© УГК им. Ползунова Информационная безопасность. Лабораторная работа №4

Метод парольной защиты

Лабораторная работа №4. Метод парольной защиты

Цель работы: рассмотреть возможные методы защиты с помощью пароля и научиться их применять, также научиться рассчитывать стойкость парольной защиты.

Теоретические сведения.

Системой защиты по отношению к любому пользователю с целью обеспечения безопасности обработки и хранения информации должны быть предусмотрены следующие этапы допуска в вычислительную систему:

• Идетификация;

• Установление подлинности (аутентификация);

• Определение полномочий для последующего контроля и разграничения доступа к компьютерным ресурсам.

Данные этапы должны выполняться и при подключении к ВС таких устройств, как удаленные рабочие станции и терминалы.

Идентификация – процесс анализа персональных, технических или организационных характеристик или кодов для получения (предоставления) доступа к компьютерным ресурсам.

Аутентификация (установление подлинности) – процедура идентификации или проверки полномочности узлов, инициаторов или лиц для доступа к определенной категории информации.

Основными и наиболее часто применяемыми методами установления подлинности пользователей являются методы, основанные на использовании паролей. Под паролем (фр. parole — слово) при этом понимается секретное слово или некоторая последовательность символов, сохраняемая в секрете и предъявляемая при обращении к компьютерной системе. В большинстве вычислительных систем комбинация «имя пользователя — пароль» используется для удостоверения пользователя, например, для доступа к учетной записи.

Учетная запись пользователя Windows представляет собой набор данных, определяющих, к каким папкам и файлам пользователь имеет доступ, какие изменения могут вноситься пользователем в работу компьютера, а также персональные настройки пользователя, такие как фон рабочего стола и экранная заставка. Применение учетных записей позволяет нескольким пользователям работать на одном компьютере с использованием собственных файлов и параметров.

Существуют три типа учетных записей. Каждый тип дает пользователю разные возможности управления компьютером:

• обычные учетные записи пользователей предназначены для повседневной работы;

• учетные записи администратора предоставляют полный контроль над компьютером и применяются только в необходимых случаях;

• учетные записи гостя предназначены для временного доступа к компьютеру.

Методы парольной аутентификации пользователя являются наиболее простыми методами аутентификации и при несоблюдении определенных требований к выбору пароля являются достаточно уязвимыми.

Требования к выбору пароля

Основными минимальными требованиями к выбору пароля и к подсистеме парольной аутентификации пользователя являются следующие.

МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ К ПАРОЛЮ

1. Минимальная длина пароля должна быть не менее 6 символов.

2. Пароль должен состоять из различных групп символов (малые и большие латинские буквы, цифры, специальные символы ‘(’, ‘)’, ‘#’ и т.д.).

3. В качестве пароля не должны использоваться реальные слова, имена, фамилии, ваши прозвища, девичья фамилия матери, номер или название улицы где вы живете, слова, имеющие отношение к вашей профессии и т.д.

Пример создания надежного пароля

Придумайте секретную фразу (предложение), которую вы сможете легко запомнить. Используйте первую букву каждого слова в этой фразе, чтобы создать пароль. Например, секретная фраза «Программист не есть профессия, это диагноз» паролем станет «пнепэд» или «Бог у всех один – провайдеры разные» – «бувопр». Для того, чтобы сделать его более надежным, используйте комбинацию букв в верхнем и нижнем регистре, цифр и специальных знаков, которые выглядят как буквы. Например, эти пароли можно изменить так: «П#епЭd» и «Був1-Пр». Для более надежной защиты изменяйте ваш пароль каждые 6 месяцев.

СОЗДАНИЕ ПАРОЛЕЙ ДЛЯ ВХОДА НА WЕB-САЙТЫ

Если вы пользуетесь услугами интернет-банка или совершаете покупки в интернет-магазинах, то вы знаете, что вас часто просят создать имя пользователя и пароль, чтобы предотвратить несанкционированный доступ к вашей учетной записи. Для удобства среднестатистический человек создает один пароль и использует его для всех Web-сайтов, которые он посещает. Это серьезная ошибка, которая может привести к похищению ваших данных. Если у вас один пароль - это все равно, что у вас один ключ от всех дверей вашего дома, всех ваших машин, вашего сейфа в банке и многого другого. И если злоумышленник подберет этот ключ, он может украсть все, что вам принадлежит. Для обеспечения максимальной конфиденциальности используйте разные пароли для каждого Web -сайта.

КАК ЗАПОМНИТЬ ВСЕ ПАРОЛИ

1. Используйте программы – «сейфы». Эти программы представляют ее виртуальный сейф, где вы можете хранить и шифровать все ваши ли и имена пользователей. В этом случае вам придется запомнить только один пароль для доступа к остальным.

2. Напишите ваши пароли на бумажке, храните его в сейфе дома или в офисе. Не печатайте этот лист на вашем компьютере, чтобы избежать сохранения информации на жестком диске или считывания ее с помощью клавиатурных шпионов.

3. Если вы записываете пароли на бумагу, то не акцентируйте на этом внимание, т.е. не пишите – это мой пароль от QIP, этот от банковской карты и т.д. Просто делайте в качестве пометок на полях или других менее заметных местах.

МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ К ПОДСИСТЕМЕ ПАРОЛЬНОЙ АУТЕНТИФИКАЦИИ

1. Администратор СЗИ должен устанавливать максимальный срок действия пароля, после чего, он должен быть сменен.

2. В подсистеме парольной аутентификации должно быть установлено ограничение числа попыток ввода пароля (как правило, не более трех).

3. В подсистеме парольной аутентификации должна быть установлена временная задержка при вводе неправильного пароля.

Как правило, для генерирования паролей в СЗИ, удовлетворяющих перечисленным требованиям к паролям, используются программы - автоматические генераторы паролей пользователей.

При выполнении перечисленных требований к паролям и к подсистеме парольной аутентификации, единственно возможным методом взлома данной подсистемы злоумышленником является прямой перебор паролей (brute forcing). В данном случае, оценка стойкости парольной защиты осуществляется следующим образом.

Количественная оценка стойкости парольной защиты

Пусть A – мощность алфавита паролей (количество символов, которые могут быть использованы при составлении пароля. Например, если пароль состоит только из малых английских букв, то A=26).

L – длина пароля.

- число всевозможных паролей длины L, которые можно составить из символов алфавита A.

V – скорость перебора паролей злоумышленником.

T – максимальный срок действия пароля.

Тогда, вероятность P подбора пароля злоумышленником в течении срока его действия V определяется по следующей формуле.

Эту формулу можно использовать в обратную сторону для решения следующей задачи:

ЗАДАЧА. Определить минимальные мощность алфавита паролей A и длину паролей L, обеспечивающих вероятность подбора пароля злоумышленником не более заданной P, при скорости подбора паролей V, максимальном сроке действия пароля T.

Данная задача имеет неоднозначное решение. При исходных данных V,T,P однозначно можно определить лишь нижнюю границу S* числа всевозможных паролей. Целочисленное значение нижней границы вычисляется по формуле

(1)

где - целая часть числа, взятая с округлением вверх.

После нахождения нижней границы S* необходимо выбрать такие A и L для формирования S=A^L, чтобы выполнялось неравенство (2).

(2)

При выборе S, удовлетворяющего неравенству (2), вероятность подбора пароля злоумышленника (при заданных V и T) будет меньше, чем заданная P.

Необходимо отметить, что при осуществлении вычислений по формулам (1) и (2), величины должны быть приведены к одним размерностям.

Пример

Исходные данные – P=10^-6, T=7 дней = 1 неделя, V=10 паролей / минуту = 10*60*24*7=100800 паролей в неделю.

Тогда, .

Условию удовлетворяют, например, такие комбинации A и L, как A=26, L=8 (пароль состоит из 8 малых символов английского алфавита), A=36, L=6 (пароль состоит из 6 символов, среди которых могут быть малые латинские буквы и произвольные цифры).

Задание на лабораторную работу.

1. Изучите теоретический материал лабораторной работы.

2. Выпишите в тетрадь основные определения, требования к выбору пароля и формулу вероятности подбора пароля злоумышленником.

3. Отключите страницу приветствия Windows.

4. Установите безопасный вход в систему.

5. Создайте несколько (не менее двух) учетных записей и различными способами задайте каждой учетной записи свой пароль.

6. Установите пароль на экранную заставку.

7. Установите пароли на BIOS (результат не сохраняйте).

8. Создайте дискету (или USB-устройство флэш-памяти) для «сброса пароля».

9. Восстановите пароль Windows с помощью дискеты «сброса пароля» и без нее.

10. Установите срок ограничения действия пароля, а затем отмените эту функцию.

11. Определите минимальную мощность алфавита пароля A и длину пароля L, обеспечивающих вероятность подбора пароля злоумышленником не более заданной P, при скорости подбора паролей V, максимальном сроке действия пароля T.

12. Ответьте на контрольные вопросы.

13. Заполните отчет по лабораторной работе.

14. По окончанию работу удалите учетные записи, созданные вами, и все измененные вами пароли верните в прежнее состояние.

Методика выполнения работы