Люди подставляют @ вместо «a» и ноль вместо «o», считая, что усложняют пароль. На деле они выполняют преобразование, которое давно записано отдельной строчкой в наборах правил для программ подбора. Об этом Наука Mail рассказали в пресс-службе Московского Политеха.
Кандидат технических наук, заведующий кафедрой «Информационная безопасность» Московского Политеха Игорь Калуцкий объяснил, что сложность в понимании пользователя и сложность для перебора — разные вещи. Первая измеряется тем, насколько неудобно набирать пароль. Вторая — тем, сколько вариантов придется проверить. От подстановок она почти не растет.
Блокировка после нескольких неудачных попыток работает только на живом сайте. Обычно утекает база сервиса с хешами паролей, и дальше она лежит на компьютере атакующего, где нет лимитов. Хеши перебираются офлайн миллиардами вариантов в секунду.
Отраслевые стандарты в последние годы двигаются в одну сторону — от требований к составу пароля к требованиям к длине и к проверке по базам скомпрометированных. Логика в том, что состав пароля пользователь придумывает по узнаваемым шаблонам, а длина работает механически. Требование поставить спецсимвол давало иллюзию защиты и раздражение, а прироста стойкости почти не давало
Этим летом американская компания измерила оба сценария на одном стенде. Случайный пароль из восьми символов со всеми типами знаков держится 132 года. Пароль вида o#mA24ft вскрылся за три секунды. Железо одно — дело в порядке перебора: предсказуемые варианты проверяют первыми.
Арифметика длины проще. Четыре случайных слова из списка в 7776 слов дают около 835 лет. Пять слов — примерно 6,5 млн лет. Условие одно: слова выбирают случайно. Строчка из песни или пословица лежит в тех же словарях. «Лаборатория Касперского» разобрала 231 млн паролей из утечек 2023–2026 годов. Около 60% подбираются за час, а больше 20% паролей длиной 15 символов вскрываются меньше чем за минуту, если построены по шаблону.
Приказы ФСТЭК требуют заглавные, цифры, спецсимволы и смену пароля каждые 90 дней для государственных систем. Национальный институт стандартов США отменил и спецсимволы, и принудительную ротацию, подняв минимальную длину до 15 символов. Практический вывод: отдельный пароль для каждого сервиса, фраза из четырех-пяти случайных слов от генератора и двухфакторная аутентификация.
Ранее Наука Mail писала о том, что вибрации в черепе заменят пароль в VR-гарнитурах.