Aby chronić hasła przed hakerami, po prostu podziel je na bity

Nowy sposób przechowywania haseł w witrynach internetowych i innych usługach internetowych może zapobiec naruszeniom, takim jak ten, w wyniku którego hasła zostały opublikowane online na początku tego roku 6,5 miliona użytkowników LinkedIn.

Ten rodzaj zrzutu danych ma miejsce, gdy atakujący uzyskuje dostęp do serwera przechowującego hasła użytkowników. Naukowcy z firmy RSA zajmującej się bezpieczeństwem komputerowym stworzyli system, który dzieli hasła na dwie części i przechowuje każdą połowę w różnych lokalizacjach. Dwie połówki nigdy się nie łączą, nawet gdy ktoś się loguje i ma zweryfikowane hasło. To powinno utrudnić komuś ich kradzież, ponieważ złodziej musiałby włamać się na oba te serwery, które można chronić na różne sposoby.

Przechowywanie haseł jest coraz bardziej problematyczne ze względu na rosnącą częstotliwość naruszeń, ale także dlatego, że wzrosły ich konsekwencje, mówi Ari Juels , który kieruje laboratoriami badawczymi RSA w Cambridge w stanie Massachusetts. Juels twierdzi, że utrata kontroli nad jednym kontem online może dostarczyć atakującym informacje, które pomogą włamać się do innych, a wiele osób i tak po prostu ponownie używa haseł na wielu kontach.

Chociaż LinkedIn i wiele innych firm szyfruje hasła — więc ich serwery nie zawierają dokładnego ciągu, który wpisuje użytkownik — atakujący mają szereg narzędzi, które mogą odwrócić to szyfrowanie, mówi Juels. Nawet najlepsze praktyki, z których nie korzystał LinkedIn, mogą zostać złamane.

Uważamy, że lepiej, aby hasła i inne dane uwierzytelniające nie były przechowywane w jednym miejscu, mówi Juels, co utrudnia atakującemu zdobycie wszystkiego, czego potrzebuje do odtworzenia hasła danej osoby.

Nowy schemat RSA polega na łamaniu hasła na wiele małych kawałków i przechowywaniu połowy tych kawałków – wybranych losowo – w jednym miejscu, a reszty w innym. RSA nazywa podejście rozproszoną ochroną poświadczeń. Jeśli jedna lokalizacja zostanie zaatakowana, hasła są nadal bezpieczne, mówi Juels. Magią jest zdolność systemu do sprawdzania haseł bez ich ponownego składania.

Gdy dana osoba loguje się do systemu przy użyciu rozproszonej ochrony danych uwierzytelniających, podane przez nią hasło jest dzielone na dwa zaszyfrowane ciągi danych. Każdy ciąg jest następnie wysyłany do jednego z dwóch serwerów haseł, gdzie jest łączony z połową hasła przechowywanego na tym serwerze w celu utworzenia nowego ciągu. Następnie dwa serwery porównują te dwa nowe ciągi, aby określić, czy hasło jest poprawne, czy nie. Zastosowana matematyka oznacza, że ​​niemożliwe jest określenie hasła na podstawie któregokolwiek z tych ciągów lub obu tych ciągów — hasło pozostaje więc nieznane, nawet jeśli atakujący może przechwycić ciągi.

Dwa zaangażowane serwery można skonfigurować z różnymi systemami operacyjnymi i w różnych lokalizacjach, mówi Juels, więc kradzież haseł wymaga pomyślnego przeprowadzenia dwóch oddzielnych ataków. Musiałoby to nastąpić również w krótkim czasie, ponieważ system okresowo odświeża, która losowa połowa fragmentów hasła jest przechowywana na każdym serwerze.

Oprogramowanie trafi do sprzedaży jeszcze w tym roku, mówi Juels.

Nowe podejście RSA jest wersją techniki znanej jako kryptografia progowa, która jest od dawna badana przez naukowców. Koncepcja nie jest nowa, ale byłby to pierwszy raz, kiedy zostałaby wdrożona dla ogółu społeczeństwa, mówi Dan Boneh , profesor na Uniwersytecie Stanforda, który badał takie projekty. Kryptografia progowa jest wykorzystywana za kulisami przez firmy, znane jako urzędy certyfikacji, które wydają cyfrowe certyfikaty bezpieczeństwa, które pomagają komputerom i przeglądarkom internetowym określić, którym serwerom ufać — na przykład podczas logowania do witryny bankowej.

Jednym ze sposobów zwiększenia skuteczności tego podejścia byłoby rozdzielenie haseł lub sekretów na więcej niż tylko dwa serwery, mówi Boneh. Juels mówi, że RSA planuje to umożliwić w przyszłości i wypuścić oprogramowanie, które umożliwi wykorzystanie podejścia polegającego na dzieleniu tajemnicy w celu ochrony zaszyfrowanych danych, na przykład plików przechowywanych w usłudze w chmurze.

Jednak Boneh zauważa, że ​​istnieją inne sposoby na wykradzenie tajemnic danej osoby. W przypadku zarządzania hasłami często głównym problemem jest użytkownik końcowy — jeśli komputer użytkownika jest zainfekowany złośliwym oprogramowaniem, niewiele można zrobić, aby je zabezpieczyć bez uciekania się do fizycznego tokena, mówi Boneh, odnosząc się do systemów, które wymagają od ludzi mieć przy sobie breloczek lub skorzystać z aplikacji na telefon, aby przy każdym logowaniu podawać tymczasowe hasło.

Takie podejście, znane jako uwierzytelnianie dwuskładnikowe, jest zwykle wymagane tylko w przypadku kont firmowych lub finansowych, ale Google oraz Facebook teraz oferują go dla swoich kont online ze względu na szybki handel w kompromitowaniu takich kont.

ukryć