Пароль системы как составной части подсистемы управления доступом системы защиты информации (ГИС) является частью переднего края обороны "всей системы безопасности. Таким образом, системный пароль стал одним из первых объектов атаки во время вторжения злоумышленника защищенной системе.

Управление доступом Подсистема ГИС затрагивает следующие понятия:

Доступ идентификатор - уникальная особенность субъекта или объекта доступа.

Идентификация - присвоение субъектам и объектам доступа идентификатора и (или) сравнение представлены ID со списком установленных идентификаторов.

Пароль - идентификатор субъекта доступа, который является его (субъекта) секретом.

Аутентификация - проверка принадлежности к теме, выдвинутых против них доступа идентификатора; аутентификации.

Можно встретить и толкование таких терминов, ID пользователя и пароль [1]:

Идентификатор - уникальный объем информации, что позволяет различать отдельные пароль пользователя системы (для выполнения их личность). Часто идентификатор называется также имя пользователя или имя учетной записи пользователя.

Пароль - секретное количество информации, известно только системы пользователя и пароль, требования для прохождения процедуры аутентификации.

Счет - множество ID пользователя и пароль.

Одним из наиболее важных компонентов системы является пароль учетной записи базы данных (базы данных системы защиты). Есть несколько вариантов для хранения паролей в системе:

в открытом виде;

как хэш-значение (хэш (английский) - смесь мешанина);

зашифрованные в некотором роде.

Наибольший интерес представляют второй и третий способы, которые имеют ряд особенностей.

Хэширование не обеспечивает защиту от подбора пароля по словарю в случае базы данных злоумышленником. При выборе алгоритма хеширования, который будет использоваться для вычисления хэш-значение пароля, вы должны убедиться, что несоответствие хэш-значения, полученные с использованием различных паролей. Кроме того, не должно быть механизм, обеспечивающий уникальность хэш-значения, если два пользователя выбрать одинаковые пароли. Для этого расчета каждого хеш-значения, как правило, используется для числа "случайных" информацию, такую как выданные генератором псевдослучайных.

Когда пароль шифрования особенно важно способ генерации и хранения ключа шифрования базы данных счетов. Следующие параметры:

ключ генерируется программно и хранится в системе, что позволяет его автоматический перезапуск;

ключ генерируется программно и хранится на внешнем носителе, с которого считывается каждый раз;

ключ генерируется на основе выбранного администратора паролем, который вводится в систему при каждом запуске.

Наиболее безопасное хранение паролей при условии их хеширования и шифрования, то полученный хеш-значения, т. е. путем объединения второго и третьего способов хранения паролей в системе.

В качестве пароля могут попасть в чужие руки? Наиболее реалистичный взгляд следующих случаях:

записали свой пароль найден злоумышленником;

пароль podsmotren злоумышленник ввода законного пользователя;

злоумышленник получил доступ к системе безопасности базы данных.

Меры в отношении первых двух опасностей очевидны.

В последнем случае, злоумышленнику необходимо специальное программное обеспечение, так как записи в этом файле редко сохраняются в текстовом формате. Сохранение пароля системы определяется ее способностью противостоять атаке овладели счет базы данных, и пытается восстановить пароли, и зависит от скорости "быстрой" реализация алгоритма хэширования используется. Восстановление паролей заключается в вычислении хеш-значения возможных паролей и сравнить их с существующими значение хэш пароля с последующей их производительность в явном регистр.

Из базы данных учетных записей пароли могут быть восстановлены различными способами: атакой по словарю, последовательным (полного) поиск и гибридной атаки по словарю и грубой силой.

Атака по словарям, последовательно вычисляются значения хэш для каждого слова или модификаций слов словаря и сравниваются с хеш-значения паролей каждого пользователя. Если матч хеш-значения пароль найден. Преимущество метода - его скорость. Недостатком является то, что таким образом могут быть найдены только очень простые пароли, которые имеются в словаре или являются модификациями слов словаря. Для успешной реализации этой атаки зависит от качества и масштабов лексику (легко найти таких готовых словарей на веб-сайте).

Последовательный перебор всех возможных комбинаций (грубая сила (английский) - грубая сила, решение "в лоб") использует набор символов и вычисляет хэш-значение для каждого возможного пароля из этих символов. Используя этот метод, пароль всегда будет определен, если составляющие символы присутствуют в выбранном наборе. Единственный недостаток этого метода - много времени, какие могут потребоваться, чтобы определить пароль. Чем больше количество символов (букв различных букв, цифр, специальных символов) содержится в выбранном наборе, тем больше времени это может занять до перечисления сочетаний еще не закончена.

При восстановлении паролей гибридной атаки по словарю и грубой силой к каждому слову или модификации слова словаря добавляются символы справа и / или влево (123parol). Кроме того, испытания могут быть выполнены с использованием: имена пользователей, пароли, повторение слов (dogdog); обратный порядок слов символов (elpoep); транслитерации букв (устное); заменить кириллицу Латинской макет (gfhjkm).

Для каждой комбинации и вычислить хеш-значение сравнивается с хеш-значения паролей каждого пользователя.

Что пароль можно однозначно назвать слабым во всех отношениях (за исключением запоминания)? Типичный пример: пароль небольшое количество (5) символов / цифр. По некоторым данным, из 967 паролей, одним из взломанных серверов электронной почты в Интернете 335 (почти треть) состояли только из цифр. Количество паролей содержать буквы и цифры оказались 20. Другие пароли состоят из букв в основном в нижнем регистре с некоторыми исключениями (в размере 2 пароли), в том числе специальные символы ("*", "_"). Символ "_", однако, часто встречается в именах пользователей. В 33 случаях, имя пользователя и пароль матча. Самый популярный пароль 123 (встречались 35 раз, почти каждые 27 пароль). На втором месте пароль QWERTY (20 паролей). Как удобно оно введено, не так ли? Преемник: 666 (18 раз), 12 (17 раз), Хакер (14 раз) и 1, 11111111, 9128 (10 раз). 16 Пароль состоял из одного символа / цифры.

В повседневной жизни современного человека иметь в виду значительный объем информации: PIN-коды банковских карт и мобильных телефонов комбинации замков, пароль для доступа к Интернету, ресурсам любого рода, по электронной почте. Все пароли должны храниться в памяти? Все зависит от оценки уровня потерь из-за воздействия пароль в чужие руки. Пароли для доступа к интернет и сетевым ресурсам никто не вмешивается в закладки, если вы не боитесь, что кто-то войдет в сеть без вашего ведома и ознакомиться с содержимым почтового ящика. Этот вывод, однако, не распространяется на пароли, используемые в производстве. Получение доступа к сети от вашего имени может, по некоторым причинам, стала заманчивым выбором. ПИН-код кредитной карты является также не запрещено фиксировать на бумаге, главное условие в этом случае отдельные карты памяти и хранятся в пояснениях кодовой комбинации.

Увеличение расходов на пароль из-за степени его важности. Пример "важно пароль" является пароль, используемый для работы в автоматизированных системах, обрабатывающих информацию ограниченного доступа (государственной тайны, конфиденциальной информации). Русской Гостехкомиссии руководящие документы не дают конкретные рекомендации по выбору пароля, или расчет ее упорство, за исключением длины, которая колеблется от 6 (класс 3Б, 3А, 2Б, 2А) до 8 (1Б класса, 1А), алфавитно-цифровые символы и необходимость периодически менять пароль.

Существуют методы количественной устойчивости пароль систем [2]:
http://cryptosemantica.lomasm.ru/?link=pass&lang=rus
(Формула Андерсона), где

K - количество попыток подбора пароля в минуту;
М - время действия пароля в месяцах;
P - вероятность угадывания пароля;

A1 - пароли космической державой (- пароли мощность алфавита, L - длина пароля).

Таким образом, наибольшее влияние на вероятность раскрытия пароля имеет значение л Другие компоненты формулы очень редко оказывают влияние на значение P, больше чем на порядок. Увеличение длины пароля, только один символ значительно увеличивает необходимое время для атакующего его раскрытия.

Параметры Р, V, T и А1 связаны соотношением [1]:

Где

P - вероятность угадывания пароля в течение его срока (отбор проводится непрерывно в течение срока действия пароля);
V - скорость подбора пароля (скорость обработки одного пытаться зарегистрировать верификатор партии или скорости вычисления хеш-значения одного судебного разбирательства пароль);
T - срок действия пароля (указанного периода времени, после которого пароль должен быть изменен);
A1 - пароли космической державой (- пароли мощность алфавита, L - длина пароля).

В случае, когда неизвестна точная длина желаемый пароль, максимум подбора пароля (Tmax) будет рассчитываться в соответствии со следующей формулой [3]:

Tmax
Глубокое знание способов хранения учетных записей пользователей в базу данных безопасности для оптимизации программы восстановления (открытие) паролей. Подробные знания о системе организации пароль, работающих на Windows NT/2000/XP, позволяют авторам этих программ говорят скорость грубой силы с 3,9 миллионов паролей в секунду. до 5,4 миллионов паролей в секунду. на ПК с Athlon XP 1700 или говорить о возможности нахождения всех буквенно-цифровые пароли в течение трех дней на ПК с процессором Pentium II/450.

По Kompyulenty () Швейцарские исследователи могут взломать Филипп Ekslinu алфавитно-цифровых паролей Windows в среднем на 13,6 секунды. Используется для взлома компьютера с процессором Athlon XP 2500 с 1,5 Гб оперативной памяти. Таблица, в которой хранятся версии пароли, оккупированных 1,4 ГБ и полностью в оперативной памяти на компьютере, что позволяет увеличить скорость взлома. Когда таблица размера 20 Гб в пароле букв, цифр и 16 специальных символов пароля трещины, в среднем, на 30 секунд.

Итак, что пароль может оказать достойное сопротивление попыткам его выбор? Длинный, состоящее из букв различных букв, цифр и специальных символов. В этом случае, она должна быть случайной, т.е. выбор символов осуществляется случайным образом (без какой-либо) и больше никогда не использовал, только место для крепления пароль должен быть глава одного человека. Однако, мы должны принимать во внимание практическому использованию пароль. Очень длинный пароль трудно запомнить, особенно если учесть тот факт, что пользователь должен иметь более одного пароля. Для осуществления быстрого ввода длинных паролей, также не представляется возможным. Произвольно выбранные символы будут помнить, если говорить вслух, надо иметь в виду звуковой форме (благозвучие) или они имеют характерные места на клавиатуре, в противном случае, без кроватки не может сделать.

Помочь пользователю создать пароль на конкретные критерии программа может генерировать пароли.

Одной из таких программ Расширенный Password Generator может создавать пароли с генератором случайных чисел, или определяемые пользователем ключевым словам, но и содержит алгоритм создания слов, которые наиболее близки к естественному языку (английский или русский). В рамках этого специального режима получается "памятных", но нет смысла этого слова. Термин "помнит" следует понимать blagozvuchnost получили комбинацию. В этом режиме, использовать цифры, специальные символы и смешанные буквы будут автоматически отключены.

Вот некоторые созданные программы "помнит" паролей: ELASWOWA, DEDRYTON, BENEROMO, SARMANED. Программа позволяет создавать пароль длиной от 4 до 32 символов. "Помнит" пароль из 32 символов выглядит следующим образом: NONEERESSPYOVENAPARDERETOURVENFF.

По мнению автора, пароль, DV24 * KK4 также можно отнести к "запомнить", несмотря на цифры и специальные символы.

Уникальность таких программ сгенерированный пароль зависит от степени "случайности" для этой цели используется генератор.

Современный комплекс защиты информации ограничивает возможную длину пароля использовали 12 - 16 символов. Чаще всего это буквы, цифры и специальные символы.

Большинство ГИС следующие особенности для повышения эффективности системы паролей:

установление минимальной длины пароля;

установление максимальных пароль;

Платные паролей (предотвращает замены пароля после истечения срока его действия на одном использовали ранее);

ограничение числа попыток ввода пароля (замки пользователю после превышения определенного количества раз я провел в строке;

не действует на учетную запись администратора).

Чтобы усложнить задачу злоумышленнику получить системы защиты баз данных, много магазинов ГИС его в энергонезависимой памяти своего аппаратного обеспечения.

Некоторые комплексы защиты информации от несанкционированного доступа включают встроенные механизмы генерации паролей и довести их до пользователей. Очевидным недостатком и основным фактором для увеличения пользователей писать пароль неспособность вспомнить абракадабру, например, 8 буквенно-цифровых символов, не связанные друг с другом.

В случае, если пользователь должен создать свой собственный пароль, в качестве критериев для выбора пароля можно выделить следующие:

использование букв разных регистров;

Используйте цифры и специальные символы вместе с буквами.

Когда пароль не рекомендуется использовать:

ваше имя Войти в любом бы то ни было форме (как есть, обратная, заглавными буквами, двух-, и т.д.);

Ваше имя или фамилию, в которой любой форме;

имена близких родственников;

информацию о себе, которые могут быть легко получены. Она включает в себя номера телефонов, лицевых счетов, номер вашего автомобиля, название улицы, где вы живете, и т.д.;

пароль из одной цифры или одна буква;

слово, которое можно найти в словарях.

Необходимо помнить (попробуйте, чтобы не сжечь) свой пароль. Если вы помните пароль качество было непростой задачей для вас, не записывайте пароль полностью, разделите его на две части и писать в разных местах. Только не оборудовать эти записи комментариев, как:. "Это первая часть моего пароль для доступа в Интернет, вторая часть на следующую страницу, если вы пароль для фраза, то, например, выражение вида: Все * любовь () свободы, напоминание, что ваш пароль. E * V (E) E (принимать каждое третье письмо с добавлением специальных символов) более скрытный образ включает в себя помимо зарегистрированных пользователей определенный принцип в этом. случае, найденный элемент: Дерево не позволяют автоматически обнаруживать правильный пароль: * DterReeeV * О.

И все же, пароль, используемый для работы с информацией ограниченного доступа, вы должны помнить и никогда не записано.

Должны быть обучены, чтобы ввести пароль, чтобы процедура занимает как можно меньше времени. Несмотря на то, что желательно, чтобы иметь возможность ввести пароль не глядя на клавиатуру при первом подключении зрительной памяти. Главное правило: никто, кроме, вы должны знать пароль.

Вот несколько вариантов для выбора элементов, которые составляют пароль:

выберите строку или две строки из песни или стихотворения и использовать первые буквы каждого слова, добавить номера (специальные символы);

Выберите известный афоризм (говорят, слоган и т.д.) и принять все четвертое письмо, добавить номера (специальные символы);

Заменить слова одного согласного и одного или двух гласных, добавить номера (специальные символы);

Выберите два коротких слова и соедините их вместе со знаками препинания между ними, добавлять номера (специальные символы).

В заключение, следует отметить существование "парадокс человеческого фактора". Она состоит в том, что пользователь часто стремится действовать быстро, противник пароль системы, как, впрочем, любая система безопасности, которая негативно влияет на функционирование его рабочих условиях, а не союзником система защиты, тем самым ослабив ее. Действительно, необходимо ввести пароль при каждом входе в систему, не говоря уже о необходимости запоминать сложной символической последовательности, удобства это не так. Только счетчик мере, это обстоятельство является формирование компетентного подхода пользователей к информационной безопасности.