16 июля 2017
Беседка №146. Преувеличенные слухи о смерти паролей
Илья Субботин
Преимущества пароля как способа защиты информации.
Многие годы я постоянно натыкаюсь на заголовки в стиле «Смерть пароля». Я до сих пор получаю PR-рассылки от компаний, обещающих «лишить пароли актуальности». Не счесть, сколько раз я читал о новой технологии, которая «заменит пароли». Все они ошибались. Правда в том, что пароли с нами надолго. И вот несколько причин.
Пароли либо абсолютно верны, либо абсолютно неверны. «Bsdo#du()q1» выглядит практически как «Bsdo#du()1», но для компьютера эти комбинации абсолютно разные. Поправочный коэффициент отсутствует, и ни один компьютер не перепутает их. Для сравнения: в случае с биометрическими технологиями, такими, как датчики отпечатка пальца, сканеры сетчатки глаза и анализаторы особенностей ввода текста всегда приходится учитывать определённую погрешность, биология не отличается четкостью измерения. Могут меняться голоса, лица и освещение, всё это приходится учитывать и биометрическому сканеру. Но если заполучить / воспроизвести информацию максимально близко к оригиналу, то можно обойти биометрическую идентификацию, что неоднократно демонстрировалось. Уменьшите погрешность — получите ошибки и негодующих пользователей. У паролей нет таких проблем.
Пароли не зависят от технологий и обладают обратной совместимостью с предыдущими версиями
Они являются (сравнительно) небольшой строкой текста. Каждая операционная система за прошедшие полвека — Windows, Mac, Unix, Android, iOS, TRSDOS, BeOS, Symbian, AmigaOS — может работать с паролями. Но не все устройства могут различать лица, считывать отпечатки пальцев или анализировать особенности вашей моторики. И не все устройства имеют USB-порт для подключения идентификационного токена. Не каждое устройство может получать сообщение с временным кодом. Применение новых технологий авторизации имеет свою цену и нет никакой гарантии, что они будут повсеместно использоваться впоследствии.
Пароли — бесплатная разовая мера
Если пароль становится известным в результате утечки данных, то можно просто заменить его на новый. Но пальцев всего 10, а глаза всего два. Что делать, если отпечатки пальцев «утекли» в недобрые руки? (Подобное произошло с государственными служащими, чья биометрическая информация была украдена в ходе взлома федерального отдела по организации кадровой работы.) Части тела так просто не заменить.
Паролем легко поделиться
Я понимаю, что не стоит так делать, но люди постоянно отправляют свои пароли, зачастую под вполне благовидными предлогами. Можно посылать их по e-mail (так себе идея), по SMS (тоже не очень), записывать на бумажке (уже лучше) или говорить получателю лично (идеальный вариант). Отпечаток пальца или скан сетчатки передать не получится.
Пароль анонимен
Если вы не используете в качестве своего пароля уникальную персональную информацию, то никак не получится отследить вас по паролю. Напротив, голос, отпечатки пальцев, сетчатка глаза и другие биометрические данные, как и сам смартфон, принадлежат только вам и всё это можно использовать для отслеживания человека.
Пароль — это секрет
Или, по крайней мере, должен являться им. Но это не про биометрические идентификаторы. Ваше лицо появляется на публике практически каждый день. Отпечаток пальца можно снять с винного бокала. ДНК легко заполучить из упавшего с головы волоса. USB-токен могут позаимствовать, когда хозяин будет спать. Но пароль (теоретически) знаете только вы.
Правильное использование паролей
Проблемы с паролями возникают лишь потому, что они используются людьми, которые ленивы. Мы придумываем слишком короткие и слишком простые пароли, используем один и тот же пароль для разных сайтов, поэтому взлом базы данных одного сайта может поставить под угрозу несколько сервисов. Но мы можем свести на нет человеческий фактор, используя машины. Мы можем использовать менеджеры паролей, которые генерируют и используют надежные пароли для каждой используемой нами учетной записи. Да, менеджер паролей может стать самым ненадёжным звеном, но при использовании нескольких подобных решений и разделении своих аккаунтов между ними ничего подобного не случится.
Мы можем использовать двухфакторную аутентификацию, которая в наше время может быть гораздо надежнее текстового кода. Вторым фактором, например, может стать случайно сгенерированное число из соответствующего приложения или USB-токен, который вы храните на связке ключей. Большую часть времени в дополнительной аутентификации нет необходимости, она требуется лишь тогда, когда вы выполняете вход в учетную запись с нового устройства. Пароли никуда не денутся, как и мы. Нам просто нужно более грамотно их использовать.
Оригинальный материал, автор — Пол Вегенсейл
Кому-то покажется паранойей, но такие меры предосторожности имеют под собой рациональную идею. Пока гром не грянет, как говорится. Двухфакторная аутентификация имеет большую степень надёжности, нежели биометрические способы идентификации пользователя. Это не значит, что нужно отказаться от отпечатка пальца. Повторюсь, если на устройстве не хранится критически важной информации, то можно обойтись и им. Но в обратном случае нужно задуматься о дополнительных механизмах защиты. Описанный автором способ является довольно понятным и универсальным для всех. Более продвинутым способом являются специальные приложения, например, уже упомянутый мной на страницах сайта Cerberus, отслеживающий статус устройства и позволяющий удаленно стирать память гаджета, делать фото вора и многое другое. Подстраховка, конечно, но лишним не будет.
Я не считаю, что пароли в скором времени пропадут, для этого нужно максимально наполнить рынок устройствами с различными биометрическими сканерами, что пока что не совсем характерно для бюджетного сегмента. Автор прав, нам нужно задуматься, а правильно ли мы используем доступные способы защиты? Ну и полезно вспомнить о банальных правилах, о которых в том числе говорится в материале.
Конечно, хороший пароль надёжнее чем все эти сканеры.
Беда в том что подавляющее большинство паролей откровенно слабые, а-ля 1-2-3-4-5. Люди их сознательно упрощают чтоб не забыть.
И вот их то и надо заменять на сетчатки и отпечатки пальцев.
Потому что нормальный (обычный человек) пароль типа «Bsdo#du()q
«-никогда не запомнит, а бумажку с ним потеряет
То, как реализовано в целом в приложениях iOS — доступ по паролю, но пароль закрыт отпечатком. С одной стороны это баланс между уязвимостью и упрощением доступа, с другой в случае компрометации мы меняем сохранённый пароль, а не палец.
помню когда еще в офисе работал, компания морочилась на тему безопасности,
в какой-то момент заставили принудительно всех поменять пароли
по новым правилам в пароле должно было быть минимум 15! символов,
минимум 1 цифра, 1 заглавная буква и 1 строчная)
предупредили заранее, что пароль надо будет менять каждые 3 месяца и повторяться нельзя будет,
в итоге все свелось к тому, что у меня был
Simplepassword1
Simplepassword2
Simplepassword3
и так далее) не думаю что с точки зрения безопасности это было улучшение)
3 месяца! шикарно жили, у нас — 1 🙂
Блин, теперь никак не могу решить какой новый пароль себе поставить — Bsdo#du()q1 или Bsdo#du()1.?
BSOD#666qq
IDDQD
IDKFA интереснее)))
https://digiex.net/attachments/simdoomii05-jpg.4316/
Что может быть лучше пароля неуязвимости, для защиты данных? 🙂
🙂 Ладно, убедили)
Когда-то это был мой пароль на все… А сейчас без KeePass даже на домашний NAS зайти не могу.
Отпечатки пальцев ног надо использовать
Пароли — наше все, а после введения повсеместной двухуровневой, например, по СМС, авторизации, по-поводу сложности пароля уже давно не парюсь…
Вот же сложности придумали. Большинство акков вообще ценности не имеют, а там где имеют компании сами защищают
Ну не знаю. На днях у меня увели старинный аккаунт Яндекс, которым пользовался пару раз в год, и пытались зарегистрироваться с него на Танках. Чем этих «злодеев» не устроила возможность создать «левый» аккаунт самостоятельно?
В устройства надо встраивать тест на ДНК, что бы каждый раз брало кровь на анализ.
На следующий день если он подтверждается, то устройство разблокируется.
По-моему очень удобно.
«На следующий день если он подтверждается, то устройство разблокируется.»
ага на 15 секунд для того чтобы можно было ввести 36-значный пароль… если не успел, то заново всё… три раза не успел — смартфон объявляет себя самсунгом 7 и самоуничтожается путем взрыва АКБ )))
На входе в подъезд, домофон с таблеткой. В квартиру уже ключ. А в квартире, у некоторых, стоит сейф, с еще более сложным ключом. А в сейфе… (проявите фантазию сами).
Вход в смартфон, это аналог домофона. Еще ничего критично важного, но от праздношатающихся (не более!), его надо защитить с минимумом неудоств для владельца. Пароли из жизни никуда не денутся. Они просто будут вытеснены из некоторых эшелонов защиты, но останутся в других.
Прошлая беседка была про отпечаток, эта про пароль, но основная мысль обоих выпусков — сложный пароль надежней биометрии.
Следующая будет про сетчатку или разблокировку по лицу или про графический ключ? В общем есть темы еще на 3 выпуска. У Вас кризис идей?
Раньше я было заморачивался с прижумыванием пароля, старался выдумать что-то вроде the_matrix_zion5.
Со временем все это надоедает. Сейчас у меня пароль на смартфоне 1q2w3e4r5t. То есть я всегда смогу вспомнить пароль, просто посмотрев на клавиатуру.
Такий пароль насправді дуже слабкий.
«Your password will be bruteforced with an average home computer in approximately 3 SECONDS»
«Your password will be bruteforced with an average home computer in approximately 3 SECONDS»
https://password.kaspersky.com/
Это речь идет о «azsxdc..» или о «the.matrix.zion5»?
Оба. В пароле не должно быть заметно видимой схемы. На вскидку, даже не скажешь, какой подберется быстрее. Думаю, что кверти.
Нужно нарушить алгоритм. Одна, а еще лучше две «ошибки» и словарный пароль становится полностью рандомным.
На самом деле the_matrix_zion5 касперский пишет что пароль стойкий, не знаю почему.
Не спец, поэтому только предполагаю. Каспер учитывает только длину, а не словарный подбор, для которого, известные слова «the», «matrix» и «zion», это один символ. А насколько продвинутые алгоритмы у профессиональных кракеров, можно только догадываться.
Я, когда пользовался этим методом составления паролей, просто дублировал вторую букву в каждом слове – thhe_maatrix_ziion5. И длина росла, и словарность надеюсь рушилась, и набирать не сложнее.
1q2w3e4r5t, это вообще одно слово из словаря, который составлен по базе утекших паролей, какого-нибудь сервиса.
Ну это легко выяснить, убираем подчеркивания, получаем 8 месяцев, убираем цифру 5 получаем 2 века, дело в подчеркиваниях)
Да шапку из фольги носите и все, делов-то.