Вопрос 4 Парольная защита пользователей компьютерных систем. Требования к паролям.

Пароль — самый простой, недорогой и распространенный способ аутентификации, реализованный практически во всех компьютерных системах. Однако с ним нередко связано множество осложнений: пароль трудно запомнить, он бывает неустойчив к взлому, а, кроме того, пользователю приходится помнить множество паролей для доступа к различным информационным ресурсам — операционным системам, бизнес-приложениям, банковскому счету и т. д.

Пароли, как правило, рассматриваются в качестве ключей для входа в систему, но они используются и для других целей: блокирование записи на дисковод, в командах на шифрование данных или на разархивацию файлов — во всех тех случаях, когда требуется твердая уверенность в том, что соответствующие действия будут производиться только законными владельцами или пользователями программного обеспечения.

Для повышения уровня безопасности при доступе к информационным ресурсам придумано множество механизмов использования стойких паролей, алгоритмов и протоколов аутентификации.

Пароли подразделяются на несколько основных групп:

1. пароли, устанавливаемые пользователем; - наиболее распространенный тип паролей

2. пароли, генерируемые системой; назначаются пользователю принудительно без его участия

случайные коды доступа, генерируемые системой; могут быть нескольких разновидностей. Cистемное программное обеспечение может применить полностью случайную последовательность символов вплоть до регистров, цифр, длины; или же в генерирующих процедурах используются некоторые ограничения. Например, каждый код доступа согласуется с заранее подготовленным шаблоном (вроде oabc-12345-efghn, где буквы и цифры, на заданных позициях, генерируются случайным образом). Создаваемые системой пароли могут случайным образом извлекаться из подготовленного списка обычных ничего не значащих слов, которые в случайном сочетании образуют пароли.

3. ключевые фразы; Ключевые фразы хороши тем, что они длинные и их трудно угадать, зато легко запомнить. Фразы могут быть осмысленными, типа “we were troubled by that”, или не иметь смысла — “fished up our nose”. В последнее время постепенно намечается тенденция к переходу на более широкое применение ключевых фраз. К концепции ключевых фраз близка концепция кодового акронима. Пользователь выбирает легко запоминающееся предложение, фразу, строчку из стихотворения и т. п., и использует, например, первые буквы каждого слова в качестве пароля. Акронимами двух приведенных выше фраз являются “wwtbt” и “fuon”.

И для первой, и для второй, третьей группы паролей действительно следующее правило: если A – мощность алфавита (набора букв, цифр, спец.символов), а L – длина пароля, то общее число комбинаций пароля длины L, набираемого из заданного алфавита равно A^L. И соответствует числу всех попыток подбора пароля. Поэтому следует задавать длину пароля не менее 8 (самый минимальный минимум для личного пользования, но гораздо больше – 12/16 символов в более серьезных системах) символов, используя при этом алфавит мощностью 72 (25+25+10+10). Каждый из паролей должен состоять не только из цифр, но и букв верхнего и нижнего регистра, специальных знаков.

3. метод функционального преобразования предполагает, что пользователю известно некоторое несложное преобразование параметров, предлагаемых системой аутентификации, которое он может выполнить в уме. Паролем является результат такого преобразования. Например

f_password=x+2*y

система: 4 6

user: 16

система: OK

для усложнения алгоритма в качестве параметров можно использовать текущее число, день недели, месяц, текущий час суток и их комбинации

3. — метод групповых паролей основывается на интерактивных последовательностях типа “вопрос — ответ”; при входе в систему пользователю предлагают ответить на несколько вопросов, как правило, личного плана: “Девичья фамилия вашей супруги?”, “Ваш любимый цвет?”, и т. д. В БД системы аутентификации хранятся ответы на множество таких вопросов для каждого пользователя. При входе пользователя система контроля сравнивает полученные ответы с “правильными” и принимает соответствующее решение. Для усиления контролируемости сеанса системы с использованием вопросов — ответов могут прерывать работу пользователя с определенной периодичностью, предлагая отвечать на очередные вопросы, чтобы подтвердить подлинность пользователя. Чрезмерная частота прерывания приводит к раздражению, к тому же данный метод предполагает постоянное присутствие пользователя за компьютером. Тем не менее, этот способ находит свое применение в случае контроля сеансов.

4. Одноразовые пароли — срабатывают только один раз. К ним прибегают, создавая временный вход для гостей, например, чтобы продемонстрировать потенциальным клиентам возможности системы. Они часто применяются при самом первом вхождении пользователя в систему. Далее пользователь вводит свой собственный пароль и в дальнейшем входит в систему лишь через него. Метод использования однократного пароля может предполагать использование списка из N паролей, хранящегося в БД системы аутентификации. При каждом обращении к системе пользователь вводит очередной пароль, который после окончания сеанса вычеркивается системой контроля доступа из списка. Основным недостатком данного механизма является его неоднозначность. Например, в случае нештатного окончания работы пользователя, система будет считать пароль уже использованным, то есть вычеркнет его, а пользователь – нет.

АТАКИ на ПАРОЛИ

1. Подбор методом полного перебора – метод грубой силы bruteforce

2. Семантический подбор с использованием словарей

3. Использование имени пользователя с пустым паролем или имени+такой же пароль

4. Использование предустановленных имени пользователя и пароля

5. Проникновение в систему во время длительного ожидания

6. Использование программ-перехватчиков паролей (keylogger)

7. Методы социальной инженерии - social engineering Форма злонамеренного проникновения, при которой взломщик каким-либо путем обманывает пользователей или администратора и добивается или крадет информацию о компании и/или ее компьютерных системах, чтобы получить несанкционированный доступ к сети.

Меры по обеспечению надежности паролей:

1. наложение технических ограничений (алфавит, длина пароля)

2. управление сроком действия паролей, их периодическая смена

3. ограничение числа неудачных попыток входа в систему

4. использование программных средств генерации паролей

5. применение нестандартных паролей, например, графических изображений

6. использование в паролях ALT-кодов (непечатаемых символов)

7. ограничение доступа к файлу паролей

8. хранение паролей в хэшированном виде

Перечисленные меры целесообразно применять всегда, даже если наряду с традиционными паролями используются другие методы аутентификации

Легкость реализации метода парольной аутентификации способствует его широкому применению, однако пароль необходимо передавать с места, где находится пользователь, на сервер, где установлена система аутентификации, и если канал передачи не обеспечивает механизмов защиты, то при пересылке пароль может быть перехвачен.

Протокол (метод) аутентификации должен выполнять, по крайней мере, две задачи:

Во-первых, он должен безопасно передавать данные от системного процесса в базу данных сервера аутентификации (SAD (Security Account Database) или AD (Active Directory) для ОС Windows).

Во-вторых, он должен безопасно и надежно передавать и хранить пароль, то есть защищать введенную пользователем информацию при пересылке в базу данных аутентификации (доступ через SAM (Security Account Manager)). Для этого протокол подписывает, скрывает или шифрует пакет данных. Кроме того, пакету присваивается временная метка, чтобы взломщик не мог воспользоваться перехваченными учетными данными в будущем. Чтобы не позволить немедленно извлечь пароль пользователя из базы данных, протокол должен обеспечить скрытное (хэшированное) хранение паролей в базе данных аутентификации.

Наиболее распространенным способом защиты пароля во время его передачи по сети является использование функций необратимого преобразования (хэш-функции), которые на основе исходной информации произвольной длины порождают уникальный набор двоичных символов заданной длины — дайджест. Хэш-функция используется перед передачей данных аутентификации на сервер. На сервере пароли хранятся также в зашифрованном виде. Получив парольный хэш, сервер сверяет его с дайджестом в базе данных пользователей, после чего делает заключение о результате аутентификации.

Этот способ защиты данных аутентификации имеет недостатки, позволяющие злоумышленнику перехватить хэш-пароль во время передачи по сети и использовать его для нелегального получения привилегий. К тому же, некоторые протоколы аутентификации имеют скрытую уязвимость.