Как придумать сложный пароль

Многие пользователи используют слабые пароли, потому что просто не знают, что та­кое устойчивый пароль и каким же образом его выбрать, чтобы усилить защиту своей учетной записи в системе. Один из способов — применение неких фраз вместо простых слов. Конечно, придумать легкий для запоминания пароль, в котором будут цифры, буквы и дополнительные символы, не так легко. Но вот с фразой будет гораздо проще; можно взять каждую первую букву из составляющих фразу слов. Если предложить пароль Wismtls@#$%5t, то пользователь заявит, что такое не в силах человеческих запомнить. Но представьте себе, что это просто измененная фраза "When i stub my toe I say @#$% 5 times" (когда я ударяю палец, то говорю @#$% 5 раз), которую гораздо легче себе представить Просто нужно взять первые буквы из каждого слова, вот и готов пароль.

Я рекомендую выбирать фразу, связанную с семьей или увлечениями. Как уже говорилось, обычное слово на эту тему совершенно не подходит, но с фразами совершенно друга дело. Например, вряд ли кто-то забудет день рождения своего ребенка, так что можно придумать следующее: "My Г¹ child was born at Oakridge Hospital on 7/14" (мой первый ребенок родился в госпитале города Оакридж 14 числа 7-го месяца). Получается вот такой пароль М1 cwb@Oho7/14. Его очень тяжело разгадать, потому что даже если хакер знает день и место рождения вашего ребенка, перебрать связанные с этим фразы невероятно тяжело.

Практика подтвердила, что подобный способ создания паролей нравится пользователям, а значит, защита внутренней сети компании будет серьезно усилена.

Защита паролей

Пока что мы рассматривали тему улучшения паролей с точки зрения обычного пользователя. Как правило, если пароль учетной записи легко угадать, то не будет необходимости его даже взламывать — немного воображения и дело сделано. Но если так просто проникнуть в систему не получится, приходится взламывать пароль. Для этого нужно знать, где и каким образом он хранится в системе.

Как же уберечь пароли в компьютерных системах? В первую очередь система должна быть закрыта для постороннего доступа, изменения и удаления паролей.

Доступ к паролям играет решающую роль в проблеме защиты. Если хакер получит и потом прочитает копию пароля, то сможет зайти в систему за минуту. Поэтому ни в коем случае нельзя записывать и передавать другим свой пароль. Ведь если злоумышленник добьется своего, то все его действия будут происходить от имени пользователя, чей доступ в систему он украл.

Изменение файла тоже может привести к большим неприятностям, будучи не в со стоянии прочитать пароль, хакер может его заменить на свой, стирая при этом предыдущий. Для такого изменения вовсе не обязательно знать настоящий пароль пользователя.

Данная проблема касается многих операционных систем. Когда еще использовались старые версии ОС UNIX, можно было совершить нападение и переписать зашифрованный пароль своим собственным. Данные пользователя при этом хранились в файле /etc/passwd, который доступен для чтения. Хакер создавал свою учетную запись с известным ему паролем обычного пользователя. Затем он пытался получить право на запись в файл /etc/passwd и, если все получалось, скопировать зашифрованный пароль только что созданной учетной за­писи, заменяя пароль администратора системы root. Далее в системе он уже свободно реги­стрировался как суперпользователь, даже не зная его пароля.

Примерно такая же уязвимость есть в ОС Windows NT. Существует такая программа, как LinNT, с помощью которой можно создать загрузочный диск Linux для Windows NT, Это позволяет хакеру начать загрузку с диска, после чего система переходит под управле­ние ОС Linux. А дальше можно получить список легитимных пользователей и переписать их пароли. Таким образом, это еще один пример взлома системы без получения настояще­го пароля.

Нельзя допустить и удаления паролей, поскольку так можно получить атаку DoS, или будет создана другая запись, уже с паролями хакера. Напомню, что суть атаки DoS в отказе доступа к системе ее зарегистрированных пользователей. К примеру, если в субботу взло­мать систему и удалить все учетные записи, то в понедельник никто не сможет зарегист­рироваться, т.е. пользователи получат отказ в обслуживании. Подробно это описано в гла­ве 6, "Отказ в обслуживании".

Для защиты от незаконного просмотра, изменения и удаления, пароли нельзя хранить в виде простого незашифрованного текста. Только представьте, если в системе информация обо всех учетных записях хранится в таком формате, то кто угодно прочитает файл и получит все пароли. Существует надежный метод избежать этого, и он называется шифрование. С его помощью информация будет надежно скрыта, и даже если хакер получит файл, то он не сможет определить его изначальное содержимое.