Одним из самых "узких" мест безопасности являются пользовательские пароли. Если вы ни разу не использовали какую-либо утилиту для взлома паролей, то не поленитесь установить любую демо-версию и проверить стойкость реальных паролей. Вы будете приятно удивлены, узнав через несколько часов ее работы существенную часть паролей пользователей.

Для подкрепления рекомендаций по выбору паролей обычно используют простые расчеты: количество всех возможных паролей заданной длины делят на скорость работы программ перебора (обычно это несколько миллионов паролей в секунду). Полученную стойкость пароля считают достаточной, если расчетное время поиска пароля в несколько раз больше периода его плановой смены.

Однако все такие предположения не учитывают обычной пользовательской практики. Во-первых, пользователи крайне редко используют в паролях специальные символы, обычно составляя его из букв (русского или латинского алфавита, причем часто в пароле встречается только один набор), цифр и, иногда, знаков препинания (точка, тире и т. п.). Формальные требования сложности пароля, контролируемые автоматически, достаточно легко обходятся: пароль просто начинают с заглавной буквы, а в конце добавляют цифру или символ. В результате количество вариантов пароля, которые необходимо перебрать для его подбора, резко уменьшается.

Во-вторых, традиционные рекомендации усложнения паролей - замена одних символов на сходные по начертанию ("a" на "@", "o" на "0" и т. п.), "выбрасывание" гласных из слова, используемого в качестве пароля, прямой и обратный порядок букв, осмысленные слова и т. п. - давно учтены в программах перебора (рис. 9.1).

Существуют различные программы, предназначенные для "восстановления" паролей пользователей. Способов получения "первоначальных данных" по паролям много. Это и прослушивание сети (не надо надеяться на использование коммутаторов, поскольку существуют способы "обходить" их фильтрацию пакетов), использование базы безопасности локальной или удаленной машины (при наличии на это устройство административных прав), импорт соответствующих файлов (если есть доступ к данным из другой операционной системы). Программы способны перехватывать и дешифрировать все существующие в настоящий момент протоколы.

Параметры подбора пароля

Рис. 9.1. Параметры подбора пароля "учитывают" типовые рекомендации "сложного" пароля

Рис. 9.2. Окно программы LC5 для восстановления паролей На рис. 9.2 представлен результат работы программы LC5 от компании @stake (www.atstake.com/lc), которая позволяет узнавать пароли в Windows- и UNIX-сетях. Это данные по реальной сети (имена учетных записей закрыты), в которой политикой безопасности включено стандартное требование сложности пароля. Обратите внимание на колонку времени дешифрования каждого пароля - для всех показанных на рисунке учетных записей оно составило менее 50 с. А если просмотреть те пароли, которые были дешифрованы быстрее всех, то основными причинами такого успеха явились действия пользователей, которые составляли пароли на основе своих данных с добавлением цифр (например, пароль Valentin_l дешифрирован за 29 с), из простых слов и цифр (например, Cruell234 "узнан" за 46 с) или последовательно расположенные клавиши (например, ASDFGHjl, 25 с).

План обеспечения непрерывности функционирования информационной системы | Самоучитель системного администратора | Rai nbow-таблицы


Самоучитель системного администратора



Новости за месяц

  • Август
    2020
  • Пн
  • Вт
  • Ср
  • Чт
  • Пт
  • Сб
  • Вс
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31