Кевин Митник - Искусство быть невидимым

Помимо рабочих паролей существуют пароли, которые защищают персональные данные. Даже трудный пароль хакерские инструменты, такие как oclHashCat (инструмент подбора пароля, задействующий ресурсы видеокарты), могут взломать, но процесс перебора будет настолько длительным, что злоумышленник скорее решит переключиться на другую, более легкую мишень.

Вполне можно допустить, что некоторые из паролей, обнародованных после взлома сайта Ashley Madison в июле 2015 года, используются и в другом контексте – в том числе для доступа к банковским счетам и даже к рабочим компьютерам. В выложенном в Интернет списке из 3,3 миллиона паролей к сайту Ashley Madison самыми распространенными оказались «123456», «12345», «password», «DEFAULT», «123456789», «qwerty», «12345678», «abc123» и «1234567». {11} 11 arstechnica.com/security/2015/09/new-stats-show-ashley-madison-passwords-are-just-as-weak-as-all-the-rest/ Если среди перечисленного вы увидели свой пароль, ваши данные вполне могут быть похищены, поскольку эти варианты паролей включены в большинство доступных в Интернете инструментов для подбора паролей. Чтобы проверить, не было ли утечки регистрационных данных какой-либо из ваших учетных записей, зайдите на сайт www.haveibeenpwned.com.

В двадцать первом веке мы способны на большее. На гораздо большее. Мы можем придумывать значительно более длинные и сложные сочетания букв и цифр. Может показаться, что здесь могут возникнуть какие-либо трудности, но я продемонстрирую вам два способа справиться с данной задачей: вручную и автоматически.

Самая простая тактика – вместо того чтобы придумывать пароли самостоятельно, автоматизируйте этот процесс. В Интернете можно найти множество менеджеров паролей. Они хранят пароли в защищенном электронном хранилище и предоставляют вам быстрый доступ к ним, когда необходимо, также, если требуется, они генерируют новые, надежные, уникальные пароли для каждого сайта.

Однако с этой тактикой связаны две проблемы. Во-первых, для доступа к менеджеру паролей нужен главный пароль (называемый мастер-паролем). Если кто-нибудь сумеет установить на ваш компьютер вредоносную программу-кейлоггер (клавиатурный шпион), которая украдет вашу базу данных с паролями и тот самый главный пароль, пиши пропало. Тогда у хакера будет доступ ко всем вашим паролям. Проверяя системы на уязвимость, мы иногда заменяем менеджер паролей на версию с подвохом, которая пересылает пароль нам (конечно, при условии, что установлен менеджер паролей с открытым исходным кодом). Это делается после того, как мы получаем административные права доступа к клиентской сети. Затем мы узнаем пароли. Другими словами, менеджер паролей служит нам черным ходом, войдя через который мы получаем ключи от королевства.

Вторая проблема достаточно очевидна: если вы утратите главный пароль, вы утратите все свои пароли (что не так страшно, на каждом отдельном сайте всегда можно восстановить пароль, о чем мы поговорим через минуту, но если у вас много разных учетных записей, это доставит массу хлопот).

Несмотря ни на что, следующие советы вполне способны помочь вам защитить свой пароль.

Во-первых, надежный пароль – это длинный пароль, не менее 20–25 символов. Лучший вариант – случайные наборы символов, например ek5iogh#skf&skd. К сожалению, человеческий мозг с трудом запоминает случайные последовательности. Поэтому пользуйтесь менеджером паролей. Это гораздо лучше, чем придумывать пароль самостоятельно. Я предпочитаю менеджеры паролей с открытым кодом, такие как Password Safe и KeePass, они хранят данные только на вашем компьютере.

Важное правило – никогда не устанавливайте один и тот же пароль на два разных аккаунта. Сложно следовать этому правилу. В наше время пароль необходимо придумывать практически для всего на свете. Поэтому обзаведитесь менеджером паролей, который будет создавать и хранить надежные, уникальные пароли.

К счастью, большинству из нас противостоит не государство, располагающее практически безграничными ресурсами и временем. Чаще всего нами интересуются супруги, родственники или кто-то, кому мы насолили, т. е. люди, которые, столкнувшись с паролем длиной в 25 символов, не смогут его взломать, поскольку не располагают необходимым временем и ресурсами.

Даже если пароль надежен, его можно обойти с помощью ряда технологий. Существуют программы угадывания паролей, например John the Ripper, бесплатная программа с открытым кодом, которую может скачать кто угодно. Пользователь настраивает фильтры и запускает программу. {12} 12 openwall.com/john/ В частности, можно указать количество символов, наличие или отсутствие специальных символов, добавить иноязычную раскладку и прочее. Утилита John the Ripper и другие программы для перебора паролей способны переставлять буквы пароля по определенным правилам, повышающим эффективность работы. Это означает всего лишь то, что программа просто проверяет каждую возможную комбинацию чисел, букв и символов, подходящую под заданные параметры, до тех пор, пока не подберет нужный пароль. К счастью, большинству из нас противостоит не государство, располагающее практически безграничными ресурсами и временем. Чаще всего нами интересуются супруги, родственники или кто-то, кому мы насолили, т. е. люди, которые, столкнувшись с паролем длиной в 25 символов, не смогут его взломать, поскольку не располагают необходимым временем и ресурсами.

Допустим, вы решили создать пароли по старинке и подобрали маскимально сложные комбинации. Угадайте, что дальше? Можно записать их. Просто не пишите что-нибудь в духе «Сбербанк: тыне1окпосмо3насвет*». Это слишком очевидно. Лучше вместо названия банка (например) напишите что-нибудь зашифрованное, скажем «банка с печеньем» (потому что некоторые люди прячут сбережения в банках из-под печенья), и далее «тыне1ок». Обратите внимание, я не закончил парольную фразу. И вам не нужно. Вы знаете, что там дальше. Но кто-то другой не знает.

Любой, обнаруживший листок с незаконченными паролями, будет изрядно сбит с толку – по крайней мере, в первый миг. Любопытный случай: я был в гостях у друга – очень известного сотрудника корпорации Microsoft, – и за ужином мы с его женой и детьми говорили о надежности паролей. В какой-то момент жена друга встала и подошла к холодильнику. Она записала все свои пароли на листе бумаге и прикрепила его к дверце с помощью магнитика. Друг только покачал головой, а я расплылся в широкой улыбке. Записывать пароли, возможно, не лучшее решение, но ничуть не лучше забыть редко используемый сложный пароль.

Некоторые сайты – например, интернет-банк – блокируют пользователей после нескольких неудачных попыток ввести пароль: как правило, речь идет о трех попытках. Однако многие сайты этого не делают. Но даже если сайт приостанавливает пользователю доступ после трех неудачных попыток, это не спасает от злоумышленников с программами вроде John the Ripper или oclHashcat. (oclHashcat задействует несколько графических процессоров и потому гораздо мощнее, чем John the Ripper). Кроме того, хакеры не проверяют каждый возможный вариант пароля на реальном сайте.