et så "vanskelig" passord blir oppdaget av hackere - de er ikke dummere enn brukerne selv, og har allerede satt inn i programmene reglene som ord kan konverteres etter. I de mest "avanserte" programmene (John The Ripper, Password Cracking library) kan disse reglene programmeres og settes ved hjelp av et spesielt språk av hackeren selv.

La oss gi et eksempel på effektiviteten til en slik oppregningsstrategi. Mange bøker om sikkerhet foreslår å velge to meningsfulle ord atskilt med et tegn (for eksempel bra! Passord) som et sterkt passord. La oss beregne hvor lang tid det i gjennomsnitt tar å bryte slike passord hvis en slik regel er inkludert i crackerens sett (la en ordbok på 10 000 ord, skilletegn kan være 10 tall og 32 skilletegn og spesialtegn, en maskin i Pentium-klassen med en hastighet på 15 000 passord / sek. ):
10 000 * (32 + 10) * 10 000/15 000 * 2 = 140 000 sekunder eller mindre enn 1,5 dager!

Jo lengre passordet er, desto mer sikkerhet vil systemet gi, siden det vil kreve mye arbeid å gjette det. Dette kan tenkes i form av forventet passordavsløringstid eller forventet sikkerhetstid. Den forventede sikre tiden (T b) er halvparten av produktet av antall mulige passord og tiden det tar å prøve hvert passord i rekkefølgen av ledetekster. La oss representere dette i form av en formel:

hvor t er tiden som kreves for å prøve å skrive inn et passord, lik E / R; E - antall tegn i den overførte meldingen når du prøver å få tilgang (inkludert passord og tjenestetegn); R er overføringshastigheten (symboler / min) i kommunikasjonslinjen; S - passordlengde; A er antall tegn i alfabetet som passordet er satt sammen av. Hvis det automatisk gis en ti sekunders forsinkelse etter hvert mislykket forsøk på plukking, øker sikkerhetstiden dramatisk.

Derfor, når du bruker passordbasert autentisering av et sikkert system, må følgende regler følges:

a) passord på mindre enn 6-8 tegn er ikke tillatt;

b) passord bør verifiseres av passende kontroller;

c) passordsymboler skal ikke vises eksplisitt når de skrives inn;

d) etter å ha skrevet inn riktig passord, vises informasjon om siste pålogging til systemet;

e) antall forsøk på å angi et passord er begrenset;

f) en tidsforsinkelse innføres hvis passordet er feil;

g) når de overføres over kommunikasjonskanaler, må passord være kryptert;

h) passord bør lagres i minnet kun i kryptert form i filer utilgjengelige for brukere;

i) brukeren skal kunne endre passordet selv;

j) administratoren trenger ikke å vite brukerpassord, selv om han kan endre dem;

k) passord bør endres med jevne mellomrom;

l) utløpsdatoen for passord er satt, hvoretter det er nødvendig å kontakte administratoren.

De aller fleste operativsystemer bruker et brukernavn og passord for å identifisere og autentisere brukere. For identifikasjon må brukeren skrive inn navnet sitt, og for autentisering, angi et passord - en tekststreng som bare er kjent for ham. Brukernavnet tildeles vanligvis av systemadministratoren.

Identifikasjons- og autentiseringsprosedyren ved hjelp av brukernavn og passord er ekstremt enkel. Brukeren skriver inn et navn og passord fra tastaturet, operativsystemet søker i brukerlisten etter en oppføring relatert til den brukeren, og sammenligner passordet som er lagret i brukerlisten med passordet som er skrevet inn av brukeren. Hvis en oppføring for en pålogget bruker finnes i brukerlisten og passordet i denne oppføringen samsvarer med det angitte passordet, anses identifikasjon og autentisering som vellykket og brukerautorisasjon begynner. Ellers nektes brukeren tilgang og kan ikke jobbe med operativsystemet før han er identifisert og autentisert. Hvis en bruker blir identifisert og autentisert under brukerens påloggingsprosess til en ekstern server, sendes brukerens navn og passord over nettverket (vanligvis kryptert).

For å sikre pålitelig beskyttelse av operativsystemet, bør passordet til hver bruker bare være kjent for denne brukeren og for ingen andre, inkludert systemadministratorer. Ved første øyekast påvirker ikke det faktum at administratoren kjenner passordet til en bestemt bruker negativt sikkerheten til systemet, siden administratoren, som logger på systemet som en vanlig bruker, mottar rettigheter som er mindre enn de han vil motta. ved å logge inn på systemet på egne vegne. Men ved å logge inn på systemet på vegne av en annen bruker, får administratoren muligheten til å omgå revisjonssystemet, samt iverksette handlinger som kompromitterer denne brukeren, noe som er uakseptabelt i et beskyttet system.

Av ovenstående følger det at brukerpassord ikke skal lagres i operativsystemet i klartekst. Siden systemadministratoren for å kunne utføre sine oppgaver må ha tilgang til brukerlisten (dette er for eksempel nødvendig for å registrere nye brukere), så får administratoren tilgang til dem hvis passordene er lagret der åpent. Dermed kan administratoren logge på systemet på vegne av enhver registrert bruker.

Vanligvis, for å kryptere passord i brukerlisten, brukes en av de velkjente kryptografisk sterke hash-funksjonene - en lettlest funksjon f, som funksjonen f1 (eventuelt tvetydig) ikke kan beregnes for i rimelig tid. Listen over brukere lagrer ikke selve passordet, men bildet av passordet, som er resultatet av å bruke en hash-funksjon på passordet. Den ensrettede karakteren til hash-funksjonen tillater ikke gjenoppretting av passordet fra bildet av passordet, men den tillater, ved å beregne hash-funksjonen, å få et bilde av passordet som er lagt inn av brukeren og dermed kontrollere riktigheten av passordet som er skrevet inn . I det enkleste tilfellet brukes resultatet av å kryptere en konstant på passordet som en hash-funksjon.

Hash-funksjonen som brukes til å generere passordbilder må være kryptografisk sterk. Faktum er at det er praktisk talt umulig å sikre at passordbilder holdes hemmelige for alle brukere av systemet. Operativsystemadministratoren, ved å bruke sine privilegier, kan enkelt lese passordbildene fra filen eller databasen de er lagret i. Under nettverksbrukerautentisering på serveren overføres passordbildet over åpne kommunikasjonskanaler og kan fanges opp av hvilken som helst nettverksmonitor. Hvis en angriper, som kjenner verdien av hash-funksjonen (bildet av brukerens passord), innen rimelig tid kan finne funksjonsargumentet som tilsvarer denne verdien (brukerens passord eller tilsvarende passord), kan det ikke være noen tvil informasjonsbeskyttelse i operativsystemet. Dette betyr ikke at passordbilder skal være offentlig tilgjengelige. Lagring av passordbilder i en fil eller database som bare systemprosesser har tilgang til, skaper et ekstra beskyttelseslag.

Prosedyren for å generere et passordbilde må nødvendigvis delta markant- et tilfeldig generert tall eller streng lagret i klartekst sammen med passordbildet. Dette er nødvendig for at forskjellige bilder skal tilsvare de samme passordene. Ellers kan en angriper utføre en rekke angrep på operativsystemet, hvorav det farligste er som følger.

En angriper tar en elektronisk ordbok og genererer for hvert ord fra denne ordboken nøyaktig samme hash-funksjon som brukes til å generere et passordbilde. Ordene og deres tilhørende hash-funksjoner lagres i databasen. Etter å ha fanget opp et passordbilde av en bestemt bruker, søker angriperen denne databasen etter et ord som samsvarer med passordbildet som fanges opp. Dette er det ønskede passordet (eller passordet tilsvarende det ønskede). Sannsynligheten for å lykkes med å få et passord fra et bilde kan gjøres vilkårlig høy - alt du trenger å gjøre er å ha en tilstrekkelig stor ordbok. Samtidig, for å fylle på ordboken, trenger ikke en angriper å ha tilgang til det angrepne operativsystemet. Dessuten kan en angriper lagre ordboken utenfor det angrepne systemet, for eksempel på sin hjemmedatamaskin. Dette angrepet kan bare utføres når de samme passordene samsvarer med de samme passordbildene. Hvis et token brukes til å generere et passordbilde, er dette angrepet umulig.

Hvis brukeren som logger på systemet har skrevet inn brukernavnet eller passordet feil, skal operativsystemet gi ham en feilmelding uten å angi hvilken informasjon som er feil. Ellers er passordgjetting betraktelig forenklet.

Når passord brukes til å autentisere brukere, er det to hovedtrusler mot operativsystemets autentiseringsundersystem - passordtyveri og passordgjetting.

For å gi pålitelig beskyttelse mot passordtyveri, må operativsystemets sikkerhetsdelsystem oppfylle følgende krav:

Passordet angitt av brukeren vises ikke på dataskjermen;

Det er ikke tillatt å skrive inn et passord fra kommandolinjen.

I tillegg bør brukere av operativsystemet instrueres om:

Behovet for å holde passordet hemmelig for andre brukere, inkludert operativsystemadministratorer;

Behovet for å umiddelbart endre passordet etter at det har blitt kompromittert;

Behovet for å endre passordet regelmessig;

Det er ikke tillatt å skrive passordet på papir eller i en fil.

Når det gjelder passordgjetting, bør du vurdere metodene for passordgjetting mer detaljert før du går videre til beskrivelsen av beskyttelsesmidlene mot denne trusselen.

3.2.1. Metoder for gjette passord

Det er følgende metoder for å gjette brukerpassord.

1. Overkill. I dette tilfellet vil angriperen sekvensielt prøve alle mulige passordvarianter. Hvis passordet er lengre enn fire til seks tegn, er denne metoden helt ineffektiv.

2. Et brute-force-søk, optimalisert i henhold til statistikken over forekomsten av symboler. Ulike tegn vises i brukerpassord med forskjellige sannsynligheter. For eksempel er sannsynligheten for at bokstaven "a" vises i brukerens passord mye høyere enn sannsynligheten for at tegnet "A" er tilstede i passordet. I følge ulike studier er statistikken over forekomsten av tegn i passordalfabetet nær statistikken over forekomsten av tegn i naturlig språk.

I praktisk anvendelse av denne metoden prøver angriperen først passord som består av de hyppigst opptrådte tegnene, på grunn av dette reduseres søketiden betydelig. Noen ganger, når du gjetter passord, brukes ikke bare statistikken over forekomsten av tegn, men også statistikken over forekomsten av bigrammer og trigrammer - kombinasjoner av henholdsvis to og tre påfølgende tegn.

Mange programmer er skrevet for å gjette passord ved å bruke denne metoden til forskjellige tider. Noen av dem leverer vekselvis forskjellige passordvarianter til inngangen til operativsystemets autentiseringsdelsystem, mens andre tester passordvariantene ved å generere en hash-funksjon og deretter sammenligne den med et kjent passordbilde. I det første tilfellet bestemmes hastigheten på å gjette passordet av ytelsen til operativsystemet. I det andre tilfellet varierer gjennomsnittstiden for å gjette et passord på 6-8 tegn, som ikke inkluderer verken tall eller skilletegn, fra flere titalls sekunder til flere timer, avhengig av datamaskinens datakraft og effektiviteten til implementeringen av hash-funksjonsgenereringsalgoritmen i passordvelgeren.

3. Et brute-force-søk, optimalisert ved hjelp av ordbøker. I de fleste tilfeller er brukerpassord engelske eller russiske ord. Fordi det er mye lettere for en bruker å huske et meningsfylt ord enn en meningsløs sekvens av tegn, har brukere en tendens til å bruke meningsfulle ord som passord. Samtidig reduseres antallet mulige passordvarianter kraftig. Faktisk inneholder det engelske språket bare rundt 100 000 ord (ikke medregnet vitenskapelige, tekniske, medisinske og andre termer), som er 6,5 ganger mindre enn alle kombinasjonene av fire engelske bokstaver.

Når du bruker denne metoden for å gjette passord, vil angriperen først prøve som passord alle ord fra ordboken som inneholder de mest sannsynlige passordene. En angriper kan kompilere en slik ordbok selv, eller han kan ta den, for eksempel på Internett, hvor det er et stort antall slike ordbøker tilpasset forskjellige land i verden. Hvis passordet for å gjette ikke finnes i ordboken, vil angriperen prøve alle mulige kombinasjoner av ord fra ordboken, ord fra ordboken med en eller flere bokstaver, tall og skilletegn lagt til i begynnelsen og/eller slutten, osv. .

Vanligvis brukes denne metoden i kombinasjon med den forrige.

4. Passordgjetting ved hjelp av brukerkunnskap... Som nevnt ovenfor prøver brukere å bruke passord som er enkle å huske. Mange brukere, for ikke å glemme passordet, velger fornavn, etternavn, fødselsdato, telefonnummer, bilnummer osv. som passord. I dette tilfellet, hvis angriperen kjenner brukeren godt, trenger han vanligvis bare 10-20 tester.

5. Valg av passordbilde. Hvis undersystemet for autentisering av operativsystemet er utformet på en slik måte at passordbildet er betydelig kortere enn selve passordet, kan en angriper ikke gjette passordet, men bildet. Men i dette tilfellet må angriperen, etter å ha plukket opp passordbildet, skaffe selve passordet som samsvarer med det valgte bildet, og dette er bare mulig hvis hash-funksjonen som brukes i systemet ikke har tilstrekkelig styrke.

3.2.2. Beskyttelse mot kompromitterte passord

Vi vil si at et passord ble kompromittert hvis en brukers passord ble kjent for en annen bruker. Kompromittering kan oppstå som et resultat av enten brukeruaktsomhet eller tyveri eller brute-force angrep på et passord. Det finnes en rekke metoder som noe kan redusere trusselen om kompromitterte brukerpassord, noen av dem skal vi nå se nærmere på.

1. Begrense passordets utløpsdato. Når du bruker denne metoden, er hver bruker av operativsystemet forpliktet til å endre passordet med jevne mellomrom. Det anbefales å begrense den maksimale passordets gyldighetsperiode til 30-60 dager. Svakere restriksjoner gir ikke ønsket effekt, og bruk av sterkere restriksjoner øker dramatisk sannsynligheten for at brukeren glemmer passordet sitt. Etter at passordet er utløpt, må brukeren endre passordet sitt innen en tid (vanligvis 1-2 dager) etter første pålogging etter denne perioden. Hvis brukeren ikke har endret passordet innen den tildelte tiden, forbyr operativsystemet ham å logge på inntil systemadministratoren uttrykkelig tillater det.

Passordets gyldighetsperiode bør begrenses ikke bare fra toppen, men også fra bunnen. Ellers kan brukeren, etter å ha endret passordet, umiddelbart gå tilbake til det gamle passordet ved å endre passordet på nytt.

Det er også tilrådelig å sjekke det unike ved det nye passordet hver gang passordet endres. For å gjøre dette må operativsystemet lagre ikke bare et bilde av brukerens nåværende passord, men også bilder av de siste 5-10 passordene som ble brukt.

2. Restriksjoner på passordets innhold. Denne metoden betyr at brukeren kan velge som passord ikke en vilkårlig tegnstreng, men kun en streng som oppfyller visse betingelser. Følgende betingelser er ofte brukt:

- lengden på passordet må ikke være mindre enn et visst antall tegn; i litteraturen om datasikkerhet og i dokumentasjonen om operativsystemer anbefales det vanligvis å forby bruk av passord kortere enn 6-8 tegn, men tatt i betraktning den raske utviklingen av datateknologi, er det for øyeblikket tilrådelig å begrense lengden av passord til 10-14 tegn;

- passordet må inneholde minst 5-7 forskjellige tegn;

- passordet må inneholde både små og store bokstaver;

- brukerens passord må ikke falle sammen med navnet hans;

- passordet skal ikke være til stede i listen over "dårlige" passord som er lagret i systemet.

Operativsystemadministratorer kan som regel variere disse begrensningene både innenfor hele operativsystemet og for individuelle brukere. For eksempel, hvis et brukernavn brukes for en gjestepålogging, er det upraktisk å sette begrensninger på passordet som brukes.

Når du velger passordrestriksjoner, husk at hvis passordrestriksjonene er for sterke, vil det være vanskelig for brukere å huske passordene sine.

3. Klemmeblokkering. Ved bruk av denne metoden, hvis brukeren gjør en feil flere ganger på rad når han skriver inn navn og passord, blokkeres terminalen som brukeren logger inn fra, og brukeren kan ikke fortsette ytterligere forsøk på å logge på. Parametrene til denne metoden er:

- det maksimale antallet mislykkede forsøk på å komme inn i systemet fra en terminal;

- tidsintervall hvoretter telleren for mislykkede påloggingsforsøk tilbakestilles;

- varighet for terminalblokkering (kan gjøres ubegrenset i dette tilfellet kan terminalblokkering bare fjernes av systemadministrator).

4. Blokkering av brukeren. Denne metoden skiller seg fra den forrige bare ved at det ikke er terminalen som brukeren logger på systemet fra som er blokkert, men brukerkontoen.

5. Generering av passord av operativsystemet. I dette tilfellet kan brukere ikke selvstendig finne opp passord for seg selv - operativsystemet gjør det for dem. Når brukeren trenger å endre passordet, skriver han inn riktig kommando og mottar et nytt passord fra operativsystemet. Hvis det foreslåtte passordalternativet ikke passer brukeren, kan han be operativsystemet om et annet alternativ. Den største fordelen med denne metoden er at operativsystemet genererer passord tilfeldig, og det er nesten umulig å gjette slike passord. På den annen side er slike passord vanligvis vanskelige å huske, og tvinger brukerne til å skrive dem ned på papir. Hvis dette ikke er en trussel mot sikkerheten til systemet (for eksempel hvis brukeren kun logger på systemet over Internett fra sin hjemmedatamaskin), er denne autentiseringsmodellen nær ideell. Ellers er det upraktisk å bruke det.

6. Passord og tilbakekall. Ved bruk av denne autentiseringsordningen, når en bruker logger på systemet, gir operativsystemet ham et tilfeldig nummer eller en streng som brukeren må gi korrekt tilbakemelding på. Faktisk er passordet parametrene til algoritmen for å konvertere operativsystemforespørselen til et riktig brukersvar. Disse parameterne velges tilfeldig av operativsystemet for hver bruker, noe som effektivt reduserer denne autentiseringsordningen til den forrige.

7. Engangspassord. I dette tilfellet endres brukerens passord automatisk etter hver vellykket pålogging. Denne autentiseringsordningen beskytter pålitelig mot brute-force-passord, for selv om en angriper har brute-force et bestemt passord, vil han kun kunne bruke det én gang. I tillegg vil en bruker hvis passord har blitt kompromittert, ikke kunne logge på systemet neste gang fordi han vil prøve å skrive inn det forrige passordet som allerede er brukt av angriperen. Ulempen med denne ordningen er at det er nesten umulig å huske mange stadig skiftende passord. I tillegg «går brukere seg seg vill» ved å prøve å skrive inn et passord når de logger på systemet, som er utdatert eller ennå ikke har trådt i kraft. På grunn av disse og noen andre mangler blir denne ordningen praktisk talt ikke brukt i praksis.

Noen av de oppførte metodene kan brukes i kombinasjon.

En av de vanlige autentiseringsordningene er enkel autentisering, som er basert på bruk av tradisjonelle gjenbrukbare passord mens man forhandler om hvordan det skal brukes og behandles. Gjenbrukbar passordautentisering er et enkelt og greit eksempel på bruk av delt informasjon. Mens i de fleste sikre virtuelle nettverk VPN (Virtual Private Network), tillates klienttilgang til serveren ved å bruke et passord.

Gjenbrukbar passordbasert autentisering. Det grunnleggende prinsippet for "single sign-on" forutsetter tilstrekkeligheten av et engangspass av brukeren av autentiseringsprosedyren for å få tilgang til alle nettverksressurser. Derfor, i moderne operativsystemer, tilbys en sentralisert autentiseringstjeneste, som utføres av en av nettverksserverne og bruker en database for sitt arbeid. Denne databasen lagrer påloggingsinformasjonen til nettverksbrukere. Disse legitimasjonene inkluderer bruker-IDer og passord sammen med annen informasjon.

I det enkle autentiseringsskjemaet kan passordet og bruker-IDen overføres på følgende måter:

· I ukryptert form; for eksempel, i henhold til Password Authentication Protocol (PAP), overføres passord over kommunikasjonslinjen i en åpen, ubeskyttet form;

· I beskyttet form; alle overførte data (bruker-ID og passord, tilfeldig antall og tidsstempler) er beskyttet av kryptering eller en enveisfunksjon.

Det er åpenbart at muligheten for autentisering med overføring av brukerens passord i ukryptert form ikke garanterer selv et minimumsnivå av sikkerhet, siden det er utsatt for mange angrep og lett kompromitteres. For å beskytte passordet ditt må det krypteres før det sendes over en usikret kanal. For å gjøre dette inkluderer ordningen kryptering EK og dekryptering DK, kontrollert av en delt hemmelig nøkkel K. Brukerautentisering er basert på en sammenligning av PA-passordet sendt av brukeren og den opprinnelige PA-verdien "lagret på autentiseringsserveren. PA og PA"-verdier samsvarer, da anses PA-passordet som ekte og bruker A er legitimt.

Ordningene for å organisere enkel autentisering er forskjellige ikke bare i metodene for overføring av passord, men også i typene lagring og verifisering. Den vanligste måten er å lagre brukerpassord i klartekst i systemfiler, og lese- og skrivebeskyttelsesattributter settes på disse filene (for eksempel ved å beskrive de tilsvarende privilegiene i operativsystemets tilgangskontrolllister). Systemet matcher passordet som er angitt av brukeren med passordet som er lagret i filen. Denne metoden bruker ikke kryptografiske mekanismer som kryptering eller enveisfunksjoner. Den åpenbare ulempen med denne metoden er muligheten for en angriper til å få administratorrettigheter i systemet, inkludert tilgangsrettigheter til systemfiler og spesielt til passordfilen.

Fra et sikkerhetssynspunkt er den foretrukne metoden for overføring og lagring av passord å bruke enveisfunksjoner. Vanligvis brukes en av de velkjente kryptografisk sterke hash-funksjonene til å kryptere passord i listen over brukere. Listen over brukere lagrer ikke selve passordet, men bildet av passordet, som er resultatet av å bruke en hash-funksjon på passordet.

I det enkleste tilfellet brukes resultatet av å kryptere en konstant på passordet som en hash-funksjon. For eksempel kan enveisfunksjonen h () defineres som følger:

hvor P - brukerpassord, ID - brukeridentifikator;

EP er en krypteringsprosedyre utført med passordet P som nøkkel.

Disse funksjonene er nyttige hvis lengden på passordet og nøkkelen er den samme. I dette tilfellet består autentiseringen av bruker A ved å bruke passordet PA av å sende tilordningen () A h P til autentiseringsserveren og sammenligne den med den tilsvarende h "(PA), som tidligere er beregnet og lagret i autentiseringsserverens database , - Fig. 2.17. Hvis tilordningene h ( PA) og h "(PA) er like, anses brukeren for å være vellykket autentisert.

Ris. 2.17

I praksis består passord bare av noen få tegn for å gjøre det mulig for brukere å huske dem. Korte passord er sårbare for brute-force-angrep. For å forhindre et slikt angrep kan funksjonen h (P) defineres annerledes, for eksempel i følgende form:

hvor K og ID er henholdsvis avsenderens nøkkel og identifikator.

Det er to former for representasjon av objekter som autentiserer en bruker:

· Et eksternt autentiseringsobjekt som ikke tilhører systemet;

· Et internt objekt som tilhører systemet, som informasjon fra et eksternt objekt overføres til.

La oss anta at n brukere er registrert i datasystemet. La det i-te autentiseringsobjektet til den i-te brukeren inneholde to informasjonsfelt:

· IDi - uforanderlig identifikator for den i-te brukeren, som er en analog av navnet og brukes til å identifisere brukeren;

· Ki - brukerautentiseringsinformasjon som kan endres og brukes til autentisering (for eksempel passord Pi = Ki).

Den samlede informasjonen i nøkkelbæreren kan kalles den primære autentiseringsinformasjonen til den i-te brukeren. Det er klart at det interne autentiseringsobjektet ikke skal eksistere i systemet på lenge (mer tid for en spesifikk bruker). For langtidslagring bør data i beskyttet form brukes.

Enkle autentiseringssystemer basert på gjenbrukbare passord er mindre robuste fordi valget av autentiseringsinformasjon kommer fra et relativt lite sett med ord. Utløpsdatoen for et gjenbrukbart passord bør defineres i organisasjonens sikkerhetspolicy, og slike passord bør endres regelmessig. Velg passord slik at de er vanskelige å gjette og ikke finnes i ordboken.

Engangs passordbasert autentisering. Essensen av engangspassordordningen er å bruke forskjellige passord for hver nye forespørsel om tilgang. Det dynamiske engangspassordet er kun gyldig for én pålogging og utløper deretter. Selv om noen fanget det, ville passordet være ubrukelig. Dynamisk passordinnstilling er en av de beste måtene å beskytte autentiseringsprosessen mot trusler utenfor. Vanligvis brukes engafor å autentisere eksterne brukere.

Følgende metoder for å bruke engangspassord for brukerautentisering er kjent:

1) Bruke en tidsstemplingsmekanisme basert på et enhetlig tidssystem.

2) Bruke en liste over tilfeldige passord, felles for en lovlig bruker og en verifikator, og en pålitelig mekanisme for deres synkronisering.

3) Bruke en pseudo-tilfeldig tallgenerator felles for brukeren og verifikatoren, med samme frø.

Engangspassord kan genereres av maskinvare eller programvare. Noen maskinvaretilgangsenheter basert på engangspassord er implementert i form av miniatyrenheter med en innebygd mikroprosessor, som ligner på plastbetalingskort. Slike kort, ofte referert til som nøkler, kan ha et tastatur og en liten skjerm.

Som et eksempel på implementeringen av den første metoden kan du vurdere SecurID-autentiseringsteknologien basert på engangspassord ved bruk av maskinvarenøkler og en tidssynkroniseringsmekanisme. Denne autentiseringsteknologien ble utviklet av Security Dynamics og implementert i kommunikasjonsserverne til en rekke selskaper, spesielt i serverne til Cisco Systems, etc.

Når du bruker dette autentiseringsskjemaet, er det selvfølgelig nødvendig med tett tidssynkronisering av maskinvarenøkkelen og serveren. Siden en dongle kan vare i flere år, er det ganske mulig at serverens interne klokke og dongel kan være ute av synkronisering. For å løse dette problemet bruker Security Dynamics to metoder:

· Under produksjonen av en maskinvarenøkkel blir avviket til frekvensen til dens timer fra nominell målt nøyaktig. Størrelsen på dette avviket tas i betraktning som en parameter for serveralgoritmen;

· Serveren overvåker koder generert av en spesifikk maskinvarenøkkel, og justerer dynamisk til denne nøkkelen om nødvendig.

Det er et annet problem med det tidsbaserte autentiseringsskjemaet. Det tilfeldige tallet generert av dongelen er et gyldig passord for en liten begrenset tidsperiode. Derfor er det i prinsippet mulig med en kortsiktig situasjon når en hacker kan avskjære en PIN-kode og et tilfeldig tall for å bruke dem til å få tilgang til nettverket. Dette er det mest sårbare punktet i det tidssynkroniseringsbaserte autentiseringsskjemaet.

Det finnes andre alternativer for maskinvareimplementering av autentiseringsprosedyren ved å bruke engangspassord, for eksempel utfordring-svar-autentisering. Når en bruker prøver å logge på nettverket, sender autentiseringsserveren ham en forespørsel i form av et tilfeldig nummer. Brukerens dongel krypterer dette tilfeldige tallet ved hjelp av for eksempel DES-algoritmen og brukerens private nøkkel lagret i dongelens minne og i serverens database. En tilfeldig nummer-forespørsel returneres i kryptert form til serveren. Serveren krypterer på sin side også det tilfeldige tallet som genereres av seg selv ved å bruke den samme DES-algoritmen og den samme brukerens private nøkkel hentet fra serverdatabasen. Serveren sammenligner deretter resultatet av krypteringen med nummeret som kom fra maskinvarenøkkelen. Hvis disse tallene stemmer overens, får brukeren tillatelse til å logge på nettverket. Det bør bemerkes at utfordring-respons-autentiseringsskjemaet er mer komplekst å bruke enn det tidssynkroniserte autentiseringsskjemaet.

Den andre metoden for å bruke engangspassord for brukerautentisering er basert på bruken av en liste over tilfeldige passord som er felles for brukeren og verifikatoren, og en pålitelig mekanisme for deres synkronisering. Den delte listen over engangspassord er representert som en sekvens eller sett med hemmelige passord, der hvert passord bare brukes én gang. Denne listen må forhåndstildeles mellom partene i autentiseringsutvekslingen. En variant av denne metoden er å bruke en forespørsel-svar-tabell, som inneholder forespørslene og svarene som brukes av partene for å autentisere, og hvert par må bare brukes én gang.

Den tredje metoden for å bruke engangspassord for brukerautentisering er basert på bruken av en pseudo-tilfeldig tallgenerator, felles for brukeren og verifikatoren, med samme startverdi. Følgende implementeringer av denne metoden er kjent:

· En sekvens av konverterte engangspassord. Under den neste autentiseringsøkten oppretter og overfører brukeren et passord for denne spesielle sesjonen, kryptert ved hjelp av en hemmelig nøkkel hentet fra passordet til forrige økt;

· Passordsekvenser basert på en enveisfunksjon. Essensen av denne metoden er sekvensiell bruk av en enveisfunksjon (det velkjente Lamport-skjemaet). Denne metoden er mer å foretrekke fra et sikkerhetssynspunkt sammenlignet med sekvensiell oversettelse av passord.

En av de vanligste engangs-per den Internett-standardiserte S / Key-protokollen (RFC 1760). Denne protokollen er implementert i mange systemer som krever autentisering av eksterne brukere, spesielt i TACACS+-systemet fra Cisco.

Under passordbetyr en viss sekvens av tegn, holdt hemmelig og presentert når du får tilgang til et datasystem. Passordet skrives vanligvis inn fra tastaturet. Den største fordelen med passordautentisering er enkelhet og fortrolighet. Passord har lenge vært innebygd i operativsystemer og andre tjenester. Når de brukes riktig, kan passord gi et sikkerhetsnivå som er akseptabelt for mange organisasjoner.

Noen ganger holdes ikke passord hemmelig fra begynnelsen, siden de har standardverdier spesifisert i dokumentasjonen, og de endres ikke alltid etter at systemet er installert.

Passordinntasting kan spioneres på. Noen ganger brukes til og med optiske enheter for å titte. Passordet kan gjettes med "brute force" ved å bruke for eksempel en ordbok. Hvis passordfilen er kryptert, men lesbar, kan du laste den ned til datamaskinen din og prøve å gjette passordet ved å programmere et brute-force-angrep (det antas at krypteringsalgoritmen er kjent).

Følgende tiltak kan forbedre påliteligheten til passordbeskyttelsen betydelig:

Påleggelse av tekniske begrensninger (passordet må ikke være for kort, det må inneholde bokstaver, tall, skilletegn osv.);

styring av gyldighetsperioden for passord, deres periodiske endring;

Begrense tilgangen til passordfilen;

Begrensning av antall mislykkede påloggingsforsøk (dette vil gjøre det vanskelig å bruke "brute force"-metoden);

Brukeropplæring;

Bruk av programvarepassordgeneratorer (et slikt program, basert på ikke-komplekse regler, kan bare generere vellydende og derfor minneverdige passord).

Det er alltid tilrådelig å bruke de ovennevnte tiltakene, selv om andre autentiseringsmetoder brukes sammen med passord.

De eksisterende passordautentiseringsmetodene for brukere når de logger på et informasjonssystem kan deles inn i to grupper:

· Autentiseringsmetoder basert på et enkelt passord;

· Autentiseringsmetoder basert på dynamisk endring av passord.

Brukerautentiseringspassordet ved bruk av et enkelt passord endres ikke fra økt til økt i løpet av levetiden angitt av sikkerhetsadministratoren.

Når du bruker et dynamisk skiftende passord, endres brukerens passord for hver nye økt eller ny gyldighetsperiode for ett passord i henhold til reglene avhengig av metoden som brukes.

Ved hjelp av et enkelt passord

Autentiseringsprosedyren med et enkelt passord kan representeres som følgende handlingssekvens:

Brukeren sender en forespørsel om tilgang til datasystemet og skriver inn sin identifikator;

Systemet ber om et passord;

Brukeren skriver inn et passord;

Systemet sammenligner det mottatte passordet med brukerens passord som er lagret i databasen med sikkerhetssystemets referansedata og tillater tilgang dersom passordene samsvarer; ellers har ikke brukeren tilgang til ressursene til datasystemet.

Siden brukeren kan gjøre en feil ved inntasting av passordet, må systemet sørge for det tillatte antallet repetisjoner for å angi passordet.

Passord, som annen informasjon, skal aldri lagres i en referansedatabase i en eksplisitt form, men kun kryptert. I dette tilfellet kan du bruke metoden for både reversibel og irreversibel kryptering.

I henhold til den reversible krypteringsmetoden blir referansepassordet, når det legges inn i referansedatabasen, kryptert med en nøkkel som samsvarer med dette referansepassordet, og brukerens passord som legges inn etter identifikasjon for sammenligning med referansen, krypteres også med en nøkkel som samsvarer med dette oppgitte passordet. Når man sammenligner, er referansen og det angitte passordet kryptert og vil kun samsvare hvis det opprinnelige passordet samsvarer med originalen. Hvis det opprinnelige angitte passordet ikke stemmer overens med den opprinnelige referansen, vil det opprinnelige angitte passordet krypteres annerledes, siden krypteringsnøkkelen er forskjellig fra nøkkelen som krypterte referansepassordet, og etter kryptering ikke vil samsvare med det krypterte referansepassordet.

Følgende hovedmetoder kan skilles for å øke motstanden til beskyttelsessystemet på autentiseringsstadiet:

Øke graden av ikke-trivialitet av passordet;

Øk lengden på passordsekvensen;

Øke forsinkelsestiden mellom tillatte forsøk på å skrive inn feil passord på nytt;

Økte restriksjoner på minimum og maksimum passordets gyldighetstid.

Bruke et dynamisk skiftende passord

Autentiseringsmetoder basert på dynamisk endring av passord gir større sikkerhet, siden frekvensen av passordendringer i dem er maksimal - passordet for hver bruker endres daglig eller etter flere dager. I dette tilfellet endres hvert neste passord i forhold til det forrige i henhold til reglene avhengig av den brukte autentiseringsmetoden.

Det er følgende passordbeskyttelsesmetoder basert på bruk av et passord som endrer seg dynamisk:

Metoder for å endre det enkle passordskjemaet;

Metoder for å identifisere og fastslå autentisiteten til subjekter og ulike objekter;

Forespørsel-svar metode;

Funksjonelle metoder.

De mest effektive av disse metodene er funksjonelle.

Metoder for å endre det enkle passordskjemaet.Metoder for å endre det enkle passordskjemaet inkluderer stikkprøver av passordtegn og engangsbruk av passord. Ved bruk av den første metoden tildeles et tilstrekkelig langt passord til hver bruker, og hver gang brukes ikke hele passordet til identifikasjon, men bare noe av det. Under autentiseringsprosessen ber systemet brukeren om en gruppe tegn med de angitte sekvensnumrene. Antall tegn og deres sekvensnumre for forespørselen bestemmes ved hjelp av en pseudo-tilfeldig tallgenerator. Ved engangsbruk av passord blir en liste over passord tildelt hver bruker. Under forespørselen velges passordnummeret som skal angis sekvensielt i henhold til en liste eller i henhold til et tilfeldig utvalgsskjema. Ulempen med metoder for å endre det enkle passordskjemaet er behovet for brukere å huske lange passord eller lister over dem. Å skrive passord på papir skaper risiko for tap eller tyveri av lagringsmedier med passord skrevet på.

Metoder for å identifisere og fastslå autentisiteten til subjekter og ulike objekter.Ved utveksling av informasjon anbefales det uansett å sørge for gjensidig verifisering av ektheten til autoriteten til objektet eller subjektet. Hvis utvekslingen av informasjon utføres over et nettverk, må prosedyren utføres uten feil. Dette krever at hvert av objektene og emnene tildeles et unikt navn. Hvert av objektene (emnene) må lagre i sitt minne (utilgjengelig for uautoriserte personer) en liste som inneholder navnene på objekter (emner) som de vil utveksle beskyttede data med.

Forespørsel-svar metode.Ved bruk av "request-response"-metoden i informasjonssystemet, opprettes en rekke spørsmål på forhånd og er spesielt beskyttet, inkludert både generelle spørsmål og personlige spørsmål knyttet til en spesifikk bruker, for eksempel spørsmål knyttet til saker som kun er kjent for bruker i livet hans. For å bekrefte autentisiteten til brukeren, stiller systemet ham sekvensielt en rekke tilfeldig utvalgte spørsmål som han må svare på. Identifikasjonen anses som positiv dersom brukeren svarte riktig på alle spørsmålene. Hovedkravet for spørsmål i denne autentiseringsmetoden er unikhet, som betyr at kun brukerne som disse spørsmålene er ment for, vet de riktige svarene på spørsmålene.

Funksjonelle metoder.Blant de funksjonelle metodene er den vanligste metoden for funksjonell passordkonvertering. Den funksjonelle transformasjonsmetoden er basert på bruk av en eller annen funksjonF,som skal oppfylle de fastsatte kravene.

Engangspassord

EngangspassordEr et passord kun gyldig for én øktgodkjenning ... Engangspassordet kan også begrenses til en viss tidsperiode. Fordelen med et engangspassord fremfor et statisk passord er at passordet ikke kan gjenbrukes. Dermed kan ikke en angriper som har fanget opp data fra en vellykket autentiseringsøkt bruke det kopierte passordet for å få tilgang til det beskyttede informasjonssystemet. Bruk av engangspassord i seg selv beskytter ikke mot angrep basert på aktiv interferens med kommunikasjonskanalen som brukes til autentisering (for eksempel angrep som f.eks."Mannen i midten" ).

Engangspassordalgoritmer bruker vanligvis tilfeldige tall. Dette er nødvendig fordi ellers ville det være enkelt å forutsi påfølgende passord basert på kunnskap om de forrige. Tilnærmingene til å lage engangspassord er forskjellige:

· Bruke matematiske algoritmer for å lage et nytt passord basert på tidligere (passord danner faktisk en kjede, og må brukes i en bestemt rekkefølge).

· Basert på tidssynkronisering mellom server og klient som gir passord (passord er gyldige i en kort periode)

· Bruke en matematisk algoritme der det nye passordet er basert på en forespørsel (for eksempel et tilfeldig tall valgt av serveren eller en del av en innkommende melding) og/eller en teller.

Det er også ulike måter å gi brukeren det neste passordet på. Noen systemer bruker spesiell elektronisk tokens som brukeren bærer rundt på, lager engangspassord og viser dem på en liten skjerm. Andre systemer består av programmer som brukeren starter fra en mobiltelefon. Atter andre systemer genererer engangspassord på serveren og sender dem deretter til brukeren ved hjelp av fremmede kanaler, som f.eks. tekstmelding -meldinger. Til slutt, i noen systemer, skrives engangspassord ut på et stykke papir eller skrapelodd som brukeren trenger å ha med seg.

Implementering av engangspassord:

Matematiske algoritmer

Tidssynkronisert - OTP-er er vanligvis assosiert med fysisk maskinvaretokens (for eksempel får hver bruker et personlig token som genererer et engangspassord). En nøyaktig klokke er innebygd i tokenet, som er synkronisert med klokken på serveren. I disse OTP-systemene er tid en viktig del av passordgenereringsalgoritmen, siden genereringen av et nytt passord er basert på gjeldende tidspunkt og ikke på forrige passord eller hemmelige nøkkel.

Spørring - Bruk av engangspassord med en ledetekst krever at brukeren gir tidssynkroniserte ledetekster for at autentisering skal finne sted. Dette kan gjøres ved å injisere en verdi i selve tokenet. For å unngå duplikater slås vanligvis en ekstra teller på, så hvis det skjer to identiske forespørsler, vil det fortsatt resultere i forskjellige engangspassord. Imidlertid inkluderer beregninger vanligvis ikke det forrige engangspassordet, da dette vil synkronisere oppgaver.

Engangspassord via SMS - En vanlig teknologi som brukes til å levere engangspassord ertekstmelding ... Siden SMS er en allestedsnærværende kommunikasjonskanal som er tilgjengelig i alle telefoner og brukes av et stort antall kunder, har SMS-meldinger størst potensial for alle lavpriskunder. Tokens, smartkort og andre tradisjonelle autentiseringsmetoder er mye dyrere å implementere og bruke, og blir ofte møtt med motstand fra forbrukere. De er også mye mer sårbare for angrep som"Mannen i midten" der phishere stjeler OTP-er ved å lure eller til og med fordi OTP-er vises på token-skjermen. Tokens kan også gå tapt og integreringen av engangspassord i mobiltelefoner kan være tryggere og enklere fordi brukere ikke trenger å ha med seg ekstra bærbare enheter. Samtidig kan engangspassord via SMS være mindre sikre ettersom mobiloperatører blir en del av en tillitskjede. Ved roaming må du stole på mer enn én mobiloperatør.

Engangspassord på mobil - Sammenlignet med en maskinvaretokenimplementering som krever at brukeren bærer et enhetstoken med seg, reduserer et token på en mobiltelefon kostnadene dramatisk og tilbyr en enestående bekvemmelighet. Denne løsningen reduserer også logistiske krav da det ikke er behov for å utstede en separat enhet til hver bruker. Mobile tokens som FiveBarGate, FireID eller PROTECTIMUS SMART støtter i tillegg et antall tokens under én applikasjonsinstallasjon, slik at brukeren kan autentisere seg til flere ressurser fra én enhet. Dette alternativet gir også spesifikke applikasjoner for ulike telefonmodeller av brukeren. Tokens i mobiltelefoner er også betydelig sikrere enn engangspassord via SMS, siden SMS sendes over GSM-nettet i tekstformat med mulighet for avlytting.

Organisering av passordbeskyttelse

Instruksjoner for passordbeskyttelse inkluderer:

1. Regler for generering av et personlig passord

2. Tast inn passordet

3. Prosedyre for endring av passord

4. Lagring av passord

5. Ansvar for å organisere passordbeskyttelse

"Rating av 2017: 123456 - leder

Ifølge Bleeping Computer kom eksperter fra det kaliforniske selskapet SplashData (som produserer passordbehandlere, inkludert TeamsID og Gpass) til denne konklusjonen basert på analysen av millioner av passord funnet på Internett som følge av ulike lekkasjer.

"123456" er et veldig svakt passord, men de andre på listen over verste 100 passord i 2017 er ikke bedre. Sportsuttrykk (fotball, baseball, fotball, hockey, Lakers, jordan23, golfer, Rangers, Yankees), bilmerker (Mercedes, Corvette, Ferrari, Harley) og uttrykk (iloveyou, letmein, whatever, blahblah) er veldig populære.

Uansett, de sanne lederne av listen over verste passord er navnene: Robert (# 31), Matthew (# 32), Jordan (# 33), Daniel (# 35), Andrew (# 36), Andrea (# 38), Joshua (# 40), George (# 48), Nicole (# 53), Hunter (# 54), Chelsea (# 62), Phoenix (# 66), Amanda (# 67), Ashley (# 69), Jessica (# 74), Jennifer (# 76), Michelle (# 81), William (# 86), Maggie (# 92), Charlie (# 95) og Martin (# 96).

Topp 25 verste passord i 2017:

1 - 123456 2 - passord 3 - 12345678 4 - qwerty 5 - 12345 6 - 123456789 7 - letmein 8 - 1234567 9 - fotball 10 - iloveyou 11 - admin 12 - innlogging 113 stjerne - monkey 14 14 - 14 16 stjerne - 143 123123 18 - drage 19 - passw0rd 20 - master 21 - hei 22 - frihet 23 - uansett 24 - qazwsx 25 - trustno1

"Vurdering 2016: 123456 - leder

I januar 2017 ble det kjent at 123456 fortsatt er det mest populære passordet i verden. Dette fremgår av en studie publisert av Keeper Security. I følge forskere bruker eller har minst 17 % av Internett-brukere i 2016 brukt dette passordet i den siste tiden.

Temaet for studien var totalt 10 millioner publisert på nettet etter ulike storskala hacks. 123456 rangert først i popularitet. På det andre - det "mer komplekse" passordet 123456789, på det tredje - det "legendariske" qwerty. Også funnet i overflod er 111111, 123123, 123321, google, 987654321 og andre "mest komplekse" kombinasjoner som velges "ved å skrive".

Mens brukerne selv er de første som får skylden for denne ignoreringen av det grunnleggende om sikkerhet, ligger en del av ansvaret hos sideeierne, som ikke forsøker å pålegge strengere passordregler og tillater enkle å gjette eller gjette kombinasjoner.

Det er en annen interessant detalj i Keeper Security-publikasjonen. Listen over de mest populære passordene inkluderer slike kombinasjoner som 18atcskd2w og 3rjs1la7qe. Disse passordene ser tilfeldige ut, men hyppigheten av bruken viser at de ikke er det.

Ifølge forskerne blir disse passordene seriebrukt av roboter for automatisk å registrere nye kontoer i posttjenester. Disse kontoene brukes deretter til spam og phishing.

Mest sannsynlig betyr dette at e-posttjenesteleverandører ikke gjør tilstrekkelig innsats for å bekjempe roboter: identiske "tilfeldige" passord er en klar årsak til alvorlig mistanke.

"Rating" 2015: 123456 - leder

SplashData presenterer de mest brukte passordene hvert år. Selskapet henter ut informasjon fra kilder som "lekker" andres passord til en lang rekke nettsteder på Internett. I 2015 analyserte SplashData 2 millioner forskjellige passord, og sammenlignet resultatene med 2014.

Den første og andre linjen, som i året før, var okkupert av passord "123456" og passord. Den digitale oppringingen "12345678" rykket opp til tredjeplassen, og fortrengte den enklere "12345". Den berømte qwertyen klatret også en plass til fjerde.

Når det gjelder "meningsfulle" passord, forblir navnene på sportene (fotball og baseball) like populære. Også blant «nykommerne» på listen var passordene solo og starwars, som entydig refererer til utgivelsen av oppfølgeren til Star Wars-filmsagaen. De tok henholdsvis 23. og 25. plass i toppen.

"Rating" 2014: 123456 - leder

I september 2014 ble en tekstfil med 1,26 millioner pålogginger og passord for Yandex-kontoer publisert på nettet. Selskapet sier at det ikke er et resultat av et brudd eller lekkasje. Brukere beregnet at passordet "123456" forekommer i filen ca 38 tusen ganger, "123456789" - ca 13 tusen ganger, "111111" - ca 9,5 tusen og "qwerty" - ca 7,7 tusen. Antallet populære passord er også inkludert "7777777", "123321", "000000", "666666" osv.

2013 "rating": 123456 tar ledelsen

I 2013 har ordet «passord» sluttet å være det mest populære passordet blant internettbrukere, ifølge SplashData, som publiserer den årlige listen over de verste passordene Worst Password.

Kombinasjonen av tallene "123456" tok ledelsen fra lederen av de verste passordene, ordet "passord", som falt til andreplass i popularitet. Før det var "passord" på toppen av rangeringen i to år på rad - i 2011 og i 2012.

Tredjeplassen er okkupert av kombinasjonen "12345678". Topp ti inkluderer også følgende passord: "qwerty", "abc123", "123456789", "111111", "1234567", "iloveyou" og "adobe123".

Tilstedeværelsen av passordet "adobe123" i topp ti er assosiert med den største lekkasjen i historien, som et resultat av at dataene til 150 millioner brukere av Photoshop-utvikleren Adobe Systems ble avslørt.

2012 vurdering: Passord er lederen

Trustwaves globale sikkerhetsrapport for 2012 fokuserer på sikkerhetssårbarheter i selskapet. Forfatterne av rapporten undersøkte mer enn 300 hendelser i 18 land som skjedde i 2011.

Rapporten fokuserer på den fortsatte veksten av cyberangrep, samt en økning i antall cyberkriminelle innen informasjonssikkerhet.

De fleste hendelser oppstår som følge av organisatoriske og administrative problemer. Studien fant at 76 % av bruddene skjedde på grunn av sikkerhetssårbarheter i avdelingene som er ansvarlige for systemstøtte og utvikling av selskapet.

Mye av forskningen er viet problemet med å bruke svake passord. Ifølge Trustwave-eksperter skjer 80 % av hendelsene som følge av svake passord. Svake passord fortsetter å være en stor sårbarhet som utnyttes av nettkriminelle i både store og små selskaper.

Faktisk gjør bruken av svake og standard passord det lettere for crackere å trenge gjennom informasjonssystemer. Noen ganger trenger ikke kriminelle sofistikerte, sofistikerte hackingteknikker. Ifølge Trustwave er det mest brukte passordet på nettverket `Password1`. Studien bemerket at bruk av standard passord også er iboende når man arbeider med servere, nettverksutstyr og ulike brukerenheter.

Trustwave gir en liste over de mest brukte passordene i sin forskning. Det engelske ordet `Password` brukes i 5 % av tilfellene, og ordet Welcome i 1,3 % av tilfellene. Det er også verdt å være oppmerksom på bruken av årstider og datoer. Ikke bruk slike passord og deres varianter:

• Passord1
• Velkommen
• 123456
• Vinter 10
• Våren 2010

Et problem er også at mange enheter og applikasjoner brukes med originale standardpassord, som ofte gir fulle tilgangsrettigheter, heter det i studien.

2011 vurdering: Passord er lederen

Har vi nådd passordgrensen?

En studie drevet av Experian, som ble utgitt 3. august 2017, fremhevet et økende generasjonsgap i måten folk administrerer kontoene sine på. Millennials har større risiko for identitetstyveri fordi de prioriterer bekvemmelighet fremfor sikkerhet. Ulike aldersgrupper oppfører seg forskjellig på Internett: noen er klare til å oppleve ulemper, men føler seg beskyttet, andre forsømmer sikkerhetstiltak, ønsker ikke å forlate "komfortsonen".

Experians forskning har nok en gang vist at mennesker fra forskjellige generasjoner har sine egne vaner med å bruke Internett og administrere kontoer, passord og pålogginger, "bemerket Natalia Frolova, Experian Marketing Director i Russland og CIS. – Den yngre generasjonen prioriterer bekvemmelighet og har som regel ikke mer enn 5 unike passord for alle kontoene sine. I tillegg logger slike brukere vanligvis på flere kontoer ved å bruke samme innlogging på sosiale nettverk. Når det er sagt, innser de sannsynligvis ikke at jakten på bekvemmelighet setter deres personlige opplysninger i fare. Det er en rask økning i tyveri av personopplysninger, hvis ofre er representanter for denne spesielle aldersgruppen.

Som statistikken til Hunter-systemet fra Experian viser, øker i Storbritannia hvert år antallet ofre for identitetstyveri blant brukere under 30 år med 5 %, og de som bor på forskjellige typer herberger, der én enhet er konstant tilkoblet til Internett, er spesielt sårbare, flere personer bruker det samtidig. I Storbritannia er denne gruppen rammet av én av tre identitetstyveri.

Den eldre generasjonen valgte den motsatte oppførselslinjen. Representanter for denne kategorien er mye mer sannsynlig å opprette et eget passord for hver konto, og ta vare på databeskyttelse, selv på bekostning av deres bekvemmelighet. En av fire briter rapporterte at de brukte 11 eller flere passord.

Selvfølgelig er en slik mengde informasjon vanskelig å holde i minnet hele tiden, bemerket Experian. Det er ikke overraskende at en betydelig andel av personer over 55 år må gjøre store anstrengelser for å huske registreringsdataene sine. Denne minnebelastningen er et økende problem: 4 av 10 respondenter innrømmet at de må bruke tjenesten med å huske passord for ikke å glemme noe. Stadige påminnelser om at det er bedre å ikke skrive passord, men å huske utenat, øker våkenhet, men øker samtidig stress. Mer enn halvparten (55 %) av respondentene bruker samme passord for flere kontoer.

Experians studie fant også at det er forvirring om hva en konto er – én av tre respondenter (31 %) innrømmet at de ikke visste det, og ytterligere 61 % valgte andre definisjoner. Tre av fem briter (61 %) forstår ikke alltid hva de er enige i ved å krysse av når de registrerer en ny profil på Internett, og hver niende (11 %) forstår aldri dette.

For å forhindre identitetstyveri anbefaler Experian:

• Ikke svar på telefonsamtaler og e-poster fra ukjente personer.
• Lag separate passord for ulike kontoer – spesielt for e-post og nettbank.
• Kom opp med sterke passord som består av tre vilkårlige ord - du kan lage dem ved å legge til tall og symboler, samt bokstaver med store og små bokstaver.
• Når du bruker offentlige Wi-Fi-nettverk, ikke gå til nettsteder der du trenger å angi et passord (for eksempel til banken din, sosiale nettverk og e-post), og ikke skriv inn personlig informasjon som bankkortdetaljer.
• Last alltid ned den nyeste programvaren til telefonen, nettbrettet eller datamaskinen. Dette vil øke beskyttelsen mot skadelig programvare.

Passordtyveri er en stor bedriftsdatasikkerhetsrisiko

Forskning viser at rundt 40 % av alle brukere velger passord som er enkle å gjette automatisk. Lette å gjette passord (123, admin) anses som svake og sårbare. Passord som er svært vanskelige eller umulige å gjette, anses som sikrere. Noen kilder anbefaler å bruke passord generert på sterke MD5, SHA-1-hasher fra vanlige pseudo-tilfeldige sekvenser.

Å stjele passord er en stor bedriftsdatasikkerhetsrisiko. Dette ble advart sommeren 2014 av eksperter fra antivirusselskapet ESET (Slovakia). 76 % av nettverksangrepene på selskaper ble muliggjort av svake eller stjålne passord (Department for Business, Innovation and Skills og PWC). Den gjennomsnittlige skaden fra tap av informasjon avhenger av typen angrep og gjeldende databeskyttelseslovgivning og når € 199 per konto. Samtidig kan ikke slike parametere som nedetid i arbeidet til personell, redusert produktivitet, tap av omdømme og tap av eiendeler, inkludert åndsverk, beregnes (Ponemon Institute: 2013 Cost of Data Breach Study: Global Analysis).

Fokuset til nettkriminelle er på små og mellomstore bedrifter. De er ikke alltid det primære målet, men de er ofte ofre for sikkerhetsbrudd. I følge noen rapporter er 67 % av cyberangrepene rettet mot små selskaper, mens 76 % av angrepene er uplanlagte. 75 % av angrepene blir utført av kriminelle for økonomisk vinning (Verizon Data Breach Report, 2013).

66 % av et selskaps sikkerhetsbrudd kan gå ubemerket hen i månedsvis, og sette bedriftsinformasjon i fare. Blant de vanligste sikkerhetshullene er problemer med passord: 61 % av brukerne bruker samme passord, og 44 % endrer passordet bare én gang i året (CSID Customer Survey: Password Habits 2012).

Passord laget i henhold til grammatikkregler er enkle å knekke

Forskere ved Carnegie Mellon University har utviklet en eksperimentell gjettealgoritme for passord ved hjelp av grammatikkregler og testet effektiviteten på mer enn 1400 passord på 16 eller flere tegn. Omtrent 18 % av disse passordene var sammensatt av flere ord kombinert i henhold til grammatikkregler til en kort setning. Selv om slike passord er lettere å huske, begrenser det å ha en struktur betydelig antall mulige kombinasjoner og gjør det lettere å knekke også, påpeker forskerne.

Lengden på et passord alene kan ikke karakterisere dets styrke. Vanskeligheten med å bryte to passord av samme lengde kan variere med en størrelsesorden, avhengig av deres grammatiske struktur. For eksempel er det færre pronomen i språket enn det er verb, adjektiver og substantiv, og derfor er Shehave3cats-passordet som starter med She mye svakere enn Andyhave3cats som begynner med Andy.

Forskerne tok hensyn til de velkjente mulighetene for å erstatte bokstaver med lignende tall, bytte til store og små bokstaver og legge til tegnsetting på slutten. De forbedrer heller ikke styrken til passord nevneverdig, slik noen hevder, mener forfatterne.

For de fleste nettsteder er det bedre å bruke enkle passord

Vi har alle hørt mer enn én gang at unike og komplekse passord bør bestemmes for enhver konto, ved å bruke et spesielt verktøy for å lagre dem. Forskere fra Microsoft Research konkluderte imidlertid med at denne tilnærmingen kan være feil (data fra sommeren 2014). Ved første øyekast virker de generelt aksepterte anbefalingene ganske logiske.

Ved bruk av lange og komplekse passord for hvert nettsted og tjeneste, bestående av tilfeldige kombinasjoner av tegn, reduseres sannsynligheten for å bryte dem drastisk, og i tilfelle passordkompromittering er det kun én konto som er i fare. Å huske en tilfeldig sekvens på 10-20 tegn er ganske vanskelig, og her kommer passordadministrasjonsverktøy til unnsetning, slik at du kan lagre dem alle på ett sted. Det er enkelt. I praksis ignorerer de fleste komplekse passord, enn si bruker et unikt passord for hver side og tjeneste. Med store lekkasjer ser vi at få mennesker følger de beste passordanbefalingene. Holdningen til passordadministrasjonsverktøy er også veldig skeptisk. Etter å ha glemt passordet for verktøyet, mister du alle passordene dine på en gang, og når det tilsvarende programmet eller tjenesten blir hacket, får angriperen tilgang til all informasjonen din i sin helhet. Derfor foreslår forskere å bruke enkle passord på nettsteder som lagrer data av liten verdi, og å legge igjen komplekse passord for bankkontoer. Du bestemmer. Hvis du, til tross for råd fra sikkerhetseksperter, fortsetter å bruke enkle passord hele tiden, kan det være fornuftig å ta denne tilnærmingen.

Hacking og kostnad for datamaskinpassord

Å knekke et passord er en av de vanligste typene angrep på informasjonssystemer som bruker passord- eller brukernavn/passord-parautentisering. Essensen av angrepet koker ned til beslagleggelsen av passordet til brukeren som har rett til å gå inn i systemet.

Det attraktive med et angrep for en angriper er at hvis passordet er oppnådd, er han garantert å få alle rettighetene til brukeren hvis konto ble kompromittert, og dessuten forårsaker innlogging under en eksisterende konto vanligvis mindre mistanke blant systemadministratorer.

Teknisk sett kan angrepet implementeres på to måter: ved flere forsøk på direkte autentisering i systemet, eller ved å analysere passordhasher oppnådd på en annen måte, for eksempel ved å avskjære trafikk.

I dette tilfellet kan følgende tilnærminger brukes:

• Direkte søk. Oppregning av alle mulige kombinasjoner av tegn som er tillatt i passordet.
• Utvalg etter ordbok. Metoden er basert på antakelsen om at passordet bruker eksisterende ord på et språk eller deres kombinasjoner.
• Sosial ingeniørmetode. Basert på forutsetningen om at brukeren brukte personopplysninger som passord, som for- eller etternavn, fødselsdato mv.

Mange verktøy er utviklet for å utføre angrepet, for eksempel John the Ripper.

Kriterier for passordstyrke

Basert på tilnærmingene for å utføre et angrep, er det mulig å formulere kriterier for styrken til et passord til det.

• Passordet bør ikke være for kort, da dette gjør det lettere å brute-force det. Den vanligste minimumslengden er åtte tegn. Av samme grunn bør den ikke bare bestå av tall.
• Passordet skal ikke være et ordbokord eller en enkel kombinasjon av dem; dette gjør det lettere å gjette det ved hjelp av en ordbok.
• Passordet skal ikke kun bestå av offentlig informasjon om brukeren.

Som en anbefaling for å komponere et passord, kan du kalle bruken av en kombinasjon av ord med tall og spesialtegn (#, $, *, etc.), bruk av sjeldne eller ikke-eksisterende ord, overholdelse av minimumslengden .

Microsoft gjennomførte en sikkerhetsundersøkelse sommeren 2014 og fant ut at det er best å bruke korte og enkle passord for nettsteder som ikke lagrer personlig informasjon. Lange og komplekse passord bør brukes for å beskytte kontoene dine på nettressurser som inneholder bankdata, fornavn, etternavn, passord osv.

Gjenbruk av passord har vært et tabu for sikkerhetseksperter de siste årene etter et stort antall cyber-hack og identitetslekkasjer. Ekspertenes anbefalinger virker logiske nok.

Hackere med e-postadresser og passord kan bruke disse legitimasjonene på andre nettsteder for å få ulovlig tilgang til dem. I sin tur er gjenbruk av passord på nettsteder med lavt beskyttelsesnivå mot cyberangrep nødvendig, slik at brukere kan huske de unike kodene som er valgt for mer seriøse ressurser. Microsoft-eksperter anbefaler fortsatt at brukere bruker enkle passord på gratissider som ikke inneholder viktig informasjon. Det er best, sier IT-eksperter, å "holde på" lange og unike passord for banksider og andre sensitive depoter.

Passord er som lin: bytt dem regelmessig og ikke vis dem offentlig

Tall og kasus gjør ikke passordet sikrere

En forsker ved University of Glasgow og en kollega ved Symantec forskningslaboratorium fant at store tall og tegn ikke gjør et passord sikrere. Resultater publisert høsten 2015 i ACM CSS 2015.

Forskerne brukte intelligente algoritmer som tidligere ble trent på en database med 10 millioner passord tilgjengelig i klartekst på nettverket. Deretter testet de effektiviteten til algoritmene på 32 millioner andre passord. Det viste seg at tall og store tegn ikke tillater å komplisere passordet. Denne effekten kan oppnås ved å forlenge passordet eller bruke spesialtegn.

Forskere sier at folk vanligvis bruker store bokstaver i begynnelsen av passordet og tall på slutten. Ifølge forfatterne, for å gjøre passordet sikrere, er det nødvendig å forlenge det og legge til spesialtegn.

Metoder for angrepsbeskyttelse

Beskyttelsesmetoder kan deles inn i to kategorier: sikre motstand mot å knekke selve passordet, og forhindre implementering av et angrep. Det første målet kan oppnås ved å kontrollere det angitte passordet mot kompleksitetskriteriene. Det finnes automatiserte løsninger for denne verifiseringen, som vanligvis fungerer sammen med passordendringsverktøy, for eksempel cracklib.

Det andre målet inkluderer å forhindre at hashen til det overførte passordet blir kapret og å beskytte mot flere forsøk på å autentisere til systemet. For å forhindre avlytting kan du bruke sikre (krypterte) kommunikasjonskanaler. For å gjøre det vanskeligere for en angriper å brute force gjennom multippel autentisering, setter de vanligvis en grense på antall forsøk per tidsenhet (eksempel betyr: fail2ban), eller ved å tillate tilgang kun fra klarerte adresser.

Omfattende sentraliserte autentiseringsløsninger som Red Hat Directory Server eller Active Directory inkluderer allerede verktøyene for å utføre disse oppgavene.

Generer et passord

På Unix-lignende operativsystemer kan du bruke pwgen-verktøyet. For eksempel

vil generere 1 passord på 10 tegn.

Metoder for å overføre et passord over et nettverk

Enkel passordoverføring

Passordet sendes i klartekst. I dette tilfellet kan det avskjæres ved hjelp av enkle nettverkstrafikkovervåkingsverktøy.

Overføring over krypterte kanaler

Risikoen for å avskjære passord over Internett kan reduseres, blant andre tilnærminger, ved å bruke Transport Layer Security TLS, tidligere kjent som SSL, slike funksjoner er innebygd i mange nettlesere.

Hash-basert

Passordet overføres til serveren allerede i form av en hash (for eksempel når du sender inn et skjema på en nettside, konverteres passordet til en md5-hash ved hjelp av JavaScript), og på serveren sammenlignes den resulterende hashen med hash lagret i databasen. Denne metoden for passordoverføring reduserer risikoen for å få et passord ved hjelp av en sniffer.

Multi-faktor (to-faktor) autentisering

Regler for administrasjon av brukerpassord

Vanlige metoder for å forbedre programvaresikkerheten til passordbeskyttede systemer inkluderer:

• Begrens minimum passordlengde (noen Unix-systemer begrenser passord til 8 tegn).
• Krever at passordet legges inn på nytt etter en spesifisert periode med inaktivitet.
• Periodisk forespørsel om passordendring.
• Tilordning av sterke passord (generert ved hjelp av en tilfeldig tallkilde for maskinvare, eller ved hjelp av en pseudo-tilfeldig tallgenerator, hvis utdata behandles av sterke hash-transformasjoner).

For sin egen sikkerhet bør brukeren ta hensyn til flere faktorer når de lager et passord:

• hvis mulig, bør lengden være mer enn 8 tegn;
• passordet må ikke inneholde noen ordbokelementer;
• ikke bare små bokstaver, men også store bokstaver bør brukes;
• passordet må bestå av tall, bokstaver og symboler;
• passordet må være forskjellig fra påloggingen (brukernavnet);
• ved registrering på hvert nytt nettsted må passordet endres

Hva kan brukes i stedet for passord

Tallrike typer gjenbrukbare passord kan bli kompromittert og har bidratt til utviklingen av andre metoder. Noen av dem blir tilgjengelige for brukere som søker et tryggere alternativ.

• Engangspassord
• Single sign-on teknologi
• Åpen ID

Signaturgjenkjenning - pålitelig erstatning for passord?

Når du betaler med bankkort eller blir tvunget til å signere en digital skjerm med en elektronisk blyant, brukes de til å bekrefte identiteten din. signaturgjenkjenningssystemer... I dette tilfellet sammenligner systemet din signatur med signaturprøven som er lagret i banksystemet.

Dette er imidlertid ikke en enkel sammenligning av de to bildene. Den spesielle sikkerhetsprogramvaren plasserer ikke bare to bilder ved siden av hverandre for å sjekke om de stemmer, eller i det minste om de er like. Faktisk sammenligner motoren for signaturgjenkjenning måten de to bildene lages på, på jakt etter det samme atferdsmønsteret.

Fordeler og ulemper

Selv om det kan virke enkelt å forfalske en signatur, er det nesten umulig å gjenskape skrivehastigheten og trykket. Så signaturgjenkjenningssystemer som bruker de mest avanserte teknologiene, er i ferd med å bli en ideell erstatning for passord i transaksjoner, for eksempel med bedriftsbankkontoer.

Men som alle andre identifiseringsmetoder er det også ulemper her. En av hovedulempene er at hver av oss av forskjellige grunner kan signere på forskjellige måter, og dette er et alvorlig problem. For at systemet skal være praktisk er det viktig å kunne skille mellom for eksempel en sakte tegnet signatur som skyldes en form for skade eller forsøk på å forfalske den.

Det er også, i det minste for øyeblikket, ikke en veldig effektiv måte å få tilgang til tjenester på. Faktisk, når du signerer noe mens du betaler for noe, brukes ikke disse dataene i sanntid. I stedet sendes dataene til banken din, hvor de vil bli verifisert senere.

Tilstedeværelsen av feil i signaturgjenkjenningssystemer lukker imidlertid fortsatt ikke døren til denne teknologien. Det er sannsynlig at fremtidig bedriftsbank vil bli autorisert bare ved å signere på et nettbrett eller smarttelefon.

Uttrykksikonbaserte passord

I følge sommeren 2015 hevder det britiske selskapet Intelligent Environments å ha oppfunnet en måte å bruke en rekke uttrykksikoner, bilder av uttrykk for følelser, som vil erstatte den digitale PIN-koden på en smarttelefon, slik at hjernen vår lettere kan huske denne sekvensen, fordi folk lettere husker en bevisst serie med bilder. Bruken av en "emosjonell" PIN-kode er basert på menneskers evolusjonære evne til å huske bilder. I tillegg kompliserer den økte kompleksiteten til denne metoden valget av en PIN-kode.

Den tradisjonelle firesifrede PIN-koden er fire tall fra 0 til 9 med repetisjoner - 104 eller 10 000 repetisjoner totalt. Antallet "emosjonelle bilder" er 444 eller 3 748 096, som du skjønner er mye mer.

Det skal bemerkes at denne teknologien, mest sannsynlig, er fremtiden, og ganske fjern.

Passordhistorikk

Passord har blitt brukt siden antikken. Polybius (201 f.Kr.) beskriver bruken av passord i det gamle Roma som følger:

Måten de sikrer trygg passasje om natten på er som følger: av ti manipler av hver type infanteri og kavaleri plassert nederst i gaten, velger sjefen hvem som er fritatt for vakthold, og han går på talerstolen hver natt, og mottar fra hans passord er et treskilt med ordet. Han går tilbake til enheten sin, og går deretter med passord og tegn til neste sjef, som igjen sender skiltet til neste.