Пароли не спасут пользователей от взлома

Использование SSD-дисков обеспечивает скорость перебора в 300 миллионов паролей в секунду. Это значит, что взломать даже сложный пароль можно всего за 5 секунд.

Многие пользователи применяют один и тот же пароль для различных задач: для аутентификации себя на рабочем компьютере, для доступа к почтовому интернет-сервису или на свою страничку в социальной сети, а то еще и в какой-нибудь онлайновой компьютерной игре. Причем в большинстве случаев за основу пароля берется какое-то слово. То есть они достаточно простые и редко состоят из 13-14 символов. И если вдруг они оказываются более сложными, то наверняка записаны на клочке бумаги и хранятся у пользователя под рукой. Таким образом, получается, что парольная защита пользователей - вещь достаточно эфемерная. Более того, недавно ее возможная эффективность уменьшилась еще сильнее.

Дело в том, что достаточно давно и долго говорят о том, что с использованием высоких скоростей GPU (графический процессор, graphics processing unit) подбор паролей существенно ускорится. Но никто достижения этих высоких скоростей ждать не стал. Недавно швейцарская компания Objectif Sécurité, специализирующаяся в области безопасности, успешно попробовала использовать
для вскрытия паролей комплекс из SSD-дисков (solid-state drive, твердотельные диски) с "радужными таблицами".

Стоит отметить, что еще весной текущего года сообщалось о том, что использование SSD-дисков обеспечивает достижение скорости перебора в 300 миллионов паролей в секунду, что позволит взломать даже сложный пароль за 5,3 секунды. Проверка показала также, что с помощью названного метода и программы ophcrack были взяты и проверены на взлом хэши 14 символьных паролей Windows XP. На их взлом потребовалось от 2 до 11 секунд. То есть наличие парольной защиты никак не сказалось на безопасности ПК.

О ситуации, сложившейся в сегменте парольной защиты, BFM.ru рассказал руководитель отдела исследований компании Passware Алексей Чиликов.

- Большинство современных накопителей - это всем известные жесткие диски (hard-disk drive, HDD). В свою очередь SSD (solid-state drive) используют принципиально иную технологию, которая не требует при обработке информации никаких механически движущихся частей. Основным их недостатком на данный момент является высокая цена. В ближайшее время, я полагаю, они будут использоваться для решения довольно узкого круга задач, в которых их преимущества компенсируют проблему стоимости. Одной из таких задач может считаться и обработка данных с помощью "радужных таблиц".

- Что подразумевается под термином "радужные таблицы"?

- Технология "радужных таблиц" представляет собой один из вариантов компромисса "время-память" и позволяет сократить перебор вариантов, например, паролей за счет использования больших предвычисленных таблиц. В таком случае атака состоит из двух этапов - трудоемкого построения таблиц, которое может быть выполнено заранее на мощном оборудовании, и быстрой атаки на парольный хэш, которая может занимать несколько секунд или минут на обычном персональном компьютере.

- SSD-диски станут массовым явлением или останутся только у энтузиастов?

- Массовое использование SSD сейчас сдерживается высокой ценой, и если не произойдет радикальных технологических прорывов, в ближайшее время ситуация останется той же. Однако для специальных задач они уже сейчас применяются в промышленных масштабах. В контексте рассматриваемой задачи могу

отметить, что SSD - это одна из тех технологий, которых нам в свое время при разработке схожих проектов как раз не хватало.

- Насколько возрастет угроза потери пользователем контроля над своими ПК, не говоря уже о данных?

- Для проведения успешной атаки на основе "радужных таблиц" самих таблиц недостаточно. Нужен еще и доступ к парольному хэшу пользователя. В реальности это, как правило, обозначает физический доступ к компьютеру или хотя бы к его жесткому диску. Либо удаленный доступ при помощи вредоносного ПО. В обоих случаях речь уже идет о частичной потере контроля. Фактически, такие атаки для взломщика - скорее средство "развить успех", чем "захватить плацдарм". Что касается доступа к данным, то да, угроза растет. В первую очередь из-за практики повторного использования паролей в различных местах. Еще одна проблема, которую я здесь вижу - рост эффективности "переборных кластеров", используемых владельцами ботнетов.

- При самом неблагоприятном развитии ситуации, каким образом можно бороться с этой "напастью"?

- Грамотная парольная политика плюс набор обычных мер безопасности помогает снизить риски до минимума. Надо выбирать длинный пароль, хотя бы 10 символов - букв и цифр, и не использовать при этом слова в качестве основы для пароля. Если пользователь не готов отказаться от старой доброй Windows XP, то он должен отключить сохранение устаревшего LM Hash, использовать антивирус и файрволл для защиты от троянов. И конечно, необходим контроль физического доступа к компьютеру.

- Насколько SSD-диски вместе с программой-взломщиком могут справиться с Windows 7 или ОС от Apple и на основе Linux?

- "Радужные таблицы" могут быть эффективно применены для вскрытия только хэш-функций без дополнительной рандомизации, но не шифров. К сожалению, парольная защита в Windows основана именно на хэш-функциях. В unix-подобных системах применяется дополнительная рандомизация, что на несколько порядков увеличивает общую стоимость аналогичной атаки. Что касается Windows 7, то в ней, как и в Vista, производитель отказался от поддержки старой версии парольных хэшей (LM Hash), что привело к значительному росту стойкости алгоритма. Фактически, старый хэш был уязвим к атакам на основе "радужных таблиц" при любой длине пароля. Нынешняя же версия (NT Hash), на мой взгляд, обеспечивает достаточную стойкость при случайном пароле длиной в 10-12 алфавитно-цифровых символов.

В свою очередь, директор по продуктам компании "Аладдин Р.Д." Антон Крячков отметил, что технология "радужных таблиц" представляет собой серьезный инструмент для подбора паролей. Причем использоваться он может как во благо, например, системным администратором для выявления "слабых" паролей, так и во вред - злоумышленником, завладевшим базой хэшированных паролей пользователей с целевой системы и пытающимся подобрать пароли к учетным записям.

Кстати, злоумышленники не чураются модных веяний. А именно, по сути - облачных технологий. "Основную опасность представляют сейчас онлайн-сервисы по подбору паролей, - рассказал Антон Крячков. - Они общедоступны, многие из них бесплатны, в них применяется технология "радужных таблиц".

Однако значительно снизить риски взлома паролей довольно просто, считает Андрей Крячков. Для этого в локальной сети необходимо создать домен Microsoft Windows, что задействует использование протокола Kerberos для аутентификации пользователей, также требуется установить высокие минимальные требования к паролям (например, не менее 12 символов, использование символов верхнего и нижнего регистра и т. п.). Все остальные рекомендации сводятся, по сути, к обязательной аутентификации пользователей только по учетной записи в домене - и никаких локальных учетных записей на ПК пользователей.

К сожалению, все эти меры не станут окончательными, поскольку есть еще сами пользователи, которые, возможно, несут главную угрозу безопасности. Как правило, говорит Антон Крячков, для офисных работников запомнить сложный пароль - непосильная задача. А значит, они его где-нибудь запишут, например, на том же стикере, и тем самым сведут всю борьбу за безопасность данных к нулю. Поэтому, считает эксперт "Аладдин Р.Д.", сложные пароли можно и нужно хранить во внешних специализированных устройствах (USB-ключах или смарт-картах).