Hasła, które są proste i bezpieczne

Badacze z firmy Microsoft wymyślili sposób na tworzenie łatwych do zapamiętania haseł bez narażania systemu na ataki hakerów.

Zamiast wymuszać stosowanie złożonych haseł, jak to robi wiele organizacji, nowy schemat zapewnia, że ​​tylko kilku użytkowników może mieć to samo hasło, co ma podobny ogólny wpływ na bezpieczeństwo. Dalsze badania firmy Microsoft pokazują również, dlaczego tylko niektóre organizacje nalegają na bardzo złożone hasła.

Coraz bardziej złożone wymagania dotyczące haseł — reguły, takie jak hasła, muszą mieć 14 znaków i zawierać co najmniej dwie wielkie litery, dwie małe litery i trzy symbole — utrudniają atakującym odgadnięcie hasła za pomocą tak zwanego ataku słownikowego, który polega na wypróbowaniu wielu możliwych hasła kolejno.

Bez takich ograniczeń ludzie wybierają hasła, które są łatwe do zapamiętania, łatwe do wpisania i łatwe do odgadnięcia. Na przykład, gdy 32 miliony haseł z portalu społecznościowego RockYou zostało przypadkowo opublikowanych w grudniu ubiegłego roku, prawie połowa okazała się trywialnymi hasłami, takimi jak kolejne cyfry, słowa słownikowe lub nazwy pospolite, według analizy przeprowadzonej w styczniu przez firmę zajmującą się bezpieczeństwem sieci Imperwa .

Wymaganie, aby hasła zawierały cyfry, symbole i różne wielkości liter, znacznie zwiększa liczbę możliwych haseł. Przy takich zasadach atak słownikowy staje się niewykonalny, ale hasła stają się też trudniejsze do zapamiętania.

Jednym ze sposobów, w jaki projektanci systemów próbują odeprzeć ataki słownikowe, jest tymczasowe wyłączenie konta, gdy nieprawidłowe hasło zostanie przesłane więcej niż kilka razy. Nazywa się to blokadą konta i nic dziwnego, że atakujący odkryli prosty sposób na pokonanie tego podejścia. Zamiast odgadywać tysiące lub miliony haseł do jednego konta, osoby atakujące po prostu odgadują najczęściej używane hasła do tysięcy, a nawet milionów różnych kont.

Nowy schemat firmy Microsoft Research całkowicie eliminuje wymagania dotyczące złożoności, jednocześnie chroniąc przed atakami słownikowymi i zgadywaniem statystycznym. Serwis po prostu zlicza, ile razy każdy użytkownik w serwisie wybierze dane hasło. Gdy więcej niż niewielka liczba użytkowników wybierze hasło, hasło zostanie zbanowane i nikt inny nie będzie mógł go wybrać. Ze schematu mogą korzystać tylko organizacje z milionami użytkowników – na przykład witryny internetowe, takie jak Microsoft Hotmail.

Podejście jest opisane w papier napisany przez badaczy Microsoft Stuart Schechter oraz Cormac Herley , który ma zostać opublikowany na konferencji Hot Topics in Security w Waszyngtonie w sierpniu. Michael Mitzenmacher na Uniwersytecie Harvarda jest również współautorem artykułu.

Autorzy piszą, że zastąpienie reguł tworzenia haseł ograniczeniami popularności może potencjalnie zwiększyć zarówno bezpieczeństwo, jak i użyteczność. Ponieważ żadne hasła nie mogą stać się zbyt powszechne, atakujący są pozbawieni popularnych haseł, których potrzebują do włamania się do znacznej frakcji kont za pomocą zgadywania online.

Herley mówi jednak, że nie ma jeszcze planów wdrożenia nowego schematu w żadnych produktach Microsoftu. Nie możemy spekulować na temat planów produktów Microsoftu, mówi. W tej chwili po prostu go udostępniamy, aby uzyskać opinie od społeczności badaczy bezpieczeństwa.

W ciągu ostatnich kilku lat naukowcy zajmujący się wyłaniającą się dziedziną bezpieczeństwa użytkowego dokładnie przyjrzeli się wielu praktykom bezpieczeństwa informacji i stwierdzili, że wielu z nich brakuje. Na przykład wiele systemów komputerowych blokuje konta, jeśli użytkownik trzy razy z rzędu błędnie wpisze swoje hasło. Ale siedem lat temu Sascha Brostoff i Angela Sasse, dwie badaczki z University College London w Wielkiej Brytanii, pokazał, że zwiększenie tej liczby z trzech do 10 radykalnie zmniejsza liczbę legalnych użytkowników, którzy są zablokowani, mając jednocześnie znikomy wpływ na ogólne bezpieczeństwo systemu.

W zeszłym tygodniu ponad 200 badaczy bezpieczeństwa komputerowego z całego świata spotkało się w Redmond w stanie Waszyngton na corocznym Sympozjum na temat użytecznej prywatności i bezpieczeństwa omówić sposoby na jednoczesne zwiększenie bezpieczeństwa i użyteczności komputerów.

Inne badanie przeprowadzone przez badaczy Microsoftu, zaprezentowane na sympozjum, wyjaśnia, dlaczego tylko niektóre organizacje mają nadmiernie skomplikowane hasła. W badaniu zbadano zasady dotyczące haseł w 75 różnych witrynach, w tym w 20 najwyżej ocenianych witrynach w Internecie oraz witrynach należących do banków, dużych uniwersytetów i agencji rządowych USA. Badacze firmy Microsoft, Dinei Florencio i Cormac Herley, nie znaleźli korelacji między wartością konta klienta, liczbą ataków, których doświadczyła witryna, a złożonością haseł, które operatorzy witryny wymuszali na swoich użytkownikach.

Według badania , witryny, w których użytkownicy mają wybór między wieloma dostawcami – na przykład witryny banków i firm inwestycyjnych – zazwyczaj mają stosunkowo proste wymagania dotyczące haseł. Witryny te chronią aktywa swoich użytkowników za pomocą technik przeciwdziałania oszustwom, a firmy nie chcą zbytnio utrudniać swoim klientom logowania.

Florencio i Herley odkryli, że strony, które miały najbardziej rygorystyczne wymagania dotyczące haseł, to te, w których użytkownicy na ogół nie mieli możliwości robienia zakupów – takie jak U.S. Social Security Administration, National Weather Service i systemy poczty internetowej dla kilku dużych uniwersytetów. W przypadku tych systemów organizacje nie mają motywacji finansowej, aby zrównoważyć użyteczność z bezpieczeństwem lub znaleźć inny sposób ochrony kont użytkowników.

Większość organizacji zatrudnia specjalistów ds. bezpieczeństwa, którzy domagają się silniejszych zasad, ale tylko niektóre mają wystarczająco silne imperatywy użyteczności, aby je odepchnąć, dodają autorzy. Kiedy głosy opowiadające się za użytecznością są nieobecne lub słabe, środki bezpieczeństwa stają się niepotrzebnie restrykcyjne.

Simson Garfinkel zasiadał w komitecie programowym Sympozjum 2010 Użytecznego Bezpieczeństwa i Prywatności.

ukryć