Редактор RegEdit и структура реестра
Основным
средством для просмотра и редактирования
записей реестра служит специализированная
утилита "Редактор реестра". Для ее
запуска наберите в запуске программы
(Пуск->Выполнить) команду regedit.
Откроется окно программы, в которой слева отображается дерево реестра, похожее по виду на отображение структуры диска в Проводнике, а справа выводятся ключи, содержащиеся в выбранном (активном) разделе. С помощью редактора Вы можете редактировать значения, импортировать или экспортировать реестр, осуществлять поиск.
Реестр содержит шесть корневых разделов (ветвей), каждый из них включает подразделы, отображаемые в левой части окна в виде значка папки. Конечным элементом дерева реестра являются ключи или параметры, делящиеся на три типа:
- строковые (напр. "C:\Windows"); - двоичные (напр. 10 82 A0 8F). Максимальная длина такого ключа 16Кб; - DWORD. Этот тип ключа занимает 4 байта и отображается в шестнадцатеричном и в десятичном виде (напр. 0x00000020 (32) - в скобках указано десятичное значение ключа).
корневые разделы, точнее какая информация в них содержится:
HKEY_CLASSES_ROOT. В этом разделе содержится информация о зарегистрированных в Windows типах файлов, что позволяет открывать их по двойному щелчку мыши, а также информация для OLE и операций drag-and-drop
HKEY_CURRENT_USER. Здесь содержатся настройки оболочки пользователя (например, Рабочего стола, меню "Пуск", ...), вошедшего в Windows. Они дублируют содержимое подраздела HKEY_USER\name, где name - имя пользователя, вошедшего в Windows. Если на компьютере работает один пользователь и используется обычный вход в Windows, то значения раздела берутся из подраздела HKEY_USERS\.DEFAULT
HKEY_LOCAL_MACHINE. Этот раздел содержит информацию, относящуюся к компьютеру: драйверы, установленное программное обеспечение и его настройки HKEY_USERS. Содержит настройки оболочки Windows для всех пользователей. Как было сказано выше, именно из этого раздела информация копируется в раздел HKEY_CURRENT_USER. Все изменения в HKCU (сокращенное название раздела HKEY_CURRENT_USER) автоматически переносятся в HKU
HKEY_CURRENT_CONFIG. В этом разделе содержится информация о конфигурации устройств Plug&Play и сведения о конфигурации компьютера с переменным составом аппаратных средств
HKEY_DYN_DATA. Здесь хранятся динамические данные о состоянии различных устройств, установленных на компьютере пользователя. Именно сведения этой ветви отображаются в окне "Свойства: Система" на вкладке "Устройства", вызываемого из Панели управления. Данные этого раздела изменяются самой операционной системой, так что редактировать что-либо вручную не рекомендуется.
Методы взлома парольной защиты
Наиболее эффективным является метод взлома парольной защиты операционной системы (в дальнейшем – ОС), при котором атаке подвергается системный файл, содержащий информацию о легальных пользователях и их паролях. Однако любая современная ОС надежно защищает пользовательские пароли, которые хранятся в этом файле, при помощи шифрования. Кроме того, доступ к таким файлам, как правило, по умолчанию запрещен даже для системных администраторов, не говоря уже о рядовых пользователях операционной системы. Тем не менее, в ряде случаев злоумышленнику удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят так называемые парольные взломщики - специализированные программы, которые служат для взлома паролей операционных систем.
Количественная оценка стойкости парольной защиты.
Пусть A – мощность алфавита паролей (количество символов, которые могут быть использованы при составлении пароля. Например, если пароль состоит только из малых английских букв, то A=26).
L – длина пароля.
-
число всевозможных паролей длины L,
которые можно составить из символов
алфавита A.
V – скорость перебора паролей злоумышленником.
T – максимальный срок действия пароля.
Тогда, вероятность P подбора пароля злоумышленником в течении срока его действия V определяется по следующей формуле.
Принципы работы программ взлома паролей.
Криптографические алгоритмы, применяемые для шифрования паролей пользователей в современных ОС, являются слишком стойкими, чтобы можно было надеяться отыскать методы их дешифровки, которые окажутся более эффективными, чем тривиальный перебор возможных вариантов. Поэтому парольные взломщики иногда просто шифруют все пароли с использованием того же самого криптографического алгоритма, который применяется для их засекречивания в атакуемой ОС. Затем они сравнивают результаты шифрования с тем, что записано в системном файле, где находятся шифрованные пароли пользователей этой системы. При этом в качестве вариантов паролей парольные взломщики используют символьные последовательности, автоматически генерируемые из некоторого набора символов. Данный способ позволяет взломать все пароли, если известно их представление в зашифрованном виде, и они содержат только символы из данного набора. За счет очень большого числа перебираемых комбинаций, которое растет экспоненциально с увеличением числа символов в исходном наборе, такие атаки парольной защиты ОС могут отнимать слишком много времени. Однако хорошо известно, что большинство пользователей операционных систем особо не затрудняют себя выбором стойких паролей, то есть таких, которые трудно взломать. Поэтому для более эффективного подбора паролей взломщики обычно используют специальные словари, которые представляют собой заранее сформированный список слов, наиболее часто используемых на практике в качестве паролей. К каждому слову из словаря парольный взломщик применяет одно или несколько правил, в соответствии с которыми оно видоизменяется и порождает дополнительное множество опробуемых паролей:
производится попеременное изменение буквенного регистра, в котором набрано слово;
порядок следования букв в слове меняется на обратный;
в начало и в конец каждого слова приписывается цифра 1;
некоторые буквы изменяются на близкие по начертанию цифры.
Это повышает вероятность нахождения пароля, поскольку в современных ОС, как правило, различаются пароли, набранные заглавными и строчными буквами, а пользователям этих систем настоятельно рекомендуется выбирать такие, в которых буквы чередуются с цифрами. Одни парольные взломщики поочередно проверяют каждое слово из специального словаря, применяя к нему определенный набор правил для генерации дополнительного множества опробуемых паролей. Другие предварительно обрабатывают весь словарь при помощи этих же правил, получая новый словарь большего размера, из которого затем черпают проверяемые пароли. Учитывая, что обычные словари естественных человеческих языков состоят всего из нескольких сотен тысяч слов, а скорость шифрования паролей достаточно высока, парольные взломщики, осуществляющие поиск по словарю, работают достаточно быстро (до одной минуты).
Проверка уровня защиты операционных систем
Согласно рекомендаций по безопасности Windows XP время жизни пароля (параметр политики паролей «Требовать неповторяемость паролей» (Enforce password history)) должно составлять 42 дня.
Согласно того же документа параметр «Минимальная длина пароля» (Minimum password lengths) должен составлять для АС (автоматизированной системы):
класс 1 (одиночного компьютера без локальной сети) – 7 символов;
класс 2 (локальная сеть без выхода в Интернет) – 8 символов;
класс 3 (сеть с выходом в Интернет) – 12 символов.
Следует обратить внимание что длинные пароли, состоящие из 8 и более символов, как правило, более надежны, однако их применение приводит к увеличению числа ошибок при воде паролей, и, как следствие, увеличению числа заблокированных учетных записей, а следовательно, затрудняет работу службы поддержки сети. Использование длинных паролей фактически приводит к тому, что пользователи начнут записывать их, а следовательно, уровень безопасности будет снижен. Фактическое значение данного параметра должно соответствовать требованиям политики безопасности предприятия.
Рассчитаем вероятность взлома пароля при условии применения данных параметров для АС классов 1 и 2.
где P-вероятность взлома пароля в заданный срок, В – время взлома пароля в сутках, А=42 дня.
В случае если B<=A, P=100%, т.е. если время взлома пароля заведомо меньше 42 дней, пароль считается взламываемым заведомо.