Прошли те времена, когда надёжным паролем считался код от 7 до 14 знаков, состоящий из смеси букв, цифр и символов. Пароли Windows могут содержать до 127 символов, но пользы от этого никакой. Как известно, самым уязвимым звеном безопасности является непосредственно сам пользователь, который не в силах удержать в памяти несколько сложных паролей. Порой, не в силах запомнить и один. До сих пор в большинстве случаев используется известное слово или имя, в лучшем случае снабжённое несколькими дополнительными цифрами. Например, vasilisk2006. Словарные атаки, а также система автоматического подбора всех возможных комбинаций знаков позволяет вскрыть такой пароль максимум за неделю.
Простые советы гражданам не записывать пароли, использовать только новые, не повторяющиеся пароли и прочее, остаются всего лишь советами. Люди как были сто тысяч лет назад ленивыми приматами, так и остались. Дело в самой системе, усовершенствовать которую пытаются уже достаточно давно. Рост сетевых атак по экспоненте сдвинул тело безопасности с мёртвой точки и сегодня мы познакомимся с наработками в области «чтоб ты сдох, проклятый хакер».
Одноразовые пароли
Все гениальное просто. Чтобы сохранить пароль, достаточно использовать его лишь однажды, а в следующий раз воспользоваться уже другим паролем. Данную систему используют Европейские банки. Она получила название
TrancActionNumber. Суть её вот в чём: клиенту присылают (или он сам берёт в банке) карточку на полсотни паролей, залитых защитной краской. Как у нас карточки оплаты сотовых служб. При каждой новой банковской операции через сеть клиент стирает очередную полоску и вводит одноразовый номер аутентификации вкупе с постоянными параметрами – открытым логином и секретным паролем. Когда полоски кончаются, банк присылает клиенту новую карточку.
Другая разновидность данной системы: банк пересылает пароль на сотовый телефон пользователя. Отправляется не само послание, а только линк на WAP страницу с текстом. После открытия у адресата есть меньше минуты для прочтения, после чего текст безвозвратно удаляется, а ссылка теряет актуальность и при по следующих обращениях выдает ошибку. Есть возможность отправлять не только текст, но и графические и голосовые сообщения.
Недостатки: Отдельный пароль могут выкрасть точно так же, правда, воспользуются им лишь однажды. Могут так же украсть и саму карточку или вы её потеряете совершенно случайно. В конце концов вы можете банально не успеть ввести пароль, прежде чем он самоуничтожится. Плюс ко всему система сложнее обычной, но не намного. Есть множество вариантов для её развития. Возможно, в итоге мы получим действительно привлекательную пользовательскую систему. По десяти бальной шкале заслуживает 8.
Биометрические пароли
На сегодняшний день крайне ненадёжное решение. Дактилоскопические сканеры обманывают с лёгкостью при помощи спуфинга – ложного пальца, созданного из стоматологической пасты, пластида и тому подобных материалов. Системы опознавания без особого труда удаётся провести в 80% случаев. Даже с учётом дополнительных параметров – неровности кожи, пот, испарения – не удаётся добиться абсолютной безопасности. Трудности есть и с распознаванием по лицу. Алгоритмы биометрического опознания так и не стали ощутимо лучше, по-прежнему дают порядка 10% сбоев. И это несмотря на оптимальное освещение и стремление проверяемого человека сохранять спокойное выражение на своей физиономии.
Чипы, на которые записываются данные об отпечатках пальцев, сетчатке глаза, геометрии кисти или голосовых параметрах, могут стать неотъемлемой частью паролей уже в ближайшие четыре года, но пока они слишком ненадёжны. Как верно заметил исследователь Лондонской школы экономики Питер Соммер: «Прелесть текстового пароля в том, что вы зависите только от себя».
Недостатки: не будем судить технологию, за которой будущее. Хотим мы того или нет.
Смарт-карта
Преимущество такой системы в том, что она никак не связана с запоминанием пароля. Достаточно провести карточку по специальному сканирующему устройству, встроенному в компьютер, чтобы открыть доступ. Надо так же отметить, что данный метод сводит к нулю возможность акустического и кейлоггерского перехвата информации. Об акустическом способе чуть подробнее. Десятиминутной аудиозаписи звуков, издаваемых кнопками клавиатуры при наборе неизвестного текста, достаточно, чтобы аналитически восстановить больше 90% введенной в компьютер информации. Используемое для акустического перехвата оборудование может быть очень дешевым (исследователи применяли для записи самый обычный десятидолларовый микрофон), но при условии, что сенсор расположен в том же помещении. Если же использовать спецтехнику подслушивания с параболической антенной или дорогой узконаправленный микрофон, то запись можно делать и находясь снаружи здания, через окно. Фишка кроется в алгоритмах анализа данных. Они тоже достаточно просты: допустимое упрощение – вводится английский текст; расположение кнопок на клавиатуре влияет на издаваемые ими звуки – клавиши, похожие по звучанию, можно объединить в классы; отталкиваясь от известных статистических закономерностей английского языка, каждому звуку присваивается вероятное априорное значение буквы с учетом опознания класса; добавляется автоматическая проверка орфографии и грамматики; + дополнительные алгоритмы усовершенствования, аналогичные криптографическим средствам взломом устойчивых шифров. Программ позволяет эффективно восстанавливать не только осмысленный текст, но и произвольные последовательности знаков в паролях (путем быстрого перебора нескольких десятков вариантов), тем самым еще раз подтверждая ненадежность традиционных средств аутентификации.
Недостатки: карточку могут выкрасть, или вы сами её потеряете. Плюс ко всему пароль можно вытащить из кучи программ, да и оперативная память в этом плане очень уязвима, как в Windows, так и в Linux.
Бессознательный пароль 1
Система, разработанная в Иерусалимском университете, позволяет людям использовать такие пароли, которые не надо сознательно помнить. Подобную схему делают возможной особенности человеческой психики, благодаря которым информация заносится в подсознание путем «инстинктивного импринтинга» (пьяный Деймос попытался произнести это в слух и сжёг предохранители мозга). Многочисленные эксперименты показывают, что мозг надежно сохраняет образы картинок, несуществующих «псевдослов» или искусственных грамматических конструкций. По памяти мы не можем в деталях описать то, что инстинктивно запомнили, однако легко узнаем – даже через недели и месяцы – то, что однажды нам было предъявлено.
Такая система состоит из набора сертификатов пользователя, например, четырех картинок. Сначала пользователю показывают последовательность из одной-двух сотен картинок, случайно выбранных из базы объемом порядка 20 тысяч изображений. Все предъявленные картинки разбиты на тематические группы, до десятка штук в каждой. Пользователю «присваивается» по одной картинке из каждой заданной тематической группы, а затем он практикуется (обучается) в выборе «своих» картинок-сертификатов среди всех тематических групп. Как показали опыты, при предъявлении проверочной серии люди способны вспоминать и отмечать «свои» картинки с 90-процентной точностью даже по прошествии трех месяцев. Конечно, и в этой системе для борьбы с перехватом и подделкой данных приходится вводить одноразовые пароли, то есть всякий раз присваивать сертификаты заново. Так что система выглядит пока не очень практичной, однако исследователи надеются года за два довести ее до нужных кондиций.
Недостатки: сложно, не практично, долго. Твёрдая шестёрка за старание.
Бессознательный пароль 2 (Графический пароль 1)
В системе PassPoints при генерации пароля вам показывают картинку, а вы выбираете на ней несколько мест и тыкаете в них мышью. При вводе пароля вам показывают ту же самую картинку, и надо ткнуть в те же самые места. Если пользователь ткнул не совсем точно, система сама определит нечаянная это ошибка или попытка взлома. PassPoints реагирует только на координаты, в которых были сделаны клики, а картинка нужна, чтобы было легче запомнить эти места и при вводе пароля точнее их выбирать. Координаты кликов по картинке сворачиваются в зашифрованную последовательность, которая, по сути, и есть пароль новой системы. Иначе говоря, если у вас твердая рука и верный глаз - можете кликать на чистом белом фоне.
У PassPoints есть свои плюсы и минусы. Если в качестве подложки для «тычков» выбрать большую фотографию со множеством мелких деталей - например, городской пейзаж в высоком разрешении, то даже четыре клика на нем окажутся паролем, легким для запоминания, но очень трудным для грубого взлома. Если же, наоборот, выбрать небольшой портрет себя любимого, с двумя родинками и кольцом в носу, то взломщику не составит труда перебрать наиболее вероятные варианты.
Несомненно, такой графический пароль могли бы внедрить у себя сетевые сервисы, кровно заинтересованные в максимально простой, но надежной авторизации. Например, платежным системам не помешает предоставить клиентам выбор - закрывать кошелек кодовым словом или кликами по картинке.
Недостатки: хакеру совершенно без разницы, красть обычный пароль или координаты. Так что преимущество такого метода скорее маркетинговые, чем реальные. Твёрдая 2.
Графический пароль 2
Следующая разработка в этой области обладает практически совершенными свойствами. Так, даже если при наборе этого пароля у вас за спиной будет стоять человек и запоминать все ваши действия и клики - он никогда не сможет зайти на вашу машину вместо вас. Аналогично – если вас снимает камера системы безопасности. Просмотрев видео, никто не сможет восстановить ваш пароль. Как так получается?
При создании пароля пользователю предлагается выбрать и запомнить десять иконок примерно из 200-400 возможных. Иконки достаточно интересные и яркие.
Представьте: при необходимости ввода пароля система выдаёт на экран сразу огромное панно из иконок, перемешанных случайным образом. Среди них обязательно будут три или четыре «ваши». Думаете, нужно найти их и указать курсором? Как бы не так. Их следует мысленно соединить линиями (получится треугольник или квадрат) и щёлкнуть мышкой в любой точке
внутри этой фигуры. Тут же иконки перестраиваются, перемешиваются. Одни при этом исчезают, другие – добавляются. И опять среди всего этого хаоса вы видите и какие-либо свои значки из той самой десятки (не обязательно те, что были на экране только что). Снова вы мысленно соединяете их в геометрическую фигуру и щёлкаете в любом месте, но опять-таки в её границах. И так происходит 10, 20, сколько хотите раз.
Вообще система предусматривает при создании пароля выбор настроек: числа иконок, скорость их перемещения, числа кликов по фигурам и некоторых других параметров.
Лишь после 10 таких проходов машина однозначно идентифицирует иконки, которые вы мысленно держали в голове, выбирая место для щелчка. Но любой, кто будет за вами наблюдать, ни за что не угадает ваш пароль. Главная идея – позволить пользователю доказать знание им пароля, не показывая сам пароль в процессе его набора. Вопрос изменяется каждый раз и ответ – так же.
При этом уровень секретности обеспечивается высочайший: если вы имеете достаточно многого изображений, и если вы должны пройти тест достаточно много раз, возможные комбинации иконок исчисляются миллиардами.
Недостатки: для входа в систему требуется значительно больше времени, чем на традиционный набор пяти-шести букв в окошке пароля. Зато ввод пароля таким способом превращается в некую игру. Оценка – 10. Хотите убедиться сами и опробовать прогу? Двигаем на:
http://www.clam.rutgers.edu/~lsobrado/graphicalpassword.
Заключение
Запомните – в безопасности находится только параноик, который не чувствует себя в безопасности. Если вы не хотите сильно усложнять себе жизнь, воспользуйтесь хотя бы программой PwdHash, которая является дополнением к браузерам и занимается хешированием паролей, для чего пользователям непосредственно перед вводом пароля необходимо ввести @@ или нажать F2. После того как секретная информация зашифрована, PwdHash проверяет имя домена, с которым взаимодействует клиент, и начинает транзакцию только в том случае, если домен не находится в «черном списке». Скачать её можно вот отсюда:
http://crypto.stanford.edu/PwdHash/.
