Как создать хороший пароль? Работа со «Связкой ключей» (Часть 1)

OS X, Безопасность | Автор: Владислав Сикорский Оставить коментарий

Назначение пароля — самый понятный и распространенный метод защиты информации. В наше время без паролей просто нельзя существовать, и они назначаются буквально на все: компьютер, почта, вконтакте, даже вход в подъезд и тот временами на пароле, правда трехзначном.

Эта статья из серии «Безопасность Mac OS». В ней мы поднимем важные темы такие как: пароли, методы взлома паролей, как придумать тяжелый пароль, за сколько времени возможно взломать пароль. Во второй части мы расмотрели методы хранения паролей, как подсматривать забытые пароли от почты или Wi-Fi сетей и другие нюансы по работе со связкой ключей и паролями в операционной системе Mac OS.

Понятие пароль берет начало еще с 201 до н. э. В древнем Риме его описывали приблизительно так :

То, каким образом они обеспечивают безопасное прохождение ночью выглядит следующим образом: из десяти манипул каждого рода пехоты и кавалерии, что расположено в нижней части улицы, командир выбирает, кто освобождается от несения караульной службы, и он каждую ночь идёт к трибуну, и получает от него пароль — деревянную табличку со словом. Он возвращается в свою часть, а потом проходит с паролем и табличкой к следующему командующему, который в свою очередь передает табличку следующему.

Источник: wikipedia

В наше время все понимают последствия ситуации когда ваш пароль попадает каким-то образом не в те руки. В самом лучшем варианте — злоумышленник получает доступ к ресурсу от которого был пароль. В худшем случае, у вас пароль один на все и таким образом злоумышленник получает доступ ко всей вашей онлайн жизни.

Прежде чем что-то защищать, нужно понять каким образом злоумышленник может получить доступ к информации. Для начала давайте рассмотрим как можно взломать пароль?

Как можно взломать пароль?

Самый простой и действенный способ — перебрать популярные пароли. Большинство из беспечных пользователей назначают очень легкие пароли по типу:

  1. qwerty
  2. 12345 — самый популярный
  3. qwertyuiop
  4. 0000 — замечательный пароль
  5. gfhjkm — Наверно один из самых сложных (на русской раскладке «пароль»)
  6. Ну и оригинальный пароль — пробел

Комичность ситуации заключается в том, что процент таких пользователей достигает 80%. Современные сервисы по типу AppStore или Gmail при регистрации требуют пароли от 8 символов которые должны содержать большие, маленькие буквы и цифры, но разве это нас остановит? ;-) Чтобы упростить себе жизнь мы назначим пароль:

  1. Aa123456
  2. Qwerty123
  3. Password123

Следующим и нисколько не трудозатратным способом является метод регистрации. Суть метода заключается в том, что большинство пользователей хотят упростить себе жизнь и назначают на все ресурсы одинаковые пароли. Злоумышленник рекомендует вам сайт, вы на нем регистрируетесь… Дальше исход очевиден.

Следующий методов используют уже профессионалы, он сложнее чем предыдущий, но не менее действительный — Социальная инженерия. Суть метода заключается в сборе информации через социальные сети, такие как: ваш день рождения, марка машины, девичья фамилия матери, имена детей. После чего потребуются большие вычислительные мощности чтобы подставлять собранные данные в разных вариантах.

Метод bruteforce (грубая сила) — метод простого перебора. Преимущество метода — рано или поздно пароль будет подобран. Недостаток — требуется много времени и большие вычислительные мощности. Используется в основном если другие методы не дали результата.

Методы перехвата трафика, и вредоносный код мы рассмотрели в других статьях.

Mac OS геренация паролей

 

Неверные способы генерации паролей

Существует не менее десяти способов и мнений как придумать или сгенерировать тяжелый пароль. Самым популярным является слово английскими буквами на русской раскладке клавиатуры. К примеру :

  1. gfhjkm (пароль)
  2. vthctltc (мерседес)
  3. k.,jdm (любовь)

Хоть этот пароль и надежнее чем перечисленные выше и его легко запомнить, но его легко взломать методом перебора популярных паролей буквально за пару часов. Также проблема в том, что для такого метода под рукой всегда должна быть qwerty-клавиатура.  Если вы будете находится далеко от компьютера и попытаетесь зайти на почту с телефона, или вспомнить пароль от сайта, вам придётся звонить знакомому и узнавать какой букве что соответствует.

Заменять некоторые буквы на похожие цифры. К примеру  3=з 4=ч 6=ш 1=i 0=о. Это  усложнит перебор паролей, но в существующих словарях уже это учли, поэтому этот хитрый способ задержит злоумышленника на пару часов.

Если объединить эти 2 метода, и прибавить к ним символы, получиться достаточно надежный пароль. Пример создания пароля:

  1. Случайным образом берем любое прилагательное. Например, «коричневый».
  2. Случайным образом берем любое существительное. Главное, чтобы это существительное «плохо сочеталось» с прилагательным, которое мы взяли в шаге 1. Например, «Нож».
  3. Берем цифру, которую легко запомнить к примеру день рождения.
  4. Берем любой знак препинания.
  5. Запишем строки, которые мы получили в 1 — 4 шагах в одну большую строку: «коричневыйнож1985!».
  6. Поменяем в этой строке строчные букву на прописные: «КоричневыйНож1985!».
  7. Наберем на клавиатуре эту строку в английской раскладке: «RjhbxytdsqYj;1985!».

Это способ самый популярный среди опытных пользователей. Он удобен, его легко запомнить, тяжело подобрать. Но давайте разберем его недостатки. Как говорилось раньше такой пароль тяжело будет ввести без клавиатуры компьютера и опять же вы скорее всего будете подбирать прилагательное и существительное с помощью ассоциативного мышления, которые будут связанны с тем где вы сейчас находитесь, что у вас сейчас лежит на столе, ваше любимое место  и.т.д. что облегчит работу злоумышленнику.

Как сделать надежный пароль?

Чтобы не полагаться на ассоциативное мышление, можно воспользоваться программой генерации паролей. Команда Linx может порекомендовать 2 программы под Mac OS: 1Password, и «Связка ключей» которая уже предустановлена в Mac OS.

У 1Password красивый дизайн, программа генерирует и хранит пароли. Также она хранит данные кредитных карточек, секретные заметки, картинки и прочую информацию. Но на наш взгляд у нее есть один существенный недостаток, как и у любого стороннего ПО- после обновления системы программа может не запустится или не подставлять пароли, что элементарно будет раздражать и плохо скажется на работоспособность. Споры какая из программ лучше длятся уже годами, но  мы сделали свой выбор в пользу Связки ключей.

Связка ключей — предустановленная программа. Найти ее вы можете в Finder->Программы->Утилиты->Связка ключей. В ней система хранит пароли от Wi-Fi сетей, почты сайтов и прочих ресурсов и она нам поможет сгенерировать надежный пароль. Для этого:

1) Откройте программу

2) Перейдите в верхнем меню Файл->Новый пароль

Mac Os связка ключей генерация Нового пароля

3) Нажмите на кнопку с изображение ключа

Связка ключей в Mac OS, генерирование пароля

4) В открывшимся окне  вам надо выбрать тип и длину пароля.

Связка ключей выбор типа нового пароля

Тип пароля может быть:

  • Запоминающийся — самый популярный пароль. Программа берет 2 любых слова, между ними вставляет цифры и символ. Благодаря такому методу пароля быстро запоминается и с другой стороны отсекает все методы взлома паролей (кроме bruteforce) начиная от социальной инженерии и заканчивая перебором популярных вариантов. Примеры сгенерированных паролей: demo766[Finn    Wag7{scathes   Kelt46\taros
  • Буквы и цифры - программа берет в произвольном порядке буквы верхнего и нижнего регистра, без символов. Такой пароль тяжелее взломать чем запоминающийся, но трудно запомнить. Примеры паролей: A6JITq9Go8Zi   0F42qiez2Uhr   NjN93Rd1Rzgv
  • Только цифры - программа берет в произвольном порядке цифры, без букв и символов. Такой тип пароля легко взломать и тяжело запомнить. Примеры паролей: 493764679185   323646276193   492840648254
  • Произвольный - Самый надёжный пароль. Для его генерации связка ключей берет произвольные буквы разного регистра, цифры и символы. Но из недостатков можно отметить тяжелое запоминание.
  • Соответствующий  FIPS-181.  FIPS-181 - американский стандарт защиты соединения и шифрования. Не используется в странах СНГ. Один из самых ненадежных паролей. Примеры: cegaskuehtal  kuhdonfabaim wyihnodvyeih

Длину пароля вы можете регулировать ползунком, который находится чуть ниже. Вы можете выбрать длину пароля от 8 до 31 одного символа. Напоминим: чем длинее пароль, тем сложнее его взломать. Но с другой стороны длиный пароль тяжело запомнить.

Сколько времени надо на взлом пароля?

Любой пароль при физическом доступе к носителю информации возможно взломать с помощью перебора символов. К примеру перебор паролей подойдет для зашифрованных флешек, защищенных резервных копий и зашифрованных образов. Поэтому главным критерием надежности пароля является время которое потребуется для его взлома. Если пароль сгенерирован правильно то на его подбор могут уйти года, за это время информация устареет и не принесет никакого результата злоумышленникам.

Итак: пароль - CS`O#g8hXmt>+U  не может быть взломан методом перебора за 1 млн лет, даже если будут использованы 1 млн компьютеров способные достичь скорости перебора в 5 млн паролей в секунду.

А вот простенький пароль AOGIph будет взломан с использованием всего одного компьютера способного достичь скорости перебора в 5000000 миллионов паролей в секунду за ~32 минуты и 44 секунды.

На этом мы заканчиваем первую часть, но настоятельно рекомендуем прочитать вторую статью где описано как хранить пароли, подсматривать забытые пароли от почты или Wi-Fi сетей и другие нюансы по работе со связкой ключей.

В заключение можем порекомендовать прочитать другие статьи по безопасности:

Как создать хороший пароль? Работа с связкой ключей (Часть 1)
9.1 / 10 stars

 

 

Оставить коментарий

LiNX.net.ua by LiNX team
RSS канал RSS отзывы Войти