Запобігання кешуванню паролів в Windows95/98

Кешування паролів – це метод, який був розроблений корпорацією Micro­soft для їх зберігання в Windows 95/98. В цьому випадку пароль кори­сту­ва­ча роз­міщується операційною системою в окремий файл на диску в каталог C:\Windows з розширення “.pwl”. Пароль записується в цей файл у зашифрованому вигляді, але стійкість цього шифрування не відповідає сучасним вимогам. В глобальній мережі Internetлегко віднайти програми, призначенідля подолання такого шифрування.

Існує 2 шляхи для розв’язання цієї проблеми.

1. Можна отримати від Microsoft “заплату”, яка дозволяє викорис­то­вувати більш досконалий метод шифрування паролів.

2. Кешування паролів можна відключити. Для цього слід виконати такі дії:

• встановити програму Редактор системних правил (System Policy Editor) (вона зазвичай входить в комплект Windows 95/98 Resource Kit на CD) з каталогу E:\Admin\Apptools\Poledit або E:\. Tools\ Reskit\Netadmin\Poledit;

• після установки запустити її на виконання;

• виконати таку послідовність дій: Создать –> Файл -> Стандартный компьютер –> Сеть –> Пароли -> Отключить кэширование.

• внесені зміни зберегти на диску у вигляді файлу системних правил, давши йому довільне ім’я і розширення “.pol”.

При наступному завантажені Windows 95/98 файл системних правил буде завантажуватись автоматично і визначати роботу комп’ютера..

Парольний захист вWindowsNt Формування, зберігання і використання паролів в Windows nt

Одним з основних компонентів системи безпеки WindowsNT є диспетчер облікових записів користувачів. Він забезпечує взаємодію інших компонентів системи безпеки, додатків і служб Windows NT з базою даних облікових записів користувачів (Security Account Management Database, SAM). Ця база є в наяв­нос­ті на кожному комп’ютері. де вста­новлено WindowsNT. В ній зберігається ін фор­ма­ція, що викорис­то­вується для аутентифікації користувачів Windows NT при ін­те­р­активному вході в систему і при віддаленому доступі до неї по мережі. Ця база є одним з компонентів системного реєстру і розташована в підкаталозі ...\System32\ Config в файлі з назвою SAM. Інформація в цьому файлі зберігається у двійковому форматі, а доступ до неї здійснюється через диспетчер облі­кових записів. Змінювати записи цієї бази даних при допомозі програм, що дозволяють напряму здійснювати редагування реєстру Windows NT (Regedit або Regedit32), не рекомендується. За замовчуванням цього робити і не можна, оскільки доступ до бази SAM заборонений для всіх без виключення категорій користувачів операційної системи WindowsNT.

Довжина пароля в WindowsNT обмежена 14 символами. Це обме­ження на­кла­дається диспетчером облікових записів, який не дозволяє вводити паролі дов­жи­ною більше 14 символів. В базі даних SAM кожний пароль зазвичай пред­став­ляється у вигляді двох 16-байтових послі­дов­нос­тей, отриманих різними методами.

При використанні першого метода рядок символів користувацького па­ро­лю хешується за допомогою функції MD4. В результаті з символьного па­ро­лю, введеного користувачем, виходить 16-байтова послідовність – хешований па­роль WindowsNT. Дана послідовність потім шифрується за допомогою DES-алгоритма (це блочний алгоритм шифрування з симетричним ключем довжиною 64 біти, з яких лише 56 безпосередньо використовуються при цифрації, а решта 8 призначена для контролю парності байтів ключа), і результат шифрування збе­рі­га­ється в базі SAM. При цьому в якості ключа використовується так названий відносний ідентифікатор користувача (Relative Identifier, RID), який являє собою порядковий номер облікового запису даного користувача в базі SAM, який автоматично збільшується.

Для суміщення з іншими програмними продуктами корпорації Miсrosoft (Windows for Workgroups, Windows 95/98, Lan Manager) в базі SAM зберігається інформація про пароль в стандарті Lan Manager. Для її формування викори­сто­ву­єть­ся другий метод. Всі літери користувацького паролю приводяться до вер­хньо­го регістра, і, якщо пароль має менше 14 символів, доповнюється нулями. З кож­ної 7-байтової половини перетвореного таким чином пароля окремо формується ключ для шифрування фіксованої 8-байтової послідовності за DES-алгоритмом. Отри­мані в результаті дві 8-байтові половини хешованого пароля ще раз шиф­ру­ються за DES-алгоритмом (при цьому в якості ключа використовують RID користувача) і тоді вносять в базу SAM.

Інформація про паролі, занесена в SAM, слугує для аутентифікації користувачів Windows NT. При інтерактивному або мереженому вході в систему користувач вводить пароль, який спочатку хешується і шифрується, далі порівнюється з 16-байтовою послідовністю в базі SAM. При їх співпадінні користувачеві дозволяється вхід в систему.