О заработке 

Какой выбрать пароль. Какие бывают пароли Использование простого пароля

2019

Cреди 21 млн украденных учетных записей обнаружено только 4,9 млн уникальных паролей

30 октября 2019 года стало известно, среди 21 млн украденных учетных записей исследователи из компании ImmuniWeb обнаружили только 4,9 млн уникальных паролей, свидетельствуя о том, что многие пользователи используют идентичные или похожие пароли. Чаще всего простыми паролями пользуются в технологической отрасли (passw0rd, 1qaz2wsx, career121, abc123 и password1), в финансовой (456a33, student, old123ma, welcome и 123456) и сфере здравоохранения (Exigent, password, pass1, 000000 и 123456). Подробнее .

DeviceLock изучил самые популярные пароли в западном сегменте и Рунете

23 апреля 2019 года стало известно, что компания DeviceLock – российский производитель систем борьбы с утечками данных , проанализировала 3,5 млрд скомпрометированных пар логин-пароль , входивших в 7 коллекций общим объемом 975 Гб, опубликованных хакерами с начала 2019 года.

В рамках исследования были выделены наиболее частотные пароли в различных сегментах. В частности, в десятку самых популярных паролей вошли: 123456, 123456789, qwerty, password, 12345, qwerty123, 1q2w3e, 12345678, 111111, 1234567890. Самыми популярными кириллическими паролями стали: я (единственный односимвольный пароль), пароль, йцукен (в 2018 году занимавший второе место в рейтинге), любовь, привет, люблю, наташа, максим, андрей, солнышко.

При этом доли слабых (состоящих только из букв или только из цифр) и сильных паролей (включающих цифры, буквы и спецсимволы) практически не изменились и составили 42% и 3% соответственно. Также осталась неизменной доля паролей, содержащих менее 7 символов, которая составила 20%

Для логинов, представляющих собой почтовые адреса, самыми популярными сервисами у пользователей, потерявших пароли стали: mail.ru (в 2018 году занимавший 4-е место), yahoo .com (лидер рейтинга 2018 года), hotmail.com, gmail .com, rambler .ru (поднявшийся на 5 место с 7-го в 2018 году), yandex .ru, bk.ru, aol .com, qq.com и list.ru.

По словам основателя и технического директора DeviceLock Ашота Оганесяна , растущее число и утечек как таковых и использование слабых паролей, в частности, говорит о том, что, несмотря на все образовательные усилия участников IT-отрасли, пользователи продолжают, в основном, легкомысленно относиться к выбору паролей.

В корпоративных системах, где есть возможность установить жесткие требования к паролю, ситуация улучшается. Но там, где автоматизированного контроля нет, пользователи пишут ровно то, что у них в голове. А там «привет, люблю, Наташа». При этом взлом, например, онлайн-кабинета в маловажном сервисе позволяет впоследствии быстро добраться и до более важных систем, включая электронную почту или мессенджер .

Оганесян Ашот, технический директор DeviceLock (ранее Смарт Лайн Инк (Smart Line))

"Рейтинг 2017 года: 123456 - лидер

Как сообщает Bleeping Computer, к такому выводу пришли эксперты калифорнийской компании SplashData (выпускает менеджеры паролей, в том числе TeamsID и Gpass) по итогам анализа миллионов паролей, оказавшихся в Сети в результате различных утечек.

«123456» является очень ненадежным паролем, но остальные в списке ста худших паролей 2017 года ничем не лучше. Большой популярностью пользуются спортивные термины (football, baseball, soccer, hockey, Lakers, jordan23, golfer, Rangers, Yankees), марки автомобилей (Mercedes, Corvette, Ferrari, Harley) и выражения (iloveyou, letmein, whatever, blahblah).

Как бы то ни было, истинными лидерами списка худших паролей являются имена: Robert (#31), Matthew (#32), Jordan (#33), Daniel (#35), Andrew (#36), Andrea (#38), Joshua (#40), George (#48), Nicole (#53), Hunter (#54), Chelsea (#62), Phoenix (#66), Amanda (#67), Ashley (#69), Jessica (#74), Jennifer (#76), Michelle (#81), William (#86), Maggie (#92), Charlie (#95) и Martin (#96).

Первые 25 паролей из топ-100 худших паролей 2017 года:

1 - 123456 2 - password 3 - 12345678 4 - qwerty 5 - 12345 6 - 123456789 7 - letmein 8 - 1234567 9 - football 10 - iloveyou 11 - admin 12 - welcome 13 - monkey 14 - login 15 - abc123 16 - starwars 17 - 123123 18 - dragon 19 - passw0rd 20 - master 21 - hello 22 - freedom 23 - whatever 24 - qazwsx 25 - trustno1

"Рейтинг 2016 года: 123456 - лидер

В январе 2017 года стало известно о том, что 123456 остается самым популярным в мире паролем. Об этом говорится в исследовании, опубликованном компанией Keeper Security. По данным исследователей, в 2016 году не менее 17% пользователей интернета используют или использовали в самом недавнем прошлом именно этот пароль.

Предметом исследования стали в общей сложности 10 миллионов, опубликованных в Сети после разных масштабных взломов. 123456 занял первое место по популярности. На втором - "более сложный" пароль 123456789, на третьем - "легендарный" qwerty. Также в изобилии встречаются 111111, 123123, 123321, google, 987654321 и прочие "сложнейшие" комбинации, которые подбираются "методом тыка".

Хотя сами пользователи - первые, кого следует обвинять за такое пренебрежение основами безопасности, однако часть ответственности лежит и на владельцах сайтов, которые не пытаются ввести более жесткие правила для паролей и допускают легко угадываемые или подбираемые комбинации.


В публикации Keeper Security указывается еще одна интересная деталь. В списке самых популярных паролей присутствуют такие комбинации как 18atcskd2w и 3rjs1la7qe. Эти пароли выглядят случайными, но частота их употребления показывает, что это не так.

По мнению исследователей, этими паролями серийно пользуются боты для автоматической регистрации новых аккаунтов в почтовых сервисах. Эти аккаунты затем используются для спама и фишинга.

Скорее всего, это означает, что провайдеры почтовых сервисов не прилагают достаточных усилий для борьбы с ботами: идентичные "случайные" пароли - это явный повод для серьезных подозрений.

"Рейтинг" 2015 года: 123456 - лидер

SplashData представляет топ самых используемых паролей ежегодно. Информацию компания добывает из источников, которые «сливают» чужие пароли к самым разнообразным площадкам в интернете. В 2015 году SplashData проанализировала 2 млн различных паролей, сравнив результаты с 2014 годом.

Первую и вторую строчки, как и в предыдущем году, заняли пароли «123456» и password. На третье место поднялся цифровой набор «12345678», сместив более простой «12345». Знаменитый qwerty также поднялся на одну строчку, заняв четвертое место.

Что касается «осмысленных» паролей, то названия видов спорта (football и baseball) остаются столь же популярны. Также среди «новичков» в списке появились пароли solo и starwars, недвусмысленно отсылающие к выходу продолжения киносаги «Звездные войны». Они заняли 23-е и 25-е места топа соответственно.

"Рейтинг" 2014 года: 123456 - лидер

В сентябре 2014 года в Сети опубликован текстовый файл с 1,26 млн логинами и паролями от учетных записей «Яндекса ». В компании утверждают, что он не является результатом взлома или утечки. Пользователи подсчитали, что пароль «123456» встречается в файле около 38 тыс. раз, «123456789» - около 13 тыс. раз, «111111» - около 9,5 тыс., а «qwerty» - около 7,7 тыс. В число популярных паролей также попали «7777777», «123321», «000000», «666666» и др.

"Рейтинг" 2013 года: 123456 выходит в лидеры

В 2013 г. слово «password» перестало быть самым популярным паролем среди пользователей интернета, сообщила компания SplashData, публикующая ежегодный список худших паролей Worst Password.

Сочетание цифр «123456» отвоевало первенство у лидера худших паролей слова «password», которое опустилось на второе место по популярности. До этого «password» возглавлял рейтинг два года подряд - в 2011 г. и в 2012 г.

На третьем месте осталось сочетание «12345678». В первую десятку также вошли следующие пароли: «qwerty», «abc123», «123456789», «111111», «1234567», «iloveyou» и «adobe123».

Наличие пароля «adobe123» в первой десятке связано с крупнейшей утечкой в истории, в результате которой были раскрыты данные 150 млн пользователей разработчика Photoshop, компании Adobe Systems .

"Рейтинг" 2012 года: Password - лидер

Глобальный отчет по безопасности компании Trustwave 2012 года посвящен уязвимым элементам в информационной безопасности компании. Авторы доклада исследовали более 300 инцидентов в 18 странах, произошедших в 2011 году.

Доклад акцентирует внимание на продолжающемся росте кибератак , а также увеличению количества злоумышленников в сфере информационной безопасности.

Большинство инцидентов возникает в следствии организационных и административных проблем. В ходе исследования было обнаружено, что 76% случаев нарушений произошло из-за уязвимости системы безопасности отделов, ответственных за системную поддержку и развитие компании.

Большая часть исследования посвящена проблеме использования слабых паролей. По мнению специалистов Trustwave, 80% инцидентов происходит в следствии слабых паролей. Слабые пароли продолжают оставаться основным уязвимым местом, используемым злоумышленниками как в крупных, так и в небольших компаниях.

По факту, использование слабых и стандартных паролей облегчает работу взломщиков для проникновения в информационные системы. Порой преступникам не требуется использование сложных, продуманных методов для взлома. По данным компании Trustwave, самым используемым паролем в сети является `Password1`(пароль1). В исследовании отмечено, что применение стандартных паролей присуще также при работе с серверами, сетевым оборудованием и различными устройствами пользователей.

В своем исследовании компания Trustwave приводит список наиболее употребляемых паролей. Английское слово `Password` (пароль) употребляется в 5% случаях, а слово Welcome (приветствие) в 1.3% случаев. Стоит также обратить внимание на использование времен года и дат. Не использовать подобные пароли и их варианты:

  • Password1
  • welcome
  • 123456
  • Winter10
  • Spring2010

Также одна из проблем заключается в том, что многие устройства и приложения используются с изначальными стандартными паролями, зачастую дающими полноту прав доступа, говорится в исследовании.

"Рейтинг" 2011 года: Password - лидер

Достигли ли мы предельного количества паролей?

Проведенное в компании Experian , результаты которого она опубликовала 3 августа 2017 года, выявило растущий разрыв между поколениями в том, как люди управляют своими учетными записями. Миллениалы подвергаются большему риску хищения персональных данных, поскольку ставят удобство выше безопасности. Различные возрастные группы по-разному ведут себя в Сети : одни готовы испытывать неудобства, но чувствовать себя защищенными, другие пренебрегают мерами безопасности, не желая выходить из «зоны комфорта».

Исследование Experian в очередной раз продемонстрировало, что люди разных поколений имеют свои особенности использования интернета и управления учетными записями, паролями и логинами, - отметила Наталия Фролова , директор по маркетингу Experian в России и странах СНГ. - Младшее поколение ставит во главу угла удобство и, как правило, имеет не более 5 уникальных паролей для всех своих аккаунтов. Кроме того, такие пользователи обычно заходят во множественные аккаунты с помощью одного и того же логина социальной сети . При этом они, вероятно, не осознают, что стремление к удобству подвергает риску их личную информацию. Отмечается стремительный рост хищений персональных данных, жертвами которых становятся представители именно этой возрастной группы.

Как показывают статистические данные системы Hunter от Experian, в Британии каждый год на 5% возрастает количество жертв хищения персональных данных среди пользователей в возрасте до 30 лет, причем особенно уязвимы те, кто проживает в разных типах общежитий, где одним устройством для выхода в интернет постоянно пользуются сразу несколько человек. В Британии в отношении этой группы совершается каждое третье мошенничество, связанное с хищением персональных данных.

Противоположную линию поведения выбрало старшее поколение. Представители этой категории гораздо чаще создают отдельный пароль для каждой учетной записи, заботясь о защите данных, пусть даже в ущерб своему удобству. Каждый четвертый британец сообщил, что использует 11 или более паролей.

Безусловно, такой объем информации сложно постоянно держать в памяти, отметили в Experian. Неудивительно, что значительная часть людей старше 55 лет вынуждена прилагать большие усилия, чтобы запомнить свои регистрационные данные. Такое перенапряжение памяти - растущая проблема: 4 из 10 опрошенных признались, что вынуждены пользоваться сервисом запоминания паролей, чтобы ничего не забыть. Постоянные напоминания о том, что пароли лучше не записывать, а помнить наизусть, способствуют повышению бдительности, но, одновременно, и увеличивают стресс. Более половины (55%) респондентов используют один и тот же пароль для нескольких учетных записей.

Исследование Experian также установило, что существует путаница в понимании того, что такое учетная запись - каждый третий респондент (31%) признался, что не знает этого, а еще 61% выбирали разные определения. Трое из пяти британцев (61%) не всегда понимают, с чем они выражают согласие, ставя «галочку» при регистрации нового профиля в интернете, а каждый девятый (11%) никогда этого не понимает.


Для предотвращения кражи персональных данных Experian рекомендует:

  • Не реагировать на телефонные звонки и электронные сообщения от неизвестных лиц.
  • Создать отдельные пароли для разных учетных записей - в особенности для электронной почты и интернет-банка.
  • Придумать надежные пароли, состоящие из трех произвольных слов - можно составить их, добавляя цифры и символы, а также буквы в верхнем и нижнем регистре.
  • При использовании общедоступных сетей Wi-Fi не заходить на сайты, где нужно вводить пароль (например, в свой банк, социальные сети и электронную почту) и не вводить личную информацию, такую как реквизиты банковской карты.
  • Всегда загружать новейшее программное обеспечение на телефон , планшет или компьютер . Это увеличит вашу защиту от вредоносных программ .

Кража паролей – главный риск безопасности корпоративных данных

Исследования показывают, что около 40% всех пользователей выбирают пароли, которые легко угадать автоматически. Легко угадываемые пароли (123, admin) считаются слабыми и уязвимыми. Пароли, которые очень трудно или невозможно угадать, считаются более стойкими. Некоторыми источниками рекомендуется использовать пароли, генерируемые на стойких хэшах типа MD5, SHA-1 от обычных псевдослучайных последовательностей.

Кража паролей – главный риск безопасности корпоративных данных. Об этом предупреждают летом 2014 года эксперты антивирусной компании ESET (Словакия). 76% сетевых атак на компании стали возможны из-за ненадежных или украденных паролей (Министерство предпринимательства, инноваций и ремесел (Department for Business, Innovation and Skills) и PWC). Средний ущерб от потери информации зависит от типа атаки и действующего законодательства в области защиты данных и достигает 199 евро за одну учетную запись. При этом такие параметры как простои в работе персонала, снижение производительности, репутационные потери и утрата активов, в том числе, объектов интеллектуальной собственности, не поддаются исчислению (Ponemon Institute: 2013 Cost of Data Breach Study: Global Analysis).

В центре внимания киберпреступников – компании малого и среднего бизнеса. Они не всегда являются основной мишенью, но часто становятся жертвами из-за имеющихся нарушений системы безопасности. По некоторым данным, 67% кибератак направлены на малые компании, при этом 76% атак являются незапланированными. 75% атак предпринимается преступниками ради финансовой выгоды (Verizon Data Breach Report, 2013).

66% нарушений системы безопасности компании могут месяцами оставаться незамеченными, подвергая риску корпоративную информацию. В числе наиболее распространенных «дыр» в защите – проблемы с паролями: 61% пользователей используют один и тот же пароль, а 44% – меняют пароль только раз в год (CSID Customer Survey: Password Habits 2012).

Пароли, составленные по правилам грамматики, легко взломать

Ис­сле­до­ва­те­ли из уни­вер­си­те­та Кар­не­ги-Мел­ло­на раз­ра­бо­та­ли экс­пе­ри­мен­таль­ный ал­го­ритм под­бо­ра па­ро­ля, ис­поль­зу­ю­щий грам­ма­ти­че­ские пра­ви­ла, и про­ве­ри­ли его эф­фек­тив­ность на 1400 с лиш­ним па­ро­лях дли­ной в 16 и более сим­во­лов. При­мер­но 18% из этих па­ро­лей было со­став­ле­но из несколь­ких слов, объ­еди­нен­ных по пра­ви­лам грам­ма­ти­ки в ко­рот­кую фразу. Хотя такие па­ро­ли легче за­пом­нить, на­ли­чие струк­ту­ры су­ще­ствен­но огра­ни­чи­ва­ет число воз­мож­ных со­че­та­ний и об­лег­ча­ет также и за­да­чу взло­ма, ука­зы­ва­ют исследователи.

Длина па­ро­ля сама по себе не может ха­рак­те­ри­зо­вать его на­деж­ность. Слож­ность взло­ма двух па­ро­лей оди­на­ко­вой длины может от­ли­чать­ся на по­ря­док в за­ви­си­мо­сти от их грам­ма­ти­че­ской струк­ту­ры. На­при­мер, ме­сто­име­ний в языке мень­ше, чем гла­го­лов, при­ла­га­тель­ных и су­ще­стви­тель­ных, и по­это­му па­роль Shehave3cats, на­чи­на­ю­щий­ся с ме­сто­име­ния She, го­раз­до сла­бее, чем Andyhave3cats, на­чи­на­ю­щий­ся с имени Andy.

Ис­сле­до­ва­те­ли учли хо­ро­шо из­вест­ные воз­мож­но­сти за­ме­ны букв по­хо­жи­ми циф­ра­ми, из­ме­не­ния ре­ги­стра и до­бав­ле­ния в конце зна­ков пре­пи­на­ния. Они тоже не столь за­мет­но по­вы­ша­ют на­деж­ность па­ро­лей, как утвер­жда­ют неко­то­рые, счи­та­ют авторы.

Для большинства сайтов лучше использовать простые пароли

Все мы не раз слышали, что для любой учетной записи следует определять уникальные и сложные пароли, используя для их хранения специальную утилиту. Однако исследователи из Microsoft Research пришли к выводу, что такой подход может оказаться неверным (данные лета 2014 года). На первый взгляд, общепринятые рекомендации выглядят вполне логично.

При использовании для каждого сайта и сервиса длинных и сложных паролей, состоящих из случайных комбинаций символов, вероятность их взлома резко снижается, а в случае компрометации пароля под угрозой оказывается лишь одна учетная запись. Запомнить случайную последовательность из 10-20 символов довольно сложно, и тут на помощь приходят утилиты управления паролями, позволяющие хранить их все в одном месте. Все просто. На практике же большинство людей игнорируют сложные пароли, не говоря уже об использовании уникального пароля для каждого сайта и сервиса. При масштабных утечках мы видим, что мало кто следует рекомендациям по выбору пароля. Отношение к утилитам управления паролями тоже весьма скептическое. Ведь забыв пароль от утилиты, вы лишаетесь сразу всех своих паролей, а при взломе соответствующей программы или сервиса злоумышленник получает доступ ко всей вашей информации в полном объеме. Поэтому исследователи предлагают использовать простые пароли на сайтах, где хранятся данные, не представляющие особой ценности, а сложные пароли оставить для банковских учетных записей. Решать вам. Если вопреки рекомендациям экспертов по безопасности вы продолжаете сплошь и рядом использовать простые пароли, возможно, имеет смысл придерживаться именно такого подхода.

Взлом и стоимость компьютерных паролей

Взлом пароля является одним из распространенных типов атак на информационные системы, использующие аутентификацию по паролю или паре «имя пользователя-пароль». Суть атаки сводится к завладению злоумышленником паролем пользователя, имеющего право входить в систему.

Привлекательность атаки для злоумышленника состоит в том, что при успешном получении пароля он гарантированно получает все права пользователя, учетная запись которого была скомпрометирована, а кроме того вход под существующей учетной записью обычно вызывает меньше подозрений у системных администраторов.

Технически атака может быть реализована двумя способами: многократными попытками прямой аутентификации в системе, либо анализом хэшей паролей, полученных иным способом, например перехватом трафика.

При этом могут быть использованы следующие подходы:

  • Прямой перебор. Перебор всех возможных сочетаний допустимых в пароле символов.
  • Подбор по словарю. Метод основан на предположении, что в пароле используются существующие слова какого-либо языка либо их сочетания.
  • Метод социальной инженерии. Основан на предположении, что пользователь использовал в качестве пароля личные сведения, такие как его имя или фамилия, дата рождения и т.п.

Для проведения атаки разработано множество инструментов, например, John the Ripper.

Критерии стойкости пароля

Исходя из подходов к проведению атаки можно сформулировать критерии стойкости пароля к ней.

  • Пароль не должен быть слишком коротким, поскольку это упрощает его взлом полным перебором. Наиболее распространенная минимальная длина - восемь символов. По той же причине он не должен состоять из одних цифр.
  • Пароль не должен быть словарным словом или простым их сочетанием, это упрощает его подбор по словарю.
  • Пароль не должен состоять только из общедоступной информации о пользователе.

В качестве рекомендацией к составлению пароля можно назвать использование сочетания слов с цифрами и специальными символами (#, $, * и т.д.), использование малораспространенных или несуществующих слов, соблюдение минимальной длины.

Microsoft провела летом 2014 года исследование систем безопасности и выяснила, что лучше всего использовать короткие и простые пароли для сайтов, не хранящих личную информацию. Длинными и сложными паролями следует защищать свои учетные записи на web-ресурсах, содержащие банковские данные, имена, фамилии, пароли и т.д.

Повторное использование пароля является табу для специалистов по безопасности в последние годы после огромного количества кибервзломов и утечек личных данных. Рекомендации специалистов кажутся достаточно логичными.

Хакеры, располагая адресами электронной почты и паролями, могли использовать эти учетные данные в отношении других сайтов, чтобы получить к ним незаконный доступ. В свою очередь, повторное использование пароля на сайтах с низкой степенью защиты от кибервзломов необходимо для того, чтобы пользователи могли вспомнить уникальные коды, выбранные для более серьезных ресурсов. Специалисты Microsoft все же рекомендуют пользователям использовать простые пароли на бесплатных сайтах, не содержащих важную информацию. Лучше всего, говорят ИТ-эксперты, `попридержать` длинные и уникальные пароли для банковских сайтов и других хранилищ конфиденциальной информации.

Пароли как белье: меняйте их регулярно и не показывайте на публике

Цифры и регистр не делают пароль надежнее

Ученый из Университета Глазго со своим коллегой из исследовательской лаборатории Symantec выяснили, что цифры и символы верхнего регистра не делают пароль более надежным. Результаты опубликованы осенью 2015 года в сборнике ACM CSS 2015.

Исследователи использовали интеллектуальные алгоритмы, которые предварительно были обучены на базе данных, представляющей 10 млн паролей, имеющихся в сети в открытом виде. Далее они проверили эффективность алгоритмов на 32 млн других паролей. Выяснилось, что цифры и символы верхнего регистра не позволяют усложнить пароль. Такого эффекта можно достичь удлинением пароля или использованием специальных символов.

Исследователи говорят, что люди обычно используют символы верхнего регистра в начале своего пароля, а цифры - в конце. По словам авторов, чтобы сделать пароль более надежным, необходимо удлинить его и добавить специальные символы.

Методы защиты от атаки

Методы защиты можно разделить на две категории: обеспечение стойкости к взлому самого пароля, и предотвращение реализации атаки. Первая цель может быть достигнута проверкой устанавливаемого пароля на соответствие критериям сложности. Для такой проверки существуют автоматизированные решения, как правило работающие совместно с утилитами для смены пароля, например, cracklib.

Вторая цель включает в себя предотвращение захвата хэша передаваемого пароля и защиту от многократных попыток аутентификации в системе. Чтобы предотвратить перехват, можно использовать защищенные (зашифрованные) каналы связи. Чтобы усложнить злоумышленнику подбор путем многократной аутентификации, обычно накладывают ограничение на число попыток в единицу времени (пример средства: fail2ban), либо разрешением доступа только с доверенных адресов.

Комплексные решения для централизованной аутентификации, такие как Red Hat Directory Server или Active Directory уже включают в себя средства для выполнения этих задач.

Генерация пароля

В Unix-подобных операционных системах можно использовать утилиту pwgen. Например

сгенерирует 1 пароль длиной 10 символов.

Методы передачи пароля через сеть

Простая передача пароля

Пароль передаётся в открытом виде. В этом случае он может быть перехвачен при помощи простых средств отслеживания сетевого трафика.

Передача через зашифрованные каналы

Риск перехвата паролей через Интернет можно уменьшить, помимо прочих подходов, с использованием Transport Layer Security TLS, которая ранее называлась SSL , такие функции встроены во многие браузеры Интернета.

Базирующийся на хешах

Пароль передается на сервер уже в виде хэша (например, при отправке формы на web-странице пароль преобразуется в md5-хэш при помощи JavaScript), и на сервере полученный хэш сравнивается с хэшем, хранящимся в БД. Такой способ передачи пароля снижает риск получения пароля при помощи сниффера.

Многофакторная (двухфакторная) аутентификация

Правила управления паролями пользователей

Общие методы повышения безопасности программного обеспечения систем защищенных паролем включают:

  • Ограничение минимальной длины пароля (некоторые системы Unix ограничивают пароли 8 символами).
  • Требование повторного ввода пароля после определенного периода бездействия.
  • Требование периодического изменения пароля.
  • Назначение стойких паролей (генерируемых с использованием аппаратного источника случайных чисел, либо с использованием генератора псевдослучайных чисел, выход которого перерабатывается стойкими хэш-преобразованиями).

Для собственной безопасности пользователь должен учитывать несколько факторов при составлении пароля:

  • по возможности его длина должна быть больше 8 символов;
  • в составе пароля должны отсутствовать словарные элементы;
  • должны использоваться не только нижний, но и верхний регистры;
  • пароль должен состоять из цифр, букв и символов;
  • пароль должен отличаться от логина (имени пользователя);
  • при регистрации на каждом новом сайте пароль должен меняться

Что можно использовать вместо пароля

Многочисленные виды многоразовых паролей могут быть скомпрометированы и способствовали развитию других методов. Некоторые из них становятся доступны для пользователей, стремящихся к более безопасной альтернативе.

  • Одноразовые пароли
  • Технология единого входа
  • OpenID

Распознавание подписи – надежная замена паролям?

Всякий раз, когда Вы платите по банковской карте или вынуждены подписывать цифровой экран электронным карандашом, для подтверждения Вашей личности используются системы распознавания подписи . В этом случае система сравнивает Вашу подпись с тем образцом подписи, который хранится в банковской системе.

Однако это не простое сравнение двух картинок. Специальная программа безопасности не только размещает две картинки рядом друг с другом, чтобы проверить, совпадают ли они, или, по крайней мере, похожи ли они. На самом деле, система распознавания подписи сравнивает способ создания этих двух изображений, осуществляя поиск одинакового поведенческого шаблона.

Преимущества и недостатки

Хотя может показаться, что подделать подпись достаточно просто, тем не менее, практически невозможно повторить скорость написания и оказываемое при этом давление. Так что, системы распознавания подписи, использующие самые передовые технологии, становятся идеальной заменой для паролей в операциях, например, с корпоративными банковскими счетами.

Впрочем, как и у всех других методов идентификации, и здесь имеются свои минусы. Один из главных недостатков заключается в том, что в силу целого ряда причин каждый из нас может подписываться по-разному, и это серьезная проблема. Чтобы система была практичной, важно уметь отличать, например, медленно сделанную подпись в результате какой-то травмы или в результате попытки подделать ее.

Кроме того, как минимум в настоящее время это не совсем эффективный способ доступа к сервисам. В самом деле, когда Вы подписываете что-то при оплате за что-то, эти данные не используются в реальном времени. Вместо этого, данные отправляются в Ваш банк, где будут проверены позже.

Однако наличие недостатков в системах распознавания подписей все равно не закрывает двери перед этой технологией. Вполне вероятно, что будущие корпоративные банковские операции будут разрешаться просто по подписи на планшете или смартфоне.

Пароли на основе смайликов

По данным лета 2015 года Британская компания Intelligent Environments утверждает, что изобрела способ использовать ряд из смайликов, картинок выражения эмоций, который заменит цифровой PIN -код на смартфоне, чтобы наш мозг смог легче запомнить данную последовательность, ведь люди легче запоминают осознанный ряд картинок. Использование «эмоционального» ПИН-кода основано на эволюционной способности людей помнить изображения. Кроме того, увеличенная сложность такого метода усложняет подбор ПИН-кода.

Традиционный четырехзначный ПИН - это четыре цифры от 0 до 9 с повторениями - всего 104 или 10 000 повторений. Число «эмоциональных картинок» равно 444 или 3 748 096, что, согласитесь, куда больше.

Стоит отметить, что данная технология - это, скорее всего, будущее, причем достаточно далекое.

История паролей

Пароли использовались с древнейших времён. Полибий (201 до н. э.) описывает применение паролей в Древнем Риме следующим образом:

То, каким образом они обеспечивают безопасное прохождение ночью выглядит следующим образом: из десяти манипул каждого рода пехоты и кавалерии, что расположено в нижней части улицы, командир выбирает, кто освобождается от несения караульной службы, и он каждую ночь идёт к трибуну, и получает от него пароль - деревянную табличку со словом. Он возвращается в свою часть, а потом проходит с паролем и табличкой к следующему командующему, который в свою очередь передает табличку следующему.

Сегодня мы начинаем долгожданную серию уроков по информационной безопасности. И начнём с правил создания и хранения сложных и надёжных паролей.

Вы, конечно же, придумали себе пароль, возможно даже не один 🙂 но обязательно прочтите эти правила, убедитесь, что ваш пароль можно назвать сложным и надёжным .

Кто-то скажет «у меня в интернете ничего ценного, поэтому пароль 12345» , но ничего хорошего в этом нет, так как вашими данными с радостью воспользуются злоумышленники (например, для того, чтобы выманить деньги с ваших родственников и знакомых):

Мошенник, взломав аккаунт в Skype, пытается заполучить 15000

1. Пароль должен быть сложным!

Все знают, что пароль должен быть достаточно сложным, но что это значит?

  1. Хороший пароль должен содержать минимум 10 символов , чтобы его было сложно взломать (посчитайте, сколько символов в вашем пароле к социальной сети?)
  2. Надёжный пароль должен содержать 12 символов и более (ваш пароль на основную почту должен быть именно таким длинным!).
  3. Сложный пароль должен содержать три набора символов : БОЛЬШИЕ и маленькие буквы, цифры, специальные символы [PochtiSlozhniyParol123%! ]
  4. Пароль должен быть без общедоступной информации (имя, фамилия, ник, важные даты, номера телефонов, ИНН, адреса, как свои, так и родственников - это НЕ для пароля! [MarinaAV1965 – плохой вариант])
  5. Пароль должен быть без словарных слов и без простых сочетаний слов (используйте малораспространённые слова или вообще несуществующие слова [Абырвалг ])

Возможно, вы скажете: «Зачем мне столько паролей?»
Давайте посмотрим, зачем это нужно.

  • Самое важное в Интернете - это ваш e-mail , так как почти все сервисы в Интернете привязаны к вашей электронной почте. Если кто-то получит доступ к вашей электронной почте, то сможет получить доступ ко всему остальному.
  • На малонадёжных сайтах e-mail и пароль лежат рядом! Если такой сайт взломают, первое что сделают - проверят, подходит ли пароль к вашей электронной почте, затем попробуют получить доступ к аккаунту в социальной сети и средствам онлайн-оплаты.
  • Злоумышленники продают друг другу базы взломанных аккаунтов , поэтому риск взлома всех ваших аккаунтов резко возрастает.

Как же быть?
Есть простой способ упростить задачу, разделив все сервисы на две группы:

  1. Для обычных аккаунтов использовать более простые, похожие пароли;
  2. Для важных аккаунтов (e-mail, интернет-банкинг) использовать сложные, уникальные пароли.

«Хорошо, убедил, но как запомнить такое количество паролей?»

3. Храните пароль надёжно

Память инструмент не самый надёжный, поэтому лучше использовать один из нескольких проверенных способов надёжного хранения паролей.

  1. Бумажный блокнот - да, даже ведущие специалисты по информационной безопасности признают этот вариант. Вот только храните такой блокнот подальше от любопытных глаз, да и пароли в нём храните в непонятном виде (об этом мы поговорим в следующий раз).
  2. Менеджер паролей - специальная программа, которая помнит пароли за вас, вам лишь нужно помнить один пароль для доступа к остальной базе.
  3. Текстовый документ - не самый удачный вариант хранения паролей, но его тоже можно использовать, если вы сможете хранить документ безопасно: в архиве под паролем, но это уже вариант менеджера паролей 🙂

Для каждого способа обязательно используйте !

Как НЕЛЬЗЯ хранить пароли

  1. На бумажке, прикрепленной к монитору или лежащей на столе под клавиатурой (есть прецеденты государственных масштабов)
  2. В текстовом документе на рабочем столе (или на флешке, карте памяти телефона и т.д.)
  3. В браузере тоже не рекомендуется хранить пароли! (Интересно, почему? Отвечу в комментариях)

В новостном репортаже показали пароль французской телесети TV5 Monde

Вашу почту могут попытаться взломать, попытавшись восстановить пароль.
Если у вас для восстановления доступа используется ответ на секретный вопрос, его можно угадать.

  • Ответ на секретный вопрос должен быть стойким к угадыванию (используйте неожиданные ответы, например: «Ваш любимый цвет» - «Небо» )

Если же для восстановления используется второй e-mail, все правила из этой статьи тоже должны относиться к нему.

  • E-mail для восстановления должен быть надёжно защищён (проверьте параметры безопасности сейчас, не откладывайте)

5. Используйте двухфакторную аутентификацию

Для важных аккаунтов используйте двухэтапную или двухфакторную .

Например, вы вводите пароль, а с помощью телефона получаете дополнительный одноразовый код для доступа к онлайн-сервису (это может быть SMS или сгенерированный в приложении код).

В этом случае взломать ваш аккаунт будет значительно сложнее.

Заключение

Сегодня мы познакомились с пятью правилами, благодаря которым теперь знаем, что такое сложный и надёжный пароль.

Зная правила, можно приступать к созданию сложного пароля , а как его не забыть, я расскажу в следующем уроке.

Копирование запрещено , но можно делиться ссылками.

Вот вы, уважаемый читатель, наверняка свой дом, квартиру на щеколдочку, крючочек не закрываете. Входную дверь, да замок с ключом для жилья подбираете понадёжней, покрепче, чтобы никто не смог проникнуть внутрь без вашего ведома. И это правильно, и так должно быть! А иначе в какой-то момент времени, а точнее, день или ночь, можно лишиться всего того, что было нажито непосильным трудом.

Примечательно, что эта житейская истина справедлива и для аккаунтов в онлайн-сервисах. Их тоже нужно закрывать, и хорошо закрывать ключом - паролем - от посторонних. Ведь охочих позариться на профили, учётные записи в платёжных системах, онлайн-играх, социальных сетях, да где угодно (интернет большой!), хоть отбавляй. И не нужно себя успокаивать в процессе регистрации на очередном веб-ресурсе мыслями типа «Да кто меня тут знает… », «Кому мой профиль нужен… » и т.д. Хрупкая надежда на «авось» в данном случае может обернуться неприятностями. Причём большими, если, например, речь идёт о денежных средствах на счету в интернет-банкинге.

Из этой статьи вы узнаете, как придумать надёжный пароль, как его запомнить и как безопасно хранить на компьютере.

Сложный пароль - гарантия конфиденциальности

Почему нужно придумать хороший пароль? Да потому, что он является самым первым и самым важным уровнем защиты ваших личных данных. Компьютерные злоумышленники множество пользовательских профилей «вскрывают» методом подбора пароля при помощи специальных программ. Лёгкие символьные ключи для них находка. Раз - и готово! Особо трудиться над взломом не нужно.

Чтобы ещё больше прояснить эту ситуацию статистическими доводами, воспользуемся специальным веб-сервисом https://howsecureismypassword.net/. Он сообщает, сколько времени может понадобиться на взлом указанного пользователем пароля. То есть оценивает степень его устойчивости к взлому.

Итак, предположим, что мы решили придумать пароль, используя расположение букв на клавиатуре - qwerty (ну очень тривиальная комбинация). Спрашиваем у сервиса.

Теперь попробуем протестировать ключ длиной в 6 знаков, состоящий из маленьких английских букв и цифр - ty23ds.

Результат тоже неутешительный: 54 миллисекунды. Конечно, за такой отрезок времени «разгадать» последовательность можно исключительно автоматизированным методом. Однако в большинстве случаев взломщики используют именно такую технологию.

Усложним комбинацию: добавим большие буквы в набор и увеличим длину ключа до 11 знаков. Вводим - eYtou349i93.

Вот так уже куда лучше: 41 год придётся злодею-взломщику корпеть над подбором ключа (конечно, теоретически!).

Но можно придумать пароль и посложней: ещё увеличить длину, к примеру, до 18 знаков, и наряду с буквами и цифрами использовать спецсимволы. Что-то вроде - ew$yu*ow)RweQ23&tT.

Результат просто «космический» (между прочим, на радость пользователю): расчётное время необходимое для подбора - 7 квадриллионов лет. А в 1 квадриллионе, как известно, 15 нулей. В общем, без комментариев.

Бдительные читатели, тут же, конечно сразу зададут вопрос: «Подбор подбором, а как же трояны? Они же воруют пароли?». Да, инструментарий злоумышленников обширен: это и вирусы, и социнженерия, и специальный софт. И сложный пароль, безусловно, это не безупречная панацея от взлома учётной записи. Но его смело можно назвать мощным защитным препятствием на пути взломщиков к конфиденциальным данным.

Правила составления пароля

В ходе создания символьной комбинации для входа на сайт, в независимости от его функционала и предназначения, в обязательном порядке учитывайте следующие моменты:

1. Избегайте простых комбинаций. В частности:

  • логических последовательностей - abcde, 1234;
  • клавиатурной раскладки по вертикали, горизонтали, диагонали и т.д. - asdfg, qscwdv.

2. Не используйте в «чистом виде» (без добавления других символов, цифр) словарные слова. В особенности такие, как «parol», «password», «admin», «my_parol».

3. Не применяйте в качестве ключа личные данные, которые есть в открытом доступе, например, на личной страничке в соцсети или в профиле на форуме. Даже с добавлением цифр! В том числе номер телефона, дату рождения, адрес почтового ящика, имя, фамилия, отчество, клички домашних питомцев.

5. Не вводите русские слова в английской раскладке (пример: вход - d}