Производительность lOphtcrack

Чтобы вы убедились, насколько быстро работает программа, приводим результаты ра­боты с сетью одной крупной технологической компании:

• взломано 90% паролей за 48 часов;

• 18% паролей взломано за 10 минут;

• получены учетные записи большинства администраторов доменов;

• правила использования паролей в этой компании устанавливали минимальный пароль из 8 символов, с обязательным применением одной цифры или специального символа.

Судя по моему опыту, эти результаты даже несколько оптимистичны. Как правило, по­лучается следующее:

т взломано 90% паролей за 5 часов;

• 18% паролей взломано за 5 минут;

• получены учетные записи большинства администраторов доменов;

• в большинстве компаний нельзя использовать пароль длиной меньше чем 8 симво­лов, других ограничений нет.

Эта обобщенная информация основана на проверке многих компаний, от тех что вхо­дят в рейтинг популярности Fortune 500, до средних фирм, в которых около 500 служа­щих. Что интересно, полученные результаты не зависят от размера или сферы деятельно­сти компании, все испытывают одинаковые проблемы с безопасностью паролей. И не важно, транснациональная ли это корпорация или начинающая фирма из 20 человек, сла­бые и ненадежные пароли можно найти повсеместно.

Вот еще один пример, иллюстрирующий, как плохо обстоят дела. Это результат пере­бора комбинаций паролей, сделанных с помощью компьютера Quad Xeon 400 (высокопро­изводительная система, в которой установлено 4 серверных процессора Intel):

• буквенно-цифровые пароли взломаны за 5.5 часов;

• буквенно-цифровые пароли с некоторыми символами взломаны за 45 часов;

• все буквенно-цифровые пароли с любыми дополнительными символами взломаны за 480 часов.

Важно отметить, что приведенные результаты получены с применением метода пол­ного перебора, т.е. не имело значения, какие пароли установлены. На такой мощной сис­теме можно взломать любой буквенно-цифровой пароль примерно за 6 часов. Это отно­сится к стандартной установке Windows NT, что характерно для большинства компаний.

Учитывая такие обстоятельства, принцип определения интервала смены пароля, ко­торый должен быть больше, чем время, требующееся для взлома, ничего не может гаран­тировать. Даже если предположить наилучший вариант— пользователи будут использо­вать пароли из букв, цифр и специальных символов, — пароли все равно придется менять каждые 20 дней. Как было показано выше, все пароли можно взломать за 480 часов, что и составляет ровно 20 дней. Если пользователи в компании будут такими же, как те, с кем я встречался раньше, то менять пароли каждый месяц не представляется реальным. Всегда нужно помнить, что хоть компьютер с четырьмя процессорами стоит довольно дорого, это не значит, что его никто не покупает. Более того, с каждым днем индустрия произво­дит все более быстрые и дешевые домашние компьютеры, а значит, время, необходимое для взлома, постоянно уменьшается. Пора уже задуматься об альтернативных методах ре­гистрации пользователей в системе. В конце этой главы есть раздел "Защита от взлома", в котором детально описываются технологии одноразовых паролей и биометрии.