Чому паролі стали слабкими

Чому паролі ніколи не були такими слабкими, як зараз. Навіть 13-ти або 16-значний пароль в наш час не може вважатися безпечним. Через шість днів після витоку 6,5 млн пральних хеш LinkedIn більше 90% паролів були підібрані. Кілька років тому таке складно було собі уявити. На сайті ArsTechnica опублікована велика оглядова стаття, в якій детально пояснюються причини трансформацій, які відбулися в області злому паролів за останні кілька років.

Головна теза у тому, що середній пароль у 2012 році слабкий як ніколи. Це пояснюється кількома причинами. По-перше - найочевидніше: «чіслодробілкі» GPU, на яких відбувається перебір хеш, стали набагато могутніше в останні роки. Наприклад, AMD Radeon HD7970 GPU здатний обчислювати 8,2 мільярда хеш в секунду. Але це не головна причина.

Найважливіше, що техніка злому паролів в 2009-2012 роки кардинально удосконалилася. На думку фахівців, неможливо навіть порівнювати ті примітивні методи атаки по словнику, які використовувалися раніше, і аналітику на базі десятків мільйонів утёкшіх паролів, які доступні фахівцям зараз.

Відео: Україна: слабкість влади або влада слабких? Час покаже. Випуск від 28.06.2017

Витоки нинішніх проблем лежать в 2009 році, коли сталася наймасовіша в історії витік призначених для користувача паролів. В результаті SQL-ін`єкції на сайті RockYou хакерам вдалося тягнути 32 мільйони паролів відкритим текстом. З того моменту і почалася нова епоха.

Гігантська база даних дозволила розробникам ПО для злому паролів повністю переробити словники, за якими здійснюється брутфорс. Замість «теоретичних» словників у них з`явилися справжні словники з реальними паролями. база RockYou до сих пір залишається унікальним, найкращим ресурсом для злому.

Починаючи з 2009 року, справа пішла по накатаній. Після кожної нової витоку хеш все більшу частку з них вдавалося підібрати по словнику, а ресурси виділялися на аналіз складних паролів, які потім теж додавалися в словник. Наприклад, в наш час пароль на кшталт Sup3rThinkers вважається легким для злому, тому що він підбирається за словником з декількома замінами, для яких існують відповідні правила. Для прискорення пошуку за словниками з десятків гігабайт використовуються райдужні таблиці.

До теперішнього часу склалася така ситуація, що при витоку з будь-якого сервісу бази пральних хеш за словниками миттєво знаходяться 60% паролів! Тобто їм взагалі не потрібно працювати - ці 60% є результатом застосування знань, накопичених раніше.

Таким чином, витоку ставали все частіше, і бази поповнювалися. За оцінками фахівців, тільки за минулий рік в онлайні опубліковано понад 100 мільйонів користувальницьких паролів.

У відносній захищеності в наш час можуть відчувати себе тільки ті, хто користуються менеджерами паролів на зразок 1Password або PasswordSafe.

xakep.ru