Пароли не спасут пользователей от взлома

Применение SSD-дисков обеспечивает резвость перебора в 300 млн. паролей в секунду. Это Это означает, Что взломать даже сложный пароль можно всего за 5 секунд.



Большинство пользователи применяют один И тот же пароль Для разных задач: Для аутентификации себя на рабочем компьютере, Для доступа К почтовому интернет-сервису или на свою страничку в соцсети, А То Еще И в какой-нибудь онлайновой компьютерной игре. К тому же в большинстве случаев за основу пароля берется какое-То слово. То есть Они достаточно простые И редко состоят из 13-14 символов. И Если вдруг Они оказываются не менее сложными, То наверняка записаны на клочке бумаги И хранятся у пользователя под рукой. Так, получается, Что парольная защита пользователей - вещь достаточно эфемерная. Не менее того, не так давно ее возможная результативность уменьшилась Еще сильнее.



Дело в том, Что достаточно давно И долго говорят про То, Что с использованием высоких скоростей GPU (графический процессор, graphics processing unit) подбор паролей существенно ускорится. Но никто достижения этих высоких скоростей ждать не стал. Не так давно швейцарская Фирма Objectif Sé curité , специализирующаяся в области безопасности, успешно попробовала применять Для вскрытия паролей комплекс из SSD-дисков (solid-state drive, твердотельные диски) с " радужными таблицами ".



обратим внимание, Что Еще весной текущего года заявлялось про То, Что применение SSD-дисков обеспечивает достижение скорости перебора в 300 млн. паролей в секунду, Что даст возможность взлома��ь даже сложный пароль за 5, 3 секунды. Проверка предоставила также, Что При помощи названного метода И программы ophcrack были взяты И проверены на взлом хэши 14 символьных паролей Windows XP. На их взлом понадобилось от 2 до одиннадцать секунд. То есть наличие парольной предохранения никак не сказалось на безопасности ПК.



О ситуации, сложившейся в сегменте парольной предохранения, BFM. Ru поведал начальник от��ела исследований организации Passware Алексей Чиликов.



- Многие современных накопителей - Это всем известные жесткие диски (hard-disk drive, HDD). Со своей стороны SSD (solid-state drive) используют принципиально иную технологию, которая не требует При обработке информации никаких механически движущихся частей. Основным их не��остатком На данный момент времени является высокая стоимость. В ближайшем будущем, я полагаю, Они будут использоваться Для решения довольно узкого круга задач, где их преимущества компенсируют проблему стоимости. Одной из подобных задач может считаться И обработка данных При помощи " радужных таблиц ".



- Что подразумевается под термином " Радужные таблицы "?



- Технология " радужных таблиц " представляет собой один из вариантов компромисса " время-память " И дает возможность сократить перебор вариантов, К примеру, паролей за счет применения больших предвычисленных таблиц. В таком случае атака состоит из 2-х этапов - трудоемкого построения таблиц, которое имеет возможность быть выполнено заранее на мощном оборудовании, И быстрой атаки на парольный хэш, которая может занимать не��колько секунд или минут на обычном персональном компьютере.



- SSD-диски станут массовым явлением или останутся только у энтузиастов?



- Массовое применение SSD В настоящее время сдерживается высокой ценой, И Если не произойдет радикальных технологических прорывов, в ближайшем будущем ситуация останется той же. Однако Для специальных задач Они уже В настоящее время применяются в промышленных масштабах. В контексте рассматриваемой задачи могу от��етить, Что SSD - Это одна из тех технологий, которых нам не��оторое время назад При созданию схожих проектов Как раз не хватало.



- Насколько возрастет Опасность потери пользователем наблюдения над своими ПК, не говоря уже О данных?



- Для предоставления возможности успешной атаки на базе " радужных таблиц " самих таблиц не��остаточно. Необходим Еще И доступ К парольному хэшу пользователя. В реальности Это, Как правило, обозначает физический доступ К компьютеру или хотя бы К его жесткому диску. Либо удаленный доступ с помощью вредоносного ПО. В обоих случаях речь уже идет О частичной потере наблюдения. ПО факту, такие атаки Для взломщика - скорее средство " развить успех ", чем " захватить плацдарм ". Что касается доступа К данным, То да, Опасность увеличивается. Главным образом из-за практики повторного применения паролей в разных местах. Еще одна проблема, которую я тут вижу - рост эффективности " переборных кластеров ", используемых владельцами ботнетов.



- При самом не��лагоприятном развитии ситуации, какая же есть возможность бороться с этой " напастью "?



- Грамотная парольная политика плюс набор обычных предосторожностей помогает уменьшить риски до минимума. Надо выбирать длинный пароль, хотя бы 10 символов - букв И цифр, И не применять При этом слова в виде основы Для пароля. Если пользователь не готов от��азаться от старой доброй Windows XP, То он обязан от��лючить сохранение устаревшего LM Hash, применять антивирус И файрволл Для предохранения от троянов. И само собой, Нужен надзор физического доступа К компьютеру.



- Насколько SSD-диски Своместно с программой-взломщиком имеют возможность справиться с Windows 7 или ОС от эппл И на базе Linux?



- " Радужные таблицы " имеют возможность быть результативно использованы Для вскрытия только хэш-функций без дополнительной рандомизации, Но не шифров. К сожалению, парольная защита в Windows основана именно на хэш-функциях. В unix-подобных системах применяется дополнительная рандомизация, Что на не��колько порядков увеличивает общую стоимость аналогичной атаки. Что касается Windows 7, То в не��, Как И в Vista, производитель не захотел от поддержки старой версии парольных хэшей (LM Hash), Что привело К значительному росту стойкости алгоритма. ПО факту, старый хэш был уязвим К атакам на базе " радужных таблиц " При любой длине пароля. Нынешняя же версия (NT Hash), на мой взгляд, обеспечивает достаточную стойкость При случайном пароле длиной в 10-12 алфавитно-цифровых символов.



со своей стороны, директор ПО продуктам организации " Аладдин Р. Д." Антон Крячков уточнил, Что Технология " радужных таблиц " представляет собой серьезный инструмент Для подбора паролей. К тому же использоваться он может Как во благо, К примеру, системным администратором Для выявления " слабых " паролей, Таким образом И во вред - злоумышленником, завладевшим базой хэшированных паролей пользователей с целевой системы И пытающимся подобрать пароли К учетным записям.



Кстати, злоумышленники не чураются модных веяний. А именно, ПО настоящему - облачных технологий." Основную угроза представляют В настоящее время онлайн-сервисы ПО подбору паролей, - поведал Антон Крячков.- Они общедоступны, Большинство из них бесплатны, в них применяется Технология " радужных таблиц ".



Однако сильно уменьшить риски взлома паролей довольно просто, считает Андрей Крячков. Для этого в локальной сети надобно сделать домен Microsoft Windows, Что задействует применение протокола Kerberos Для аутентификации пользователей, также требуется установить высокие минимальные требования К паролям (например, Более 12 символов, применение символов верхнего И нижнего регистра И Т. П.). Все остальные советы сводятся, ПО настоящему, К обязательной аутентификации пользователей только ПО учетной записи в домене - И никаких локальных учетных записей на ПК пользователей.



К сожалению, Все эти меры не станут окончательными, так Как есть Еще сами пользователи, которые, может быть, не��ут главную опасность безопасности. Как правило, говорит Антон Крячков, Для офисных работников запомнить сложный пароль - не��осильная задача. А Это означает, Они его где-нибудь запишут, К примеру, на таком же стикере, И тем самым сведут всю борьбу за от��утствие опасности данных К нулю. ПО этой причине, считает специалист " Аладдин Р. Д.", сложные пароли разрешено И Надо хранить во внешних специализированных устройствах (USB-ключах или смарт-картах) .