Вся правда о паролях [Сергей Слесарев] (fb2) читать постранично, страница - 3


 [Настройки текста]  [Cбросить фильтры]

сказать, это весьма неудобно, но очень надежно. Наибольшую ценность представляют пароли, состоящие из символов, которые нельзя ввести нажатием одной кнопки на клавиатуре. Подбор методом «грубой силы» уведет хакера по ложному пути, поскольку включение в пароль специального символа существенно увеличивает количество перебираемых вариантов. Такой результат дает, например, введение знака ® путем последовательного нажатия на цифровой клавиатуре комбинации «0174» при зажатой клавише «Alt» (пять нажатий для одного символа). В таблице приведены примеры кодов для ввода некоторых специальных знаков.

В принципе, при помощи кодов с «Alt» могут быть введены любые ASCII- символы. Их использование не только усложняет взлом посредством полного перебора, но и делает неэффективными классические словарные атаки. Препятствием для этого способа защиты может быть то, что ввести некоторые символы не всегда возможно (например, в мобильных телефонах их набор ограничен).

8. Даже надежные ключи можно вычислить
Даже если вы все сделали правильно, опасность может возникнуть при вводе пароля. При работе на чужом компьютере он способен сохранить ключевое слово и выдать его злоумышленникам. Программу-кейлоггер можно обмануть, используя для ввода пароля экранную клавиатуру Windows (для ее вызова введите «osk» в командной строке). Также шпионское ПО может делать снимки экрана, поэтому пароль всегда должен скрываться звездочками. Да, взломать (подобрать, угадать) можно абсолютно любой пароль. Вопрос лишь в ресурсах - вычислительных и временных. Поэтому устойчивость пароля имеет смысл оценивать с точки зрения оправданности затрат на его взлом: если в течение некоторого времени он не поддаётся вскрытию при помощи доступных ресурсов, то его можно считать безопасным. Другими словами, нужно соблюдать элементарные правила безопасности при выборе пароля, чтобы не стать жертвой обычного любителя.

9. Надежные пароли вечны
Теоретически, если вы создали очень надежный ключ, вам не потребуется менять его в будущем. Однако некоторые службы, например, банковские системы, настаивают на регулярной смене кодового слова. Основанием для этого служат риски, которые возникают при вводе паролей на странице пользователя. Принудительная смена ключа призвана свести их к минимуму. Но администраторы, которые требуют ее слишком часто, оказывают себе медвежью услугу: нередко реакцией на это становится использование менее надежных и легко запоминающихся комбинаций, которые проще взломать.

10. Тест. Надежен ли ваш ключ
Вы можете самостоятельно оценить свой пароль. Для начала необходимо выяснить, из каких символов он составлен. В качестве примера возьмем полностью числовой пароль, например, PIN-код. Рассматриваем числа от 0 до 9, то есть всего 10 цифр.

Предположим, что ваш пароль состоит из шести символов. Вы можете самостоятельно подсчитать количество возможных вариантов: 6 символов это 106-т.е. миллион комбинаций. В пункте номер 2 я говорил о видеокарте, при помощи которой российский разработчик ElcomSoft проверил 103000 вариантов всего за 1 секунду. Если произвести несложный подсчет и разделить миллион на этот показатель, получим результат в 9.7 секунд. Это и есть то время, за которое хакер узнает ваш пароль.

А теперь смотрим на таблицу. Обратите внимание, в какой геометрической прогрессии при использовании комбинации из строчных и прописных букв увеличивается время на взлом пароля, добавив всего один символ.

 При использовании всех символов разница в прогрессии просто огромна.

Вот так, с помощью нехитрой манипуляциии чисел, можно оценить надежность пароля и сделать соответствующий вывод о безопасности уже используемых паролей.

Популярные заблуждения

Давайте разберём популярные заблуждения, которые очень часто можно услышать на просторах Интернета.


Ненавижу, когда пароль на экране заменяется звездочками. Если мне нужно набрать пароль в переполненном трамвае, я могу просто отгородиться ладошкой от пассажиров, пытающих подсматривать его через мое плечо. Профессионального шпиона это не остановит, он сумеет изъять пароль просто по тем кнопкам, которых я касаюсь - их-то вы звездочками не закроете.


Кроме переполненного трамвая, существуют миллионы офисных работников, мониторы которых постоянно на виду. Заменять символы пароля звездочками - это совершенно необходимое требование. Сейчас многие сервисы в конце строки пароля ставят специальный символ, при нажатии которого пароль будет высвечен - отличное решение.


Не понимаю разработчиков, которые предупреждают: «пароль плохой, обязательно должна быть хоть одна заглавная буква, цифра, знак препинания и минимум две буквы греческого алфавита...» Если я хочу