6048

Захист інформації за допомогою пароля

Лабораторная работа

Информатика, кибернетика и программирование

Захист інформації за допомогою пароля Мета роботи: дослідження захисту з застосуванням пароля, а також дослідження методів протидії атакам на пароль. Теоретична частина 1 Атаки на пароль На сьогоднішній день пароль є найбільш пр...

Украинкский

2014-12-28

132 KB

16 чел.

Захист інформації за допомогою пароля

Мета роботи:  дослідження захисту з застосуванням пароля, а також дослідження методів протидії атакам на пароль.

Теоретична частина

1 Атаки на пароль

На сьогоднішній день пароль є найбільш прийнятним і тому найбільше часто використовуваним засобом установлення дійсності, заснованим на знаннях суб'єктів доступу.

У будь-якій критичній системі помилки людини-оператора є чи ледве не самими дорогими і розповсюдженими. У випадку криптосистем, непрофесійні дії користувача зводять нанівець самий стійкий криптоалгоритм і саму коректну його реалізацію і застосування.

У першу чергу це зв'язано з вибором паролів. Очевидно, що короткі або осмислені паролі легко запам'ятовуються людиною, але вони набагато простіші для розкриття. Використання довгих і безглуздих паролів безумовно краще з погляду криптостойкости, але людина звичайно не може них запам'ятати і записує на папірці, що потім або губиться, або попадає в руки зловмисникові. Саме з того, що недосвідчені користувачі звичайно вибирають або короткі, або осмислені паролі, існують два методи їхнього розкриття: атака повним перебором і атака по словнику.

Захищеність пароля при його підборі залежить, у загальному випадку, від швидкості перевірки паролів і від розміру повної безлічі можливих паролів, що, у свою чергу, залежить від довжини пароля і розміру застосовуваного алфавіту символів. Крім того, на захищеність сильно впливає реалізація парольного захисту.

У зв'язку з різким ростом обчислювальних потужностей атаки повним перебором мають набагато більше шансів на успіх, ніж раніше. Крім того, активно використовуються розподілені обчислення, тобто рівномірний розподіл задачі на велику кількість машин, що працюють паралельно. Це дозволяє багаторазово скоротити час злому.

Однак повернемося на кілька років назад, коли обчислювальної потужності для повного перебору всіх паролів не вистачало. Проте, хакерами був придуманий дотепний метод, заснований на тому, що як пароль людиною вибирається існуюче слово або яка-небудь інформація про себе або своїх знайомих (ім'я, дата народження і т.п.). Ну, а оскільки в будь-якій мові не більш 100000 слів, то їхній перебір займе досить невеликий час, і від 40 до 80% існуючих паролів може бути вгадане за допомогою простої схеми, називаною “атакою по словнику”. До речі, до 80% цих паролів може бути вгадані з використанням словника розміром всього 1000 слів!

Нехай сьогодні користувачі вже розуміють, що вибирати такі паролі не можна, але, навірно, ніколи експерти по комп'ютерній безпеці не дочекаються використання таких простих і що радують душу паролів, як 34jхs5U@bта!6;). Тому навіть спокушений користувач хитрить і вибирає такі паролі, як hоре1, user1997, рAsSwOrD, toor, roottoor, раго1, gfhjkm, аsхz. Видно, що усі вони, як правило, базуються на осмисленому слові і деякому простому правилі його перетворення: додати цифру, додати рік, перевести через букву в інший регістр, записати слово навпаки, додати записане навпаки слово, записати російське слово латинськими буквами, набрати російське слово на клавіатурі з латинською розкладкою, скласти пароль із поруч розташованих на клавіатурі клавіш і т.п.

Тому не треба дивуватися, якщо такий “хитрий” пароль буде розкритий хакерами — вони не дурніші самих користувачів, і уже вставили у свої програми ті правила, по яких може йти перетворення слів. У програмах (John The Ripper, Password Cracking library) ці правила можуть бути програмувальними і задаватися за допомогою спеціальної мови самим хакером.

Приведемо приклад ефективності такої стратегії перебору. У багатьох книгах по безпеці пропонується вибирати як надійний пароль два осмислених слова, розділених деяким знаком (наприклад, good!password). Підрахуємо, за скільки часу всередньому будуть зламані такі паролі, якщо таке правило включене в набір програми-зломщика (нехай словник 10000 слів, знаками можуть бути 10 цифр і 32 розділові знаки і спеціальні символи, машина класу Pentium зі швидкістю 15000 паролів/сек): 10000*(32+10)*10000/15000*2=140000 секунд або менш 1.5 дні (старі дані).

Чим більше довжина пароля, тим більшу безпеку буде забезпечувати система, тому що будуть потрібні великі зусилля для його відгадування. Це можна представити в термінах очікуваного часу розкриття пароля або очікуваного безпечного часу. Очікуваний безпечний час (Тб) — половина добутку числа можливих паролів і часу, необхідного для того, щоб спробувати кожен пароль з послідовності запитів. Представимо це у виді формули:

                                           (1)

де t— час, необхідний на спробу введення пароля, рівний E/R;

E — число символів у переданому повідомленні при спробі одержати доступ (включаючи пароль і службові символи);

R — швидкість передачі (символи/хв) у лінії зв'язку;

S — довжина пароля;

А — число символів в алфавіті, з яких складається пароль.

Якщо після кожної невдалої спроби підбору автоматично передбачається десятисекундна затримка, то безпечний час різко збільшується.

Тому при використанні аутентификації на основі паролів захищеною системою повинні дотримуватися наступні правила:

а) не дозволяються паролі менше 6–8 символів;

б) паролі повинні перевірятися відповідними контролерами;

в) символи пароля при їхньому введенні не повинні з'являтися в явному виді;

г) після введення правильного пароля видається інформація про останній вхід у систему;

д) обмежується кількість спроб уведення пароля;

е) уводиться затримка часу при неправильному паролі;

ж) при передачі по каналах зв'язку паролі повинні шифруватися;

з) паролі повинні зберігатися в пам'яті тільки в зашифрованому вигляді у файлах, недоступних користувачам;

и) користувач повинний мати можливість самому змінювати пароль;

к) адміністратор не повинний знати паролі користувачів, хоча може їх змінювати;

л) паролі повинні періодично мінятися;

м) установлюються терміни дії паролів, після закінчення яких треба зв'язатися з адміністратором.

2 Проблема вибору пароля

Вибір довжини пароля в значній мірі визначається розвитком технічних засобів, їхньої елементної бази та її швидкодією. В даний час широко застосовуються багатосимвольні паролі, де S>10. У зв'язку з цим виникають питання: як і де його зберігати і як зв'язати його з аутентификацією особистості користувача? На ці питання відповідає комбінована система паролів, у якій код пароля складається з двох частин. Перша частина складається з 3–4-х десяткових знаків, якщо код цифровий, і більше 3–4-х, якщо код буквений, котрі легко запам'ятати людині. Друга частина містить кількість знаків, обумовлена вимогами до захисту і можливостями технічної реалізації системи, вона міститься на фізичному носії і визначає ключ-пароль, розрахунок довжини коду якого ведеться по зазначеній вище методиці. У цьому випадку частина пароля буде недоступна для порушника.

Однак при розрахунку довжини коду пароля не слід забувати про те, що при збільшенні довжини пароля не можна збільшувати періодичність його зміни. Коди паролів необхідно змінювати обов'язково, тому що за великий період часу збільшується імовірність їхнього перехоплення шляхом прямого розкрадання носія, зняття його копії, примуса людини. Вибір періодичності необхідно визначати з конкретних умов роботи системи, але не рідше одного разу в рік. Причому бажано, щоб дата заміни і періодичність повинні носити випадковий характер.

Для перевірки уразливості паролів використовуються спеціальні контролери паролів. Наприклад, відомий контролер Кляйна, здійснює спроби злому пароля шляхом перевірки використання як пароль вхідного імені користувача, його ініціалів і їхніх комбінацій, перевірки використання як пароль слів з різних словників, починаючи від найбільш уживаних як пароль, перевірки різних перестановок слів, а також перевірки слів мовою користувача-іноземця. Перевірка паролів в обчислювальних мережах за допомогою контролера Кляйна показала досить високі результати — більшість користувачів використовують прості паролі. Показовий приклад, коли контролер Кляйна дозволив визначити 100 паролів з 5 символів, 350 паролів з 6 символів, 250 паролів з 7 символів і 230 паролів з 8 символів.

Приведений аналіз дозволяє сформулювати наступні правила зниження уразливості паролів і спрямовані на протидію відомим атакам на них:

– розширюйте застосовуваний у паролі алфавіт — використовуйте прописні і малі літери латинського і російського, українського алфавітів, цифри і знаки;

– не використовуйте в паролі осмислені слова;

– не використовуйте повторювані групи символів;

– не застосовуйте паролі довжиною менш 6–8 символів, тому що запам'ятати їх не представляє великої праці, а пароль саме потрібно запам'ятовувати, а не записувати. По тій же причині не має змісту вимагати довжину неосмисленого пароля більш 15 символів, тому що запам'ятати його нормальній людині практично неможливо;

– не використовуйте той самий пароль у різних системах, тому що при компрометації одного пароля постраждають усі системи;

– перевіряйте паролі перед їхнім використанням контролерами паролів.

Для складання пароля можна дати рекомендації, якими користуватися треба дуже обережно:

– виберіть кілька рядків з пісні або поеми (тільки не ті, котрі Ви повторюєте першому зустрічному) і використовуйте першу (або другу) букву кожного слова — при цьому пароль повинний мати велику довжину (більш 15 символів), інакше потрібно змінювати регістри букв, застосовувати латинські букви замість російських або навпаки, можна вставляти цифри і знаки;

– заміните в слові із семи-восьми букв одну приголосну й одну або дві голосні на знаки або цифри. Це дасть вам слово-абракадабру, що звичайно вимовне і тому легко запам'ятовується.

Підіб'ємо підсумок:

Що таке поганий пароль:

  •  Власне ім'я;
  •  Слово, що є в словнику;
  •  Ідентифікатор, привласнений Вам якою-небудь системою, або будь-які його варіації;
  •  Дата народження;
  •  Повторений символ (наприклад: AAA);
  •  Пароль менше 6 символів;
  •  Пароль, установлений Вам чужою людиною;
  •  Пароль, що складається із сусідніх символів на клавіатурі (наприклад: QWERTY або ЙЦУКЕ);
  •  Пароль, який складається з паспортних даних: персональний номер, номер прав водія і т.д.

Що таке гарний пароль:

  •  Безглузда фраза;
  •  Випадковий набір символів упереміш з буквами.

3 Робота з програмами злому на прикладі AZPR

У даній лабораторній роботі використовується програмний продукт для розкриття закритих паролем архівів: Advanced ZIP Password Recovery .

Програма AZPR використовується для відновлення забутих паролів ZIP-архівів. Існує два способи розкриття паролів: перебір (brute force) і атака по словнику (dictionary-based attack).

Панель керування:

  •  кнопки Відкрити (Open) і Зберегти (Save) дозволяють працювати з проектом, у якому зазначений файл, що розкривається, набір символів, останній протестований пароль. Це дозволяє призупиняти і відновляти розкриття.
  •  кнопки Старт (Start) і Стоп (Stop)  дозволяють відповідно починати і закінчувати підбір пароля.
  •  кнопка Набір (Range) дозволяє задати свою множину символів, якщо відомі символи, з яких складається пароль.
  •  кнопка Довідка (Help) виводить допомогу по програмі.
  •  кнопка O AZPR виводить інформацію про програму.
  •  кнопка Вихід (Quit) дозволяє вийти з програми

Розглянемо можливості програми:

Вибирається архів для розкриття і тип атаки (див. рис).

Вибираються параметри роботи:

  •  Закладка Набір (Range)

Програма дозволяє вибрати область перебору (набір символів). Це значно скорочує час перебору. Можна використовувати набір користувача, заданий за допомогою кнопки Набір. Можна обмежити кількість тестованих паролів, задавши початковий пароль. У випадку якщо відомо частину пароля, дуже ефективна атака по масці. Потрібно вибрати відповідний тип атаки, після цього стане доступним поле маска. У ньому потрібно увести відому частину пароля у виді P?s?W?r? , де на місці невідомих символів потрібно поставити знак питання. Можна використовувати будь-який інший символ, увівши його в поле символ маски.

Закладка Довжина (Length)

Дозволяє вибрати довжину пароля.

  •  Закладка Словник (Dictionary)

Дозволяє вибрати файл-словник. Вибирайте файл English.dic, він містить набір англійських слів і набори символів, що найбільше часто використовуються як паролі.

  •  Закладка Автозберігання (Avto-save)

Можна вибрати ім'я файлу для збереження результатів роботи й інтервал автозбереження.

  •  Закладка Опції (Options)

Вибирається пріоритет роботи (фоновий або високий), інтервал відновлення інформації про тестований у даний момент пароль. Збільшення інтервалу підвищує швидкодію, але знижує інформативність. Також можна установити режим ведення протоколу роботи і можливість мінімізації програми в tray (маленька іконка поруч з годинником).

4 Порядок виконання роботи

4.1.Проведення атаки перебором (bruteforce attack)

  1.  Використовуючи програму для розкриття паролів зробити атаку на зашифрований файл *.rar (*.arj, *.zip – у залежності від варіанту). Область перебору – усі символи, що друкуються, довжина пароля від 1 до 4 символів. Перевірити правильність визначеного пароля, розпакувавши файл і ознайомивши з його вмістом.
  2.  Виконавши пункт 1, скоротити область перебору до фактично використовуваного (наприклад якщо пароль 6D1A – то вибрати прописні англійські букви і цифри). Провести повторне розкриття. Порівняти витрачений час.

4.2.Проведення атаки по словнику (dictionary attack)

1. Стиснути який-небудь невеликий файл, вибравши як пароль англійське слово довжиною до 5 символів (наприклад love, god, table, admin і т.д.). Провести атаку по словнику. Для цього вибрати вид атаки й у закладці Словник вибрати файл English.dic. Він містить набір англійських слів і набори символів, що найбільше часто використовуються як паролі.

  1.  Спробувати визначити пароль методом прямого перебору. Порівняти витрачений час.

5.ЗМІСТ ЗВІТУ

1) титульний лист;

2) формулювання мети роботи;

3) опис результатів виконання;

4) висновки, погоджені з метою роботи.

6. КОНТРОЛЬНІ ПИТАННЯ

  1.  Які види атак на пароль Ви знаєте?
  2.  Що таке поганий пароль?
  3.  Як можна протистояти атаці повним перебором?

4.   Як довжина пароля впливає на імовірність розкриття пароля?

5.  Які рекомендації зі складання паролів Ви можете дати?


 

А также другие работы, которые могут Вас заинтересовать

44532. Ас қорыту жүйесінің жалпы құрылысы, әрбір бөлімнің қызметтері 15.17 KB
  Ас қорыту жүйесі (көне грекше: systema digestoria; көне грекше: systema — бүтін, байланысқан, жүйе; лат. digestoria — асқорыту) - адам мен жануарлар организмдеріндегі асты (азықты) қабылдау, өндеу, қорыту, сіңіру және жын қалдығын сыртқы ортаға шығару қызметтерін атқаратын мүшелердің жүйесі
44533. ТАТЬЯНА ТОЛСТАЯ: ТЕКСТ СЕМЬИ И СЕМЬЯ В ТЕКСТЕ 187.3 KB
  Татьяна Толстая. В предисловии к одной из своих последних публикаций Толстая рассматривает литературу как дело сугубо семейное как нечто напоминающее надомный промысел. Опубликовав свои эссе в одном томе с рассказами своей сестры Наталии Толстая комментирует это собрание текстов под названием Сестры следующим образом: Наша книга – отклик на происходящее вокруг.
44534. ФОРМЫ ГОСУДАРСТВ, ФОРМЫ «СЕМЬИ» 377.14 KB
  При этом по крайней мере в идеале социалистические государства Центральной и Восточной Европы являлись формой государства всеобщего благосостояния. Относительная обеспеченность едой и жильем полная занятость высокие – по сравнению с другими стратами – зарплаты для рабочих и обеспечение номинально бесплатного или дешевого здравоохранения образования ухода за детьми материнскими льготами и культурными мероприятиями – все это могло бы служить основанием для того чтобы рассматривать эти государства в качестве примера государства...
44535. Старая идеология новой семьи: демографический национализм России и Украины 262.55 KB
  В средствах массовой информации в политических и академических дискуссиях даже в документах женского движения подчеркивается возрастание социальной значимости традиционных женских ролей жены и матери возвращение мужчине экономической ответственности за обеспечение семьи важная роль традиционно крепкой украинской семьи в процессах консолидации и возрождения нации значение женской репродуктивной функции для усиления позиций украинского этноса. Идеализация традиционной семьи предполагает дистанцирование от коммунистического опыта...
44536. Их нравы: американская семья в зеркале советской пропаганды холодной войны 142.76 KB
  Брат –дегенерат†–так портретируется “светская американская семья†в одном из выпусков советского сатирического журнала “Крокодил†за 1949 год илл. Основными источниками стали журналы “Крокоди놓Работница†и “Семья и школа†а также пропагандистские брошюры о семье относящиеся в целом к периоду “холодной войны†т. В результате заморский гость приходит к выводу что “ему не повезло что он нарвался на двух опытных агентов советской пропаганды†Крокодил 1947 № 29 8. Главным мотивом...
44537. Право матери солдата: инстинкт заботы или гражданский долг? 202.84 KB
  В связи с этим общественные объединения “солдатских матерей†представляют интересный объект для социологического анализа так как их деятельность затрагивает одновременно интересы семьи роли матери и становления принципов правового государства и развития гражданского общества в России. Социологические основания деятельности организаций “солдатских матерей†как в рамках гендерной теории так и теории военногражданских отношений и стали предметом научной рефлексии в представленной статье. Эмпирическим материалом в данной статье...
44538. «СЫН ЗА ОТЦА НЕ ОТВЕЧАЕТ?»: комплекс безотцовщины в советской литературе 176.26 KB
  Проблема отцовства и безотцовщины явно тяготеет к сакральным отношениям Бога–Отца и Бога–Сына. Отец–учитель В 1920––е годы префигуративный конфликт явившись основой сюжетных коллизий многих произведений нередко носил трагический характер смертельного противоборства отца и сына. Наконец третье: гибель сына заставляет атамана в одно мгновение забыть о борьбе за ту идею которая и привела его к убийству заставляет понять отца что его существование в этом мире уже бессмысленно: Медленно словно боясь разбудить вверх лицом повернул...
44539. ПРОСТРАНСТВО (БЕЗ) СЕМЬИ 378.18 KB
  Модель семейных отношений сформированная на основе определенного опыта “материнство†переносилась на отношения и опыт сформированные в условиях длительной или постоянной изоляции “сиротствоâ€. Ведь каждый знак как способ построения социальных отношений как средство человеческого взаимодействия продолжает одновременно существовать в качестве посредника между выражением этих отношений и его восприятием становясь тем самым частью знаково оформленного “Яâ€. И структурный анализ “репертуара речевых формâ€...
44540. ТАКИЕ СПОРТИВНЫЕ ДЕВЧонКИ – КАК МАЛЬЧИКИ!: о воспитании детей в постсоветской России 233.84 KB
  Не избежали перемен и отношения к женщинам и мужчинам как членам этого изменяющегося общества – в данном случае перемены сопровождалось обширной дискуссией о необходимости развивать новые отношения между полами в постсоветском обществе о новом понимании мужских и женских ролей и соответственно о воспитании нового поколения также как о перевоспитании нынешнего. Во время проведения исследования мною были собраны и проанализированы более 300 публикаций касающихся женщин их роли в обществе в политической жизни в сфере труда в...