Выбор паролей

Пароль – это секретное слово, известное только конкретному пользователю. При правильном использовании пароль удостоверяет личность пользователя, входящего в компьютерную сеть[7].

Пользователь выбирает кодовую комбинацию из нескольких литер, записывает ее в память ЭВМ и затем, чтобы получить доступ к вычислительной системе, он должен будет ввести пароль с клавиатуры. Многие системы при этом выключают “печатающую головку”, так что вводимый пароль не отображается на экране дисплея[8].

Объектом аутентификации может быть некоторый объем знаний человека. При выборе пароля естественно возникает вопрос, каким должен быть его размер и стойкость к несанкционированному подбору?

Чем больше длина пароля, тем большую безопасность будет обеспечивать система, так как потребуются большие усилия для его подбора. Это обстоятельство можно представить в терминах ожидаемого времени раскрытия пароля или ожидаемого безопасного времени. Ожидаемое безопасное время (Тб)- полупроизведение числа возможных паролей и времени, требуемого для того, чтобы попробовать каждый пароль из последовательности запросов. Представим эти формулы:

(6.1)

Где t – время, требуемое на попытку введения пароля, равное E/R;

R – скорость передачи (символы в минуту) в линии связи;

Е – число символов в передаваемом сообщении при попытке получить доступ (включая пароль и служебные символы);

S – длина пароля;

А – число символов в алфавите, из которых составляется пароль.

Если после каждой неудачной попытки подбора автоматически предусматривается некоторая задержка (например, 10 секунд), то безопасное время резко увеличивается. Если в дополнение к R,E,M и А примем, что пароль может быть раскрыт посторонним лицом с вероятностью Р , то получим формулу Андерсона:

(6.2)

Если R,E,M и A фиксированы, то каждое значение S будет давать различную вероятность Р правильного его отгадывания. Если мы хотим построить систему, где незаконный пользователь имел бы вероятность отгадывания пароля не большую, чем Р , то следует выбрать такое S, которое бы удовлетворяло выражению (6.2).

Нетрудно заметить, что в выражениях (6.1) и (6.2) величина S является показателем степени и, следовательно, оказывает большое влияние на безопасное время и вероятность раскрытие пароля[2].

Проведем расчет длины пароля для различных категорий пользователей сети нашего подразделения. Допустим, что будет применяться стандартный английский алфавит, т.е. А=26; период времени подбора пароля М=3 месяца; скорость передачи R=600 символов в минуту; число символов в передаваемом сообщении Е=20.

Таблица 6.1

Выбор длины паролей

№	Категория пользователей	Вероятность угадывания Р	Длина пароля S
1	Администратор	0.0001	8
2	Продвинутый пользователь	0.001	7
3	Сотрудник	0.05	6

Выбор длины пароля в значительной степени определяется развитием технических средств, их элементной базы и быстродействия. В настоящее время широко применяются пароли, где S>10. В связи с этим возникают вопросы: как и где хранить пароль и как связать его с аутентификации пользователя? Ведь хорошо известно, что, несмотря на самые строгие предупреждения о недопустимости хранения пароля на листке бумаги на рабочем месте, многие сотрудники именно так и поступают, причем, при увеличении его длины, их непрерывно возрастает. Это объясняется естественной боязнью человека забыть пароль в самый неподходящий момент.

На помощь приходит комбинированная система, в которой код пароля состоит из двух частей. Первая часть состоит из 3-4х знаков, которые легко могут быть запомнены человеком. Вторая часть содержит количество знаков, определяемое требованиями к защите и возможностями технической реализации системы, она помещается на физический носитель и определяет ключ-пароль, расчет длины которого ведется по указанной выше методике[2].

Худшими паролями являются очевидные слова, инициалы, географические названия и имена людей, телефонные номера, даты рождения или полные слова какого-либо языка: в языке ограниченное число слов и компьютер сможет их достаточно быстро перебрать[9]. В Приложении 1 приведен список стандартных паролей адаптированных к условиям России, применение которых крайне нежелательно.

Приведем несколько правил формирования “правильных” паролей:

пароль должен быть неожиданным, лучше – случайным,

при малейшей опасности желательно сменить все пароли,

не желательно использование одного и того же пароля в разных системах[5].

Содержание раздела