1. Поняття про паролі: їх злом та методи захисту. Використання паролів у microsoftoffice

1. Поняття про паролі

Пароль (фр. parole — слово) — секретне слово або символьна послідовність, призначена для підтвердження особи або прав. Паролі використовують для захисту інформації від несанкціонованого доступу. Паролі разом із логіном використовуються операційною системою для надання користувачу дозволу на з'єднання з комп'ютерною системою та визначення його прав доступу до ресурсів мережі.

Паролі використовувалися з найдавніших часів. Полібій (201 до н. е.) Описує застосування паролів в Стародавньому Римі наступним чином:

Те, яким чином вони забезпечують безпечне проходження вночі виглядає наступним чином: з десяти маніпул кожного роду піхоти і кавалерії, що розташоване в нижній частині вулиці, командир вибирає, хто звільняється від несення вартової служби, і він щоночі йде до трибуну, і отримує від нього пароль - дерев'яну табличку зі словом. Він повертається в свою частину, а потім проходить з паролем і табличкою до наступного командуючому, який в свою чергу передає табличку наступного.

Паролі використовувалися в комп'ютерах з перших їх днів. CTSS від MIT була одна з перших відкритих систем, з'явившись в 1961 р. Вона використовувала команду LOGIN для запиту пароля користувача.

Дослідження показують, що близько 40% всіх користувачів вибирають паролі, які легко вгадати автоматично. Легко вгадувані паролі (123, admin) вважаються слабкими і вразливими. Паролі, які дуже важко або неможливо вгадати, вважаються більш стійкими.

2. Злом комп'ютерних паролів

Злом пароля є одним з поширених типів атак на інформаційні системи, що використовують аутентифікацію по паролі або парі «ім'я користувача-пароль». Суть атаки зводиться до заволодіння зловмисником паролем користувача, який має право входити в систему.

Привабливість атаки для зловмисника полягає в тому, що при успішному отриманні пароля він гарантовано отримує всі права користувача, обліковий запис якого була скомпрометована, а крім того вхід під існуючою обліковим записом зазвичай викликає менше підозр у системних адміністраторів.

Технічно атака може бути реалізована двома способами: багаторазовими спробами прямий аутентифікації в системі, або аналізом хешей паролів, отриманих іншим способом, наприклад перехопленням трафіку.

При цьому можуть бути використані наступні підходи:

Прямий перебір. Перебір всіх можливих поєднань допустимих в паролі символів.

Підбір за словником. Метод заснований на припущенні, що в паролі використовуються існуючі слова будь-якої мови або їх поєднання.

Метод соціальної інженерії. Заснований на припущенні, що користувач використовував в якості пароля особисті відомості, такі як його ім'я або прізвище, дата народження і т.п.

3. Критерії стійкості пароля

Виходячи з підходів до проведення атаки можна сформулювати критерії стійкості пароля до неї.

Пароль не повинен бути занадто коротким, оскільки це спрощує його злом повним перебором. Найбільш поширена мінімальна довжина - вісім символів. З тієї ж причини він не повинен складатися з одних цифр.

Пароль не повинен бути словниковим словом або простим їх поєднанням, це спрощує його підбір за словником.

Пароль не повинен складатися тільки з загальнодоступної інформації про користувача.

Як рекомендацією до складання пароля можна назвати використання поєднання слів з цифрами і спеціальними символами (#, $, * і т.д.), використання малопоширених або неіснуючих слів, дотримання мінімальної довжини.