Страницы

Показаны сообщения с ярлыком пароли. Показать все сообщения
Показаны сообщения с ярлыком пароли. Показать все сообщения

Про пароли и ASIC'и


Мощность сети биткоин достигла огромных величин, и рост не останавливается.
Всё это благодаря узкоспециализированным чипам (ASIC), созданным специально для того, чтобы считать sha256 хэши, меньшие текущей сложности сети.
Схема спроектирована таким образом, что возвращает только определённые хэши sha256 (если бы возвращала все - то потребовалась бы очень быстрая шина). Поэтому использовать сеть биткоин для подбора хэшей не выйдет.

Но мне стало интересно, на что сегодня способно человечество, если ему нужно будет подобрать чей то пароль. 

Допустим вся текущая мощность сети (847,998,392 GH/s, ~10^15 хэшей в секунду) будет направлена на подбор пароля по его SHA256 хэшу.

В табличке время подбора хэша с 50% шансом на успех указано в секундах. 


Пароль, состоящий из случайных символов, букв, заглавных букв и спецсимволов будет взломан с вероятностью 50% за полтора дня.
Всё, что меньше, будет взломано за минуты и секунды.

В реальной жизни пользователи используют гораздо более предсказуемые пароли и задача взломщика сильно упрощается. Однако для построения модели угроз уже можно иметь ввиду, что 65 бит сложности пароля - это примерно день работы суперсети (для SHA256).

Кстати хэширование считается квантовоиммунным (то есть стойкость алгоритмов хэширования не уменьшится при появлении квантовых компьютеров, в отличие от многих других криптоалгоритмов), поэтому очевидно, что роль хэша в современных и перспективных криптосистемах будет только возрастать.

Интересная презентация про пароли с DEF CON

Набрел на интересную презентацию с DEFCON  (альтернативный линк) про подбор паролей к bitcoin кошелькам.
Собственно, сам bitcoin кошелек есть немного причёсанный хэш SHA256, которые многие используют сегодня для хранения паролей в базах данных и вебприложениях, поэтому тема актуальна и за пределами криптовалют.

Анализ утёкших паролей Яндекс и Мэил.ру

В начале сентября произошла массовая публичная утечка паролей почтовых сервисов Yandex, Mail.ru и Google. Большая часть специалистов считает, что сервера Яндекса и Мэил.ру никто не ломал, а пароли утекли от самих пользователей через кейлоггеры, фишинговые сайты и кросс-чек (использование одинаковых паролей на разных сайтах). В пользу альтернативной точки зрения - сервисы Яндекса таки поучаствовали в раздаче - говорят некоторые комментарии с Хабра и мнение руководителя Роскомнадзора, хотя он вряд ли в теме. 
Александр Жаров, вообще говоря, в этой истории отличился, подарив индульгенцию всем дырявым Интернет-сервисам и компаниям.
Но вернёмся к нашим паролям.

Как не надо писать парольную политику


Хотите сделать из человека маньяка-садиста с диктаторскими наклонностями - дайте ему написать корпоративную парольную политику...
Я уже много раз писал про пароли, но настал момент немного систематизировать материал.

Вредные советы про пароли


В любой компании и у любого специалиста по ИБ есть свой набор правил в отношении паролей. Пароль должен быть уникальным, длинной не менее 6/8 символов, включать строчные и заглавные буквы/цифры/спецсимволы и меняться каждые 30/60/90 дней.

Редко где эти правила соблюдаются, однако приказ есть приказ, и служба ИБ начинает активно "пилить" нерадивых пользователей...

Дам ка и я пару советов...

Как безопасно использовать один пароль на всех сайтах


Современный пользователь имеет примерно 25 различных сетевых аккаунтов, но использует всего 6 различных паролей. Т.о. на один уникальный пороль приходится, в среднем, 5 повторяющихся. Кроме того в сеть ежегодно утекает около 100 000 000 подобранных паролей.

[Перевод] Киберубийство


3 августа человек по имени Mat Honan в течении часа потерял всю информацию со своего макбука, айфона и айпада. Кроме того его аккаунты gmail и twitter были удалены (и полностью очищены) и была скомпрометирована часть служебной информации (твиттер электронного издания Gizmodo, где Мэт работал).
О том как это произошло Мэт написал в статье на Wired, которую я и хотел бы тут перевести, т.к. считаю это событие знаковым.

Будущее парольной защиты

На конференции PHDays был очень интересный доклад Александра Solar Designer Песляка (автор John the ripper) про будущее парольной защиты.

Такой забавный Unicode

А знаете ли вы, что человек использует всего 5% своего мозга и своей клавиатуры?
Повсеместный переход на Юникод открыл практически безграничные возможности по расширению своего "символьного запаса", что позволяет делать очень интересные штуки ☺!
---✁----------------------------------------------------------------------------------------------

Про пароли, BitLocker и криогенный криптоанализ..

Как сказал Александр Песляк на PHDays: нет смысла  устанавливать жесткую парольную политику в Windows, т.к. даже самый сложный пароль может быт подобран в этой ОС в разумные сроки.

В целом, сложность пароля напрямую влияет на время его подбора, однако как показывает ситуация с утечкой паролей LinkedIn, даже 40 символьный пароль может быть подобран в течении всего нескольких часов! 

Мои круги (про пароли)

В среднем, активному сетевому жителю нужно запомнить, минимум, дюжину паролей: почта, твиттер, блог, форумы, соц.сети, торрент-трекеры, онлаин банк, платёжная система и т.д. и т.п., и еще на работе: рабочая почта, рабочий сайт, 1С, CRM, ERP.... %)
Каждый из этих паролей (зачастую ограничение стоит жёстко) должен быть не менее 8ми символов, содержать цифры, буквы в разном регистре и спец.символы + периодически неузнаваемо меняться. Эти требования вполне выполнимы, если вы закончили среднюю школу и учили даты на уроках истории, но только для ограниченного количества паролей, которыми вы постоянно пользуетесь (на вскидку, кто помнит точную дату отмены крепостного права? А ведь когда то писали "летучки" по этим датам....).
Стоит только уйти в отпуск на месяц и провести его вдали от компьютера, как все ваши супер сложные пароли со спец.символами, вводимыми на цифровой клавиатуре с зажатой клавишей Alt, исчезают в темных глубинах вашей памяти (проверено лично =). 

Так что же делать? Какой есть выход из подобной ситуации?