УДК 004.42.056.53
ПАРОЛИ И КОНТРОЛЬ НАД ДОСТУПОМ
Михайлусова А.
Костанайский Государственный Университет им. А. Байтурсынова, Костанай
Научный руководитель - Махамбетова Г. И. ст. преподаватель кафедры программного обеспечения
Для защиты компьютерных установок на сегодняшний день имеются три основных класса контроля доступа. Это:
контроль, основанный на знании (пароли);
контроль, основанный на обладании (ключи);
контроль, основанный на личных характеристиках (биометрические приборы).
Первый вид контроля над доступом, наиболее распространенный, основан на обладании специфической информацией. Это означает, что правом доступа обладают лишь те лица, которые способны продемонстрировать свое знание определенного секрета, обычно пароля. Львиную долю работы хакера составляет именно поиск этого пароля. В этой главе и рассказывается обо всем, что вам необходимо знать о паролях: как они работают, где хранятся, и как их можно “взломать”.
Самый простой и дешевый путь зашиты любого типа компьютерной системы сводится к старому, испытанному способу: применению пароля. Даже те компьютеры, которые вовсе не нуждаются в средствах зашиты, зачастую снабжаются паролем просто потому, что пароль дает ощущение психологического комфорта и его использование не требует особенно много времени, сил и места в памяти. Более того, в системах, уже защищенных другими средствами — магнитными картами или иными программными методами, типа шифрования, нередко удваивают или утраивают защиту содержимого, прибегая к системе паролей. Таким образом, практически все установки компьютеров включают в себя пароли того или иного вида. Пароли, как правило, рассматриваются в качестве ключей для входа в систему, но они используются и для других целей:
блокирование записи на дисковод, в командах на шифрование данных или на разархивацию файлов. Иначе, во всех тех случаях, когда требуется твердая уверенность в том, что соответствующие действия будут производиться только законными владельцами или пользователями программного обеспечения.
Пароли подразделяются на семь основных групп:
пароли, устанавливаемые пользователем;
пароли, генерируемые системой;
случайные коды доступа, генерируемые системой;
полуслова;
ключевые фразы;
интерактивные последовательности типа “вопрос — ответ”;
“строгие” пароли.
Если вы решились на взлом, вам, прежде всего, необходимо вычислить, какой из этих семи видов паролей используется в данной системе.
Первый является наиболее распространенным — обычно пользователи, движимые мелким тщеславием, просят придумать себе личный пароль.
Системное программное обеспечение может применить полностью случайную последовательность символов — случайную вплоть до регистров, цифр, пунктуации длины; или же в генерирующих процедурах могут быть использованы ограничения.
Например, каждый код доступа согласуется с заранее подготовленным шаблоном (вроде
oabc-12345-efghn, где буквы и цифры, на заданных позициях, генерируются случайным образом).
Создаваемые компьютером пароли могут также случайным образом извлекаться из списка обычных или ничего не значащих слов, созданных авторами программы, которые образуют пароли вроде onah.foopn, или ocar- back-treen.
Полуслова частично создаются пользователем, а частично — каким-либо случайным процессом. Это значит, что если даже пользователь придумает легко угадываемый пароль, например, “секрет”, компьютер дополнит его какой-нибудь неразберихой, образовав более сложный пароль типа “секрет,5гh11”.
Ключевые фразы хороши тем, что они длинные и их трудно угадать, зато легко запомнить. Фразы могут быть осмысленными, типа “we were troubled by that”, или не иметь смысла — “fished up our nose”. Ключевые фразы применяются в тех организациях, где менеджер слегка помешан на защите. Следует заметить, что в программировании постепенно намечается тенденция к переходу на более широкое применение ключевых фраз. К концепции ключевых фраз близка концепция кодового акронима, который эксперты по защите оценивают как короткую, но идеально безопасную форму пароля. В акрониме пользователь берет легко запоминающееся предложение, фразу, строчку из стихотворения и т. п., и использует первые буквы каждого слова в качестве пароля.
Например, акронимами двух приведенных выше фраз являются “wwtbt” и “fuon”. Как видите, подобные нововведения в теории паролей значительно затрудняют занятия электронным шпионажем.
Шестой тип паролей — интерактивные последовательности “вопрос — ответ”, предлагают пользователю ответить на несколько вопросов, как правило, личного плана:
“Девичья фамилия вашей супруги?”, “Ваш любимый цвет?”, и т. д. В компьютере хранятся ответы на множество таких вопросов. При входе пользователя в систему компьютер сравнивает полученные ответы с “правильными”. Сеансы вопросов и ответов могут оказаться лакомым кусочком для хакера, который хорошо знаком с пользователем, под чьим именем он пытается войти в систему. Системы с использованием вопросов — ответов склонны к тому же прерывать работу пользователя каждые десять минут, предлагая отвечать на вопросы, дабы подтвердить его право пользоваться системой. Ныне такие пароли почти не используются. Когда их придумали, идея казалась неплохой, но раздражающий фактор прерывания привел к тому, что данный метод практически исчез из обихода.
“Строгие” пароли обычно используются совместно с каким-нибудь внешним электронным или механическим устройством - “цербером”. В этом случае компьютер обычно с простодушным коварством предлагает несколько вариантов приглашений, а бедолага пользователь должен дать на них подходящие ответы. Этот вид паролей часто встречается в системах с одноразовыми кодами, а также в параноидальных организациях.
Одноразовые коды — это пароли, которые срабатывают только один раз. К ним иногда прибегают, создавая временную копию для гостей, чтобы продемонстрировать потенциальным клиентам возможности системы. Они также порой применяются при первом вхождении пользователя в систему. Во время первого сеанса пользователь вводит свой собственный пароль и в дальнейшем входит в систему лишь через него. Одноразовые коды могут также применяться в системе, когда действительный пользователь входит в нее в первый раз; затем пользователю следует поменять свой пароль на более секретный персональный код. В случаях, когда системой пользуется группа людей, но при этом нельзя нарушать секретность, прибегают к списку одноразовых кодов.
Пороли, устанавливаемые пользователем
Большинство паролей относятся к типу “выбери сам”. Большинство современных программ запрашивают не слишком короткий пароль, чтобы систему было “труднее взломать”. Обычно пароль содержит не менее четырех-пяти букв. Существуют также и другие меры, призванные не позволить пользователю создать неудачный пароль.
Например, система может настаивать на том, чтобы пароль включал в себя строчные и заглавные буквы вперемешку с цифрами; заведомо очевидные пароли, например,
“компьютер”, ею отвергаются. В разных операционных системах существует немало программ, которые просматривают файлы, содержащие пароли, анализируют пароли пользователей и определяют, насколько они секретны. Неподходящие пароли заменяются.
Вам необходимо досконально познакомиться с такими программами. Тогда вы будете иметь представление о том, какая из этих программ используется в избранной вами системе, и какие пароли данная программа не пропускает.
Не считая гениев, все люди, когда надо принимать быстрые решения, мыслят и действуют примерно одинаково. Начальные предположения и первые умозаключения в определенных группах людей оказываются одинаковыми. Когда человек впервые загружает компьютер, и тот запрашивает у него пароль, этот пароль окажется вариантом одной из общих и актуальных для всех тем особенно если у пользователя не хватает времени или он находится в незнакомом месте. Представьте себе состояние человека, когда его просят придумать собственный секретный пароль. Возможно, каждая минута промедления оборачивается все новыми центами и долларами. Как бы то ни было, стоит запросу появиться на экране, и человека посещает мысль о том, что надо немедленно что- то предпринимать. Люди выдают первое, что приходит им в голову. Пароли создаются впопыхах, а последующая замена такого пароля на более надежный происходит достаточно редко.
Пароли в большинстве своем являются литературными словами типа “subway”,
“chocolate” и т. п. В самом деле, можете ли вы представить себе новичка, сидящего за компьютером и старательно вводящего в качестве пароля нечто вроде “fMm6Pe”? Ну, конечно же, нет! Правила правописания для паролей не применяются: при создании паролей разрешается использовать имена собственные, равно как и слова с орфографическими ошибками, аббревиатуры, бессмыслицы и иностранные термины. Так, любитель посмотреть по телевизору Star Trek может создать пароль “enterprize” вместо корректного “Enterprise”. Возможно, он (или она) не знаком с правописанием, а может, ему так просто больше нравится, — неважно. Важно, чтобы вы знали: слова с ошибками
— полноправные обитатели мира паролей. Можно найти букву “k” на месте “с” — “koka kola”, “х” вместо “ks” в “thanx” и другие фонетические заменители.
Малая шестнадцатеричная клавиатура используется некоторыми программистами для ускорения ввода символов в шестнадцатеричном коде. Эта клавиатура — хорошая иллюстрация к принципу, которым пользуются находчивые хакеры: то, что вы видите на вашей стороне линии, может отличаться от того, что происходит на той.
Если минимальная длина пароля должна составлять шесть символов, не думайте, что клавиатурные пароли намного превысят эту длину. С другой стороны, нельзя же опробовать все сочетания клавиш: их бесконечно много. Но в любом случае отгадывание клавиатурных паролей скрасит вам часы отдыха.
Наиболее часто встречающиеся пароли можно перечислять до бесконечности — имена домашних питомцев, исторические даты, названия книг — не говоря уже о том, что все они могут быть написаны с пропущенными гласными, задом наперед и в виде различных анаграмм. Порой и думать не приходится о сокращении числа возможных паролей до нескольких, так как ваше “сокращенное” число окажется таким же бесконечным, как и то, которое вы пытались сократить. Кроме того, пароль может быть
“легким” для угадывания и в то же время достаточно тайным, чтобы отбить у вас охоту его отгадывать. Пароль “Смит” не является особенно тайным, равно как и пароль
“Ажонс”, но пароль “Смит@°Джонс” вполне отвечает требованиям секретности.
Литература
1. Касперский Е. Компьютерные вирусы в MS-DOS. М.: Издательство «ЭДЕЛЬ», 1992.
2. Правников Д.И. Ключевые дискеты. Разработка элементов систем защиты от несанкционированного копирования. – М.: Радио и связь, 1995.
3. Защита программного обеспечения: Пер. с англ./Д. Гроувер, Р. Сатер, Дж. Фипс и др./Под редакцией. Д.Гроувера. – М.: Мир, 1992.
