Атаки угадывания

Смысл паролей для аутентификации теряется, если их можно украсть прямо из самой системы аутентификации. Впрочем, кража – не единственный способ добраться до паролей. Открытой дверью для социального инжиниринга и атак угадывания может стать небрежное отношение к разработке секретной информации и к её хранению. Именно этими слабыми сторонами защиты информации и пользуется атакующая сторона.

Взломщики бывают двух типов. Одни пытаются подобраться к паролям с технической стороны: охотятся за файлом, на котором пароли могут находиться. Другие используют в качестве поля битвы человеческую психологию. Они, ориентируясь на собственное знание человеческой природы, могут пытаться угадать пароли. Атакующая сторона может попросту составить некий список типичных паролей и предпринимать попытки угадать, на каком из них клиент остановил свой выбор. Условно подобную стратегию можно назвать методом ошибок и проб.

Хуже приходится тем взломщикам, которые лишены творческой жилки и воображения. Им тяжело сообразить, какое именно слово клиент применил в качестве пароля. Они будут пытаться найти пароль методом «тыка», используя все слова, которые, по их мнению, сколько-нибудь напоминают пароль. Опытные взломщики пытаются «привязать» пароль к личности клиента. Например, использовать дату рождения его, детей, жены, имя клиента, его ребенка, его жены, дату свадьбы, дату создания сайта.

Атаки угадывания станут для злоумышленников результативными в двух случаях. Во-первых, клиент изначально к выбору паролей отнесся не слишком серьезно и решил не придумывать ничего сложного. Во-вторых, предпринимаемые атаки методом ошибок и проб остаются незамеченными системой.

От атак угадывания можно защититься. Для этого необходимо ввести протокол попыток проникновения в систему. Такой протокол – обычная функция в нынешних вычислительных системах. Принцип его действия основан на ведении записи обо всех значимых событиях, происходящих внутри системы. Проверка в ОС Windows 2000, Windows NT или UNIX осуществляется посредством ведения системного журнала или его аналога.

Любая вычислительная система, согласно требованиям, которые выдвигает к средствам защиты правительство США, должна снабжаться механизмом проверки. Протоколируя произошедшее событие, система непременно фиксирует его дату и время, а также имя находящегося в системе пользователя и особые детали, которые непосредственно связаны с происходящим.

Записи проверки, кстати, тоже могут оказаться причиной проблем в работе с паролями. Ведь хороший проверочный механизм может зафиксировать много информации, поэтому человек, которому доведётся впоследствии просматривать получившиеся записи, сможет не только легко воссоздать всё произошедшее, но и определить ошибки, которые допускал пользователь. В целях соблюдения режима секретности в состав проверочных записей должно быть запрещено включать пароль, правильно он введен или с ошибкой. Даже неправильно введенный пароль может дать профессиональному взломщику направление для поиска пароля для взлома системы.

Базовые записи проверки непреднамеренно могут помочь злоумышленнику в определении пароля. Иногда люди путаются в графах и вводят пароль в те строки, которые предназначены для записи имени пользователя. Привыкнув к одному виду строк, например, на собственном изготовленном сайте, пользователь может ввести слово, которое заведомо выглядит как имя, в строку, предназначенную для пароля. И наоборот. Сведения о подобных ошибках – очевидная подсказка для взломщика.

Чтобы защитить систему от такого рода атак, достаточно придать процедуре проверки пароля особый статус. Обычная программа проверки фиксирует имя клиента, который связан с произошедшим, но должна быть рассмотрена и такая ситуация, когда имя этого пользователя остаётся неизвестным до положительного отзыва от системы о прохождении процесса аутентификации. Лучшая защита может быть достигнута в том случае, если усилия направлены на выявление атак угадывания. Методом сокрытия в записях проведения проверки фактов неудачных попыток ввода пароля достичь хорошей защищенности не удастся.

В разных системах используется типовая стратегия, состоящая в том, чтобы для каждого имени клиента ввести отдельную регистрацию его безуспешных попыток ввода пароля. Система RAX, которая функционирует с применением традиционных мэйнфреймов IBM, сообщает оператору системы и обо всех неудачных вводах пароля и о количестве вводов неверного пароля при успешном входе клиента в систему.

Администратор может установить порог ошибок, при преодолении которого операционная система Windows 2000, например, запирает учетный формуляр клиента и перестаёт воспринимать его попытки получить доступ в систему.