Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
ДОСЛІДЖЕННЯ СТІЙКОСТІ СИСТЕМИ ПАРОЛЬНОГО ЗАХИСТУ
Інформація про навчальний заклад
ВУЗ:
Національний університет Львівська політехніка
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Захист інформації
Інформація про роботу
Рік:
2012
Тип роботи:
Звіт про виконання лабораторної роботи
Предмет:
Системи ідентифікації
Частина тексту файла (без зображень, графіків і формул):
МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ
НАЦІОНАЛЬНИЙ УНІВЕРСИТЕТ
“ЛЬВІВСЬКА ПОЛІТЕХНІКА”
КАФЕДРА ЗІ
/
Звіт
з лабораторної роботи №2
“ДОСЛІДЖЕННЯ СТІЙКОСТІ СИСТЕМИ ПАРОЛЬНОГО ЗАХИСТУ”
КОРОТКІ ТЕОРЕТИЧНІ ВІДОМОСТІ
1. Захист від несанкціонованого доступу (НСД).
Парольна система як невід'ємна складова підсистеми управління доступом системи захисту інформації (СЗІ) є частиною "переднього краю оборони" всієї системи безпеки. Тому парольна система стає одним з перших об'єктів атаки при вторгненні зловмисника в захищену систему.
Підсистема управління доступом СЗІ зачіпає наступні поняття:
Ідентифікатор доступу - унікальна ознака суб'єкта або об'єкту доступу.
Ідентифікація - привласнення суб'єктам і об'єктам доступу ідентифікатора і (або) порівняння ідентифікатора, що пред'являється, з переліком привласнених ідентифікаторів.
Пароль - ідентифікатор суб'єкта доступу, який є його (суб'єкта) секретом.
Автентифікація - перевірка приналежності суб'єктові доступу пред'явленого ним ідентифікатора; підтвердження достовірності.
Можна зустріти і такі тлумачення термінів ідентифікатор і пароль користувача:
Ідентифікатор - деяка унікальна кількість інформації, що дозволяє розрізняти індивідуальних користувачів парольної системи (проводити їх ідентифікацію). Часто ідентифікатор також називають ім'ям користувача або ім'ям облікового запису користувача.
Пароль - деяка секретна кількість інформації, що відома тільки користувачеві і парольній системі, пред'являється для проходження процедури автентифікації.
Обліковий запис - сукупність ідентифікатора і пароля користувача.
Одним з найбільш важливих компонентів парольної системи є база даних облікових записів (база даних системи захисту). Можливі наступні варіанти зберігання паролів в системі:
- у відкритому вигляді;
- у вигляді хэш-значень (hash (англ.) - суміш, мішанина);
- зашифрованими на деякому ключі.
Найбільший інтерес представляють другий і третій способи, які мають ряд особливостей.
Хешування не забезпечує захист від підбору паролів по словнику у разі отримання бази даних зловмисником. При виборі алгоритму Хешування, який буде використаний для обчислення хэш-значень паролів, необхідно гарантувати неспівпадання хэш-значень, отриманих на основі різних паролів користувачів. Крім того, слід передбачити механізм, що забезпечує унікальність хэш-значень в тому випадку, якщо два користувача вибирають однакові паролі. Для цього при обчисленні кожного хэш-значення зазвичай використовують деяку кількість "випадкової" інформації, наприклад, видаваною генератором псевдовипадкових чисел.
При шифруванні паролів особливе значення має спосіб генерації і зберігання ключа шифрування бази даних облікових записів. Можливі наступні варіанти:
- ключ генерується програмно і зберігається в системі, забезпечуючи можливість її автоматичного перезавантаження;
- ключ генерується програмно і зберігається на зовнішньому носієві, з якого прочитується при кожному запуску;
- ключ генерується на основі вибраного адміністратором пароля, який вводиться в систему при кожному запуску.
Найбільш безпечне зберігання паролів забезпечується при їх хешируванні і подальшому шифруванні отриманих хэш-значень, тобто при комбінації другого і третього способів зберігання паролів в системі.
2. Парольна система.
Який пароль можна однозначно назвати слабким в усіх відношеннях (за винятком властивості їх запам’ятовуввання)? Типовий приклад: пароль з невеликої кількості (до 5) символів/цифр. За деякими даними, з 967 паролів одного із зламаних поштових серверів мережі Інтернет 335 (майже третина) складалася виключно з цифр. Кількість паролів, які включали букви і цифри виявилася рівною 20. Решта паролів складалася з букв в основному в нижньому регістрі та за рідкісним виключенням (в кількості 2 паролів) таких, що включають спецсимволи ("*", "_"). Символ "_", проте, часто зустрічався в іменах користувачів. У 33 випадках ім'я і пароль користувача співпадали. Найпопулярнішим виявився пароль 123 (зустрічався 35 разів, майже кожен 27 пароль). На другому місці пароль qwerty (20 паролів) - досить зручний для набирання. Далі слідують: 666 (18 разів), 12 (17 разів), хакер (14 разів) і 1, 11111111, 9128 (по 10 разів). 16 паролів складалися з одного символу/цифри.
У повсякденному житті сучасній людині доводиться тримати в пам'яті чималу кількість інформації: PIN-коди до банківської картки і мобільного телефону, комбінації кодових замків, пароль для доступу в Інтернет, до ресурсів різного роду, електронних поштових скриньок. Чи всі паролі необхідно тримати в пам'яті? Все залежить від оцінки рівня втрат в результаті потрапляння вашого пароля до чужих рук. Паролі для доступу в Інтернет і до ресурсів мережі ніхто не заважає записати в блокнот, якщо ви не побоюєтеся, що хто-небудь увійде до мережі без вашого відома і ознайомиться із змістом поштової скриньки.
Підвищення вимог до пароля виникає із-за ступеня його важливості. Прикладом "важливого пароля" служить пароль, вживаний для роботи в автоматизованих системах, оброблювальних інформацію обмеженого доступу (державна таємниця, конфіденційна інформація). Керівні документи Держтехкомісії не дають конкретних рекомендацій по вибору пароля або розрахунку його стійкості, за винятком довжини, яка складає від 6 (клас 3Б, 3А, 2Б, 2А) до 8 (клас 1Б, 1А) буквено-цифрових символів і необхідності періодичної зміни пароля.
Існують методи кількісної оцінки стійкості парольних систем:
/ - формула Андерсона
де k - кількість спроб підбору пароля в хвилину; M - час дії пароля в місяцях; P - вірогідність підбору пароля;
Al - потужність простору паролів (А - потужність алфавіту паролів, l - довжина пароля).
Таким чином, найбільший вплив на вірогідність розкриття пароля надає величина l. Інші складові даної формули надзвичайно рідко роблять вплив на величину P, що перевищує один порядок. Збільшення ж довжини пароля тільки на один символ значно збільшує потрібне зловмисникові час для його розкриття.
Параметри Р, V, T і Al зв'язані між собою наступним співвідношенням:
/,
де P - вірогідність підбору пароля протягом його терміну дії (підбір здійснюється безперервно протягом всього терміну дії пароля); V - швидкість підбору паролів (швидкість обробки однієї спроби реєстрації перевіряючою стороною або швидкість обчислення хэш-значення одного пробного пароля); T - термін дії пароля (задає проміжок часу, після закінчення якого пароль повинен бути змінний); Al - потужність простору паролів (А - потужність алфавіту паролів, l- довжина пароля).
У разі, коли невідома точна довжина шуканого пароля, максимальний час підбору пароля (Тmax) обчислюватиметься відповідно до наступної формули:
Тmax
/
Доскональне знання способів зберігання облікових записів користувачів в базі даних системи захисту дозволяє оптимізувати програми відновлення (розкриття) паролів. Докладні знання організації парольної системи операційних систем Windows NT/2000/XP дозволяють авторам вказаних програм заявляти швидкість здійснення перебору від 3,9 мільйонів паролей/сек. до 5,4 мільйонів паролей/сек. на ПЕВМ з процесором Athlon XP 1700+ або говорити про можливість знаходження всіх алфавітно-цифрових паролів за три доби на ПЕВМ з процесором Pentium II/450.
Отже, який же пароль зможе чинити гідний опір спробам його підбору? Довгий, такий, що складається з букв різного регістра, цифр і спецсимволів. При цьому він повинен бути випадковим, тобто вибір символів здійснюється довільно (без якої б то не було системи) і більш ніде не використовуватися, при цьому єдиним місцем фіксації пароля повинна бути голова лише однієї людини. Проте необхідно враховувати і питання практичного використання пароля. Дуже довгий пароль складно запам'ятати, особливо, якщо врахувати той факт, що користувачеві доводиться мати не один пароль. Здійснити швидке введення довгого пароля також не представляється можливим. Довільно вибрані символи запам'ятаються, якщо їх вимовлення вголос має звукову форму (благозвучність), що запам'ятовується, або вони мають характерне розташування на клавіатурі, інакше без шпаргалки не обійтися.
Допомогти користувачеві скласти пароль по певних критеріях можуть програми генерації паролів.
Одна з таких програм Advanced Password Generator дозволяє створювати паролі за допомогою генератора випадкових чисел або по ключовому слову, що задається користувачем, а також містить алгоритм створення слів, найбільш близьких до природної мови. При використанні вказаного режиму виходять слова, що "запам'ятовуються", але не мають сенсу. Під терміном що "запам'ятовується" слід розуміти благозвучність отримуваної комбінації. У цьому режимі використання цифр, спецсимволів або змішаного регістра букв автоматично відключається.
Ось декілька створених програмою паролів, що "запам'ятовуються": ELASWOWA, DEDRYTON, BENEROMO, SARMANED. Програма дозволяє створювати пароль завдовжки від 4 до 32 символів. Пароль, що "запам'ятовується", з 32 символів виглядає, наприклад, так: NONEERESSPYOVENAPARDERETOURVENFF.
Унікальність подібного роду паролів, що генеруються програмами безпосередньо залежить від ступеня "випадковості" використовуваного для цих цілей генератора.
Сучасні комплекси захисту інформації обмежують можливу довжину використовуваного пароля 12 - 16 символами. Найчастіше це латинські букви, цифри і спеціальні символи.
Більшість СЗІ володіють наступними можливостями по збільшенню ефективності парольної системи:
- встановлення мінімальної довжини пароля;
- встановлення максимального терміну дії пароля;
- встановлення вимоги неповторюваності паролів (перешкоджає заміні пароля після закінчення його терміну дії на один з використовуваних раніше);
- обмеження числа спроб введення пароля (блокує користувача після перевищення певної кількості спроб введення, здійснюваних підряд; не діє на обліковий запис адміністратора).
Для того, щоб ускладнити завдання зловмисника по отриманню бази даних системи захисту багато СЗІ зберігають її в незалежній пам'яті своєї апаратної частини.
Деякі комплекси захисту інформації від НСД містять вбудовані механізми генерації паролів і доведення їх до користувачів. Очевидним мінусом і основним чинником, що штовхає користувача записати пароль, є неможливість запам'ятовування абракадабри з, наприклад, 8 буквено-цифрових символів ніяк не зв'язаних між собою.
У випадку якщо користувачеві самостійно необхідно сформувати пароль, як критерії вибору пароля можна виділити наступні:
- використання букв різних регістрів;
- використання цифр і спецсимволів спільно з буквами.
При складанні пароля не рекомендується використовувати:
- своє реєстраційне ім'я в якому б то не було вигляді (як є, обернене, заголовними буквами, подвоєне, і т.д);
- своє ім'я, прізвище або по батькові в якому б то не було вигляді;
- імена близьких родичів;
- інформацію про себе, яку легко можна отримати. Вона включає номери телефонів, номери особових рахунків, номер вашого автомобіля, назву вулиці, на якій ви живете, і т.д.;
- пароль з одних цифр або з одних букв;
- слово, яке можна знайти в словниках.
Потрібно запам'ятати (постаратися не записувати) свій пароль. Якщо запам'ятати якісний пароль виявилося непосильним завданням для вас, не записуйте пароль цілком, розділіть його на дві частини і запишіть в різних місцях. Тільки не оснащуйте ці записи коментарями типу: "Це перша частина мого пароля для виходу в Інтернет, друга частина на наступній сторінці". Якщо ви складали пароль по фразі, то, наприклад, запис вигляду: Everybody*love(the) freedom, нагадає, що ваш пароль: e*v(e) e (брали кожну третю букву з додаванням спецсимволів). Скритніший спосіб припускає доповнення записаного за визначеним користувачем принципом. В цьому випадку знайдений запис: DeReVo не дозволить автоматично розкрити дійсний пароль: *DterReeeV*o.
Але усе-таки, пароль, використовуваний для роботи з інформацією обмеженого доступу, необхідно запам'ятати і ніде не записувати.
Необхідно потренуватися вводити пароль, щоб ця процедура займала якомога менше часу. Не дивлячись на те, що бажано уміти вводити пароль не дивлячись на клавіатуру, на перших порах підключайте зорову пам'ять. Головне правило: ніхто, окрім вас, не повинен знати ваш пароль.
Ось декілька варіантів підбору елементів, що складають пароль:
- виберіть рядок або два рядки з пісні або поеми і використовуйте першу букву кожного слова, додайте цифри (спецсимволи);
- виберіть відомий вислів (приказку, слоган і т.п.) і використовуйте кожну четверту букву, додайте цифри (спецсимволи);
- замініть в слові одну приголосну і одну або дві голосних, додайте цифри (спецсимволи);
- виберіть два короткі слова і з'єднайте їх разом із знаком пунктуації між ними, додайте цифри (спецсимволи).
На закінчення необхідного відзначити існування "парадоксу людського чинника". Полягає він в тому, що користувач нерідко прагне виступати скоріше супротивником парольної системи, як, втім, і будь-якої системи безпеки, функціонування якої впливає на його робочі умови, ніж союзником системи захисту, тим самим ослабляючи її. Дійсно, необхідність введення пароля кожного разу при вході в систему, не говорячи вже про необхідність запам'ятовувати складну знакову послідовність, зручністю не є. Єдиною мірою протидії вказаній обставині є формування у користувачів грамотного підходу до питань забезпечення безпеки інформації.
Результати виконання роботи
/
Пароль з 4 одиниць можна взламати за час, який дорівнює 1секунді.
/
Пароль з різних цифр, можна, взламати за 5 секунд.
/
Пароль з різних цифр і однієї букви, взламався за 12секунд.
/
Пароль з набору цифр і букв взламався за 3 хвилини та 57 секунд.
/
Пароль з набору цифр і букв, на один символ довший, взламався за 4 хвилини та 9 секунд.
Висновки:
На лабораторній роботі №2, я навчилася досліджувати стійкість системи парольного захисту. Паролі з набору просто цифр, або букв не є стійкими для парольного захисту, тому що вони швидко взламуються. Паролі з набору різних букв і цифр є більш стійкішими для захисту системи, але все одно взламуються.
Отже, для стійкого парольного захисту системи потрібно створювати пароль так, щоб він був довгий, такий, що складається з букв різного регістра, цифр і спеціальних символів.
17.03.2013 00:03-
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора