Idealne hasło – długie, biometryczne, uwierzytelnienie dwustopniowe czy jeszcze coś innego ?

Ostatnio miał miejsce atak hackerski, na przynajmniej niektóre z serwerów GPW.Więcej o tym pisze niebezpiecznik.

Ludzie których hasła złamano generalnie stosowali (zaglądałem na pastebin) hasła słabe.Byli to, niestety chyba nawet niektórzy administratorzy. W tym krótkim artykule wyjaśnię kilka podstawowych drobiazgów dotyczących haseł.

  • Wejście na serwer osiągane jest zwykle dzięki dziurze w którejś z usług serwera,dzięki „podsłuchaniu” hasła (w sieci snifferem,lub fizycznie – keylogerem) lub ordynarnemu zdobyciu pliku z hasłami.Jest to temat zbyt złożony,by omawiać go na tym blogu,ponieważ istnieje naprawdę wiele ewentualności.
  • Hasła systemowe i niektóre programowe zawarte są w formie zakodowanej.Jest tak w wypadku części programów,ale nie zawsze,niektóre hasła prostszych programów zapisywane są jednak w plikach konfiguracyjnych w pozbawionej jakiegokolwiek szyfrowania formie – i wtedy byle kto może przy odrobinie inicjatywy takie hasła obejść.
  • Dodatkowo (przynajmniej w systemach GNU Linux) hasła szyfrowane są za pomocą „jednokierunkowych” algorytmów znanych jako funkcje skrótu takich jak np. MD5 (niestety podatny np. na kolizje), czy dużo mocniejszy kryptograficznie algorytm SHA512 (SHA2 512 bitowy) należący do rodziny SHA2 i stosowany w nowszych wersjach systemów linux już jako domyślny Możliwe jest również zastosowanie innych algorytmów – na przykład blowfish. Dodatkowo,Amerykańskim standardem rządowym ma być docelowo SHA3.
  • System Windows, teoretycznie korzysta z hashowania,niestety w praktyce hasła przechowywane są w pamięci w postaci jawnej (czyli nie zaszyfrowanej) i wystarczy tylko odpowiednie oprogramowanie – więcej na ten temat pisze pan Wojciech Smol na stronie sekurak. Zahashowane hasła przechowywane w pliku SAM który w czasie,gdy komputer jest uruchomiony nie jest dostępny (więc przez sieć pozostaje atak na pamięć). Do zakodowania haseł w pliku SAM może być używany LM NTLM. W praktyce nowsza wersja NTLM to podobno MD4,czyli poprzednik MD5… Oczywiście nie jestem informatykiem i nie wiem,czy gdzieś jakoś nie jest wykorzystywany np. kerberos – ale słabości systemów Windows są widoczne i oczywiste, i niestety taki stan rzeczy trwa to od stosunkowo dawna,a firma Microsoft jest tu chronicznie zbyt pewna siebie.Choć oczywiście poprawia (na szczęście) swoje produkty,a totalna nieobecność pliku hasła w uruchomionym systemie nie jest taka głupia.
  • Nieznane hasła zasadniczo łamane są przy użyciu 2 metod:
    • Brutalnej (brute force) – gdzie wypróbowuje się wszystkie możliwości. W praktyce jest ona zależna od mocy obliczeniowej procesora,rdzeni karty graficznej lub innego wyspecjalizowanego urządzenia (na przykład – chyba niedocenianych układów FPGA ) – ciekawy artykuł na ten temat jest na stronie extremetech.
    • Słownikowej – gdzie korzysta się z gotowych hashy/hashowania najczęściej używanych słów.

Wynikają z tego w praktyce następujące wymogi dla haseł:

  • nie powinny być „słownikowe”,czyli nie powinny być popularnymi słowami i ich kombinacjami,nawet zakończonymi cyframi itp. a już zwłaszcza nazwą loginu czy czymś równie przewidywalnym (ale wciąż się takie trafiają).
  • powinny składać się z możliwie największej liczby możliwych znaków (stąd duże litery i znaki specjalne) – hasła (MD5) mające 8 znaków są obecnie łamane przez biurkowe komputery w mniej jak godzinę,maksimum może dzień jeśli uzyć dużych liter i znaków specjalnych. Hasła dłuższe niż 10 znaków (zwłaszcza jeśli zastosować tą poradę) są już odrobine bezpieczne,tak samo hasła zaszyfrowane algorytmem SHA512 powinny być bardzo bezpieczne w porównaniu z MD5 (ale krótkich haseł i tak nie polecam)

Nie należy oczywiście stosować ZWŁASZCZA haseł takich jak:

  • 123456 / 12345678
  • password / haslo / hasło
  • admin (czy tam inna nazwa użytkownika)
  • qwerty
  • abc123

Niestety wciąż są one podobno popularne…

Niestety sprawa wydłużania haseł nie jest tak prosta, jeśli chodzi o zwykłych,prywatnych użytkowników,czy co gorsza użytkowników w zakładzie pracy.Oni są przede wszystkim wygodni i idą na skróty. Rozwiązaniem dla tego rodzaju ludzi są nowsze (ale niezbyt tanie) metody:

  • Zabezpieczenia biometryczne
  • Wielostopniowe (dwustopniowe) uwierzytelnienie.

Metody te,choć wydają się prostsze i bezpieczniejsze wcale nie muszą takie być. Dwustopniowe uwierzytelnienie wymaga innego urządzenia i wpisywania kolejnych,skomplikowanych kodów. Natomiast systemy biometryczne można do pewnego stopnia oszukiwać sprytnymi sztuczkami,do tego cechy teoretycznie niezmienne i nie do podrobienia wg. twórcy metody,wcale nie muszą takie być w rzeczywistości – co oznacza zarówno możliwość uzyskania dostępu przez osobę niepowołaną,jak i brak dostępu.Co jeszcze z komputerem może raz na jakiś czas przejść,ale jeśli chodzi o np dostęp do konta bankowego,to może być bardzo irytujące. Co równie istotne rozpoznawanie biometryczne wymaga bardziej złożonych algorytmów.

Jakie wyróżnia się przykładowe elementy zabezpieczeń biometrycznych ?

  • Tęczówka oka lub siatkówka
  • Twarz
  • Odciski palców (tłuszcz + żelki i wprawny człowiek może jednak zrobić podobno cuda)
  • Kształt dłoni
  • Głos (do pewnego stopnia może jednak być nagrany)
  • Charakter pisma (uwaga – jego podrobienie mogłoby być dla nas niebezpieczne ze względu na choćby weksle)
  • Charakterystyczny rytm uderzania w klawisze

Ponadto, choć to kosztowne nie wykluczam wykorzystania w przyszłości np DNA (choć w wypadku bliźniąt jednojajowych mogą pojawiać się już problemy),wykorzystywany może być też (np. w bankomatach) układ żył,a w niektórych przypadkach,do rozpoznawania osób analizowany może być np. chód.

W gruncie rzeczy te cechy lub dobranie się do bazy danych z którą porównuje się uzyskane wyniki, są jednak przynajmniej częściowo możliwe do podrobienia czy podmienienia – choć bywa to już bardziej kosztowne niż złamanie hasła. W dodatku należy pamiętać,że udostępnienie danych biometrycznych do identyfikacji ze zdalnym serwerem, to przekazanie tych danych w ręce służb specjalnych i potencjalnych co zdolniejszych hackerów.

A jakieś inne fizyczne rzeczy,np kluczyk/karta magnetyczna ? Przy fizycznym dostępie do komputera oczywiście czemu nie – ale klucz fizyczny da sie też otworzyć,istnieje cała („złodziejska” – u nas posiadanie samych narzędzi jest karalne) sztuka otwierania zamków – tzw. lockpiking.

Aha.Miałem jeszcze o „czymś innym”.Tak sobie myślę,że wpisywanie hasła tylko klawiaturą jest nie do końca mądrą ideą.Przecież w wielu komputerach osobistych używa się myszki/pada itd. Dlaczego nie wykorzystywać np. rysunków/obrazków jako części uwierzytelnienia ? Ciekaw jestem dlaczego nikt nie wpadł na ten oczywisty pomysł już dawno.A może się to nie przyjęło ?

Czego by jednak nie zrobić, to istnieje stara prawda – nie ma zabezpieczeń nie do sforsowania.To tylko kwestia wysiłku.I aż.

Reklamy

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj / Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj / Zmień )

Facebook photo

Komentujesz korzystając z konta Facebook. Wyloguj / Zmień )

Google+ photo

Komentujesz korzystając z konta Google+. Wyloguj / Zmień )

Connecting to %s