2.2 Проблема вибору пароля

Вибір довжини пароля в значній мірі визначається розвитком технічних засобів, їхньої елементної бази і її швидкодією. У цей час широко застосовуються багатосимвольні паролі, де S>10. У зв'язку із цим виникають питання: як і де його зберігати і як зв'язати його з аутентифікацією особистості користувача? На ці питання відповідає комбінована система паролів, в якій код пароля складається з двох частин. Перша частина складається з 3- 4-х десяткових знаків, якщо код цифровий, і більше 3- 4-х, якщо код складається з літер, які легко запам'ятати людині. Друга частина містить кількість знаків, обумовлена вимогами до захисту й можливостями технічної реалізації системи, вона міститься на фізичному носії й визначає ключ-пароль, розрахунок довжини коду якого ведеться по зазначеній вище методиці. У цьому випадку частина пароля буде недоступна для порушника.

Однак при розрахунку довжини коду пароля не слід забувати про те, що при збільшенні довжини пароля не можна збільшувати періодичність його зміни. Коди паролів необхідно міняти обов'язково, тому що за великий період часу збільшується ймовірність їхнього перехоплення шляхом прямого розкрадання носія, зняття його копії, примуса людини. Вибір періодичності необхідно визначати з конкретних умов роботи системи, але не рідше одного разу в рік. Причому бажано, щоб дата заміни й періодичність повинні носити випадковий характер.

Для перевірки вразливості паролів використовуються спеціальні контролери паролів. Наприклад, відомий контролер Кляйна, здійснює спроби злому пароля шляхом перевірки використання як пароль вхідного ім'я користувача, його ініціалів і їхньої комбінацій, перевірки використання як пароль слів з різних словників, починаючи від найбільш вживаних як пароль, перевірки різних перестановок слів, а також перевірки слів мовою користувача-іноземця. Перевірка паролів в обчислювальних мережах за допомогою контролера Кляйна показала досить високі результати - більшість користувачів використовують прості паролі. Показовий приклад, коли контролер Кляйна дозволив визначити 100 паролів з 5 символів, 350 паролів з 6 символів, 250 паролів з 7 символів і 230 паролів з 8 символів.

Наведений аналіз дозволяє сформулювати наступні правила зниження вразливості паролів і спрямовані на протидію відомим атакам на них:

- розширюйте застосовуваний у паролі алфавіт - використовуйте прописні й малі літери латинських і російських алфавітів, цифри й знаки;

- не використовуйте в паролі осмислені слова;

- не використовуйте повторювані групи символів;

- не застосовуйте паролі довжиною менш 6-8 символів, тому що запам'ятати їх не представляє великої роботи, а пароль саме потрібно запам'ятовувати, а не записувати. По тій же причині не має змісту вимагати довжину неосмисленого пароля більше 15 символів, тому що запам'ятати його нормальній людині практично неможливо;

- не використовуйте той самий пароль у різних системах, тому що при компрометації одного пароля постраждають всі системи;

- перевіряйте паролі перед їхнім використанням контролерами паролів.

Для складання пароля можна дати рекомендації, якими користуватися потрібно дуже обережно:

- виберіть кілька рядків з пісні або поеми (тільки не ті, які Ви повторюєте першому зустрічному) і використовуйте першу (або другу) букву кожного слова - при цьому пароль повинен мати більшу довжину (більше 15 символів), інакше потрібно міняти регістри букв, застосовувати латинські букви замість кирилиці або навпаки, можна вставляти цифри й знаки;

- замініть в слові з семи-восьми літер одну приголосну й одну або дві голосні на знаки або цифри. Це дасть вам слово-абракадабру, що звичайно вимовне й тому легко запам'ятовується. Підіб'ємо підсумок:

Що таке поганий пароль:

• Власне ім'я;

• Слово, що є в словнику;

• Ідентифікатор, привласнений Вам якою-небудь системою, або будь-які його варіації;

• Дата народження;

• Повторений символ (наприклад: AAA);

• Пароль менше 6 символів;

• Пароль, встановлений Вам чужою людиною;

• Пароль, що складається з сусідніх на клавіатурі (наприклад: QWERTY або ЙЦУКЕ);

• Пароль, що складається з паспортних даних: персональний номер, номер прав водія й т.д.

Що таке гарний пароль:

• Безглузда фраза;

• Випадковий набір символів упереміш із літерами.