Мыслить как хакер, или почему наши пароли можно так легко взломать — Naked Science
12 минут
Редакция

Мыслить как хакер, или почему наши пароли можно так легко взломать

В нашей жизни существует множество угроз и рисков: внезапная война, нападение террористов или банальный несчастный случай – кирпич на голову. К этому списку сегодня можно прибавить еще один пункт – взлом пользовательских паролей со стороны хакеров.   Несмотря на то, что интернет-преступления отслеживаются и преследуются властями, нет никаких гарантий, что ваш аккаунт, как и ваша...

5940611603_2ded21d45b_b
©Wikipedia

В нашей жизни существует множество угроз и рисков: внезапная война, нападение террористов или банальный несчастный случай – кирпич на голову. К этому списку сегодня можно прибавить еще один пункт – взлом пользовательских паролей со стороны хакеров.

 

Несмотря на то, что интернет-преступления отслеживаются и преследуются властями, нет никаких гарантий, что ваш аккаунт, как и ваша личная информация в нем, в безопасности. Взлом пользовательских паролей наиболее частое преступление в сети, которое даже популярнее, чем DoS-атаки и создание бот-сетей. Так почему мы ежедневно подвергаемся риску быть взломанными и как с этим бороться?

 

Если вы спросите «есть ли в этом наша вина?», то ответ очевидный – да. Люди подсознательно выбирают пароли, которые тяжело угадать посторонним людям. Но вся беда в том, что обычный ПК может справиться с вашей «охранной системой» за секунду.

 

В марте нынешнего года редактор журнала Ars Technica Нэйт Андерсон примерил на себя роль хакера для любопытного эксперимента. В частности, он, с помощью доступного в интернете софта и крупнейшей базы хэшей паролей сайта RockYou, за пару часов взломал чуть меньше половины из загруженного на специализированном форуме списка с 16449 MD5-хэшей, получив порядка восьми тысяч пользовательских паролей в обычной текстовой форме. И это с учетом того, что Адерсон никогда раньше этим не занимался.

 

Данный эксперимент настолько впечатлил редакцию журнала Ars Technica, что через пару месяцев они решили его возобновить, лишь изменив некоторые условия. На этот раз противостоять тому же списку  MD5-хэшей должны были трое профессиональных взломщиков. Полученные результаты оказались шокирующими. Эксперт из Stricture Consulting Group Джереми Госни, пользуясь самым обычным компьютером, взломал 14734 паролей, что составляет 90% всего списка. Вслед за ним на пьедестале почета расположился Йенс Штойбе, ведущий разработчик бесплатного ПО, предназначенного для взлома паролей. Вооружившись чуть более мощной машиной с двумя видеокартами Radeon 6990, Штойбе всего за час получил доступ к 82% из списка (13486 хэшей). Третье место досталось хакеру с никнеймом radiх, который за те же 60 минут успешно расшифровал 62% паролей.

 

Скриншот демонстрирует некоторые взломанные во время эксперимента пароли. ©Ars Technica

 

Так из-за чего же взломщики так быстро получили доступ к пользовательским паролям?

 

Для начала хакеры взламывают легкие пароли, на которые уходит меньше всего времени, следом идут пароли более сложные, требующие как большего времени, так и специальных навыков. В первую очередь применяется подбор по принципу «грубой силы», предназначенный для взлома паролей от одного до шести символов, в число которых входят по 26 латинских букв нижнего и верхнего регистров, 10 цифр и 33 прочих символов, в сумме – 95. Итог: довольно-таки скромное количество комбинаций, которые обычный компьютер способен рассчитать за несколько минут.

 

Пароли на 2-3 символа длиннее значительно осложняют хакерам задачу. К такому «сфинксу», оберегающему ваш аккаунт, система найдет «разгадку» за несколько дней.  В данном случае рационально выбирать пароли, состоящие только из букв нижнего регистра, длиной до 8 символов, а также пароли из чисел длиной до 12 символов. Метод «грубой силы» с такими параметрами позволяет расшифровать значительный процент длинных паролей. Но применять этот метод к более длинным паролям бессмысленно, так как подбор комбинаций здесь может длиться годы.

 

Но длинный пароль еще не гарант безопасности. У хакеров на этот случай есть иной прием: специальный словарный список, подготовленный на основе реальных пользовательских паролей, «засветившихся» при различных утечках. Сайт RockYou любезно предоставляет такие данные хакерам. Эта база представляет собой особую ценность для хакеров, так как содержит реальные пользовательские пароли, а не просто комбинации.

 

Самые популярные пользовательские пароли из базы RockYou. ©pcmag.com

 

Беда современных пользователей соцсетей в том, что они полагают, что их аккаунты никому не нужны и в связи с этим относятся к безопасности лояльно. Например, они ставят легкие пароли, состоящие только из цифр, или же используют один пароль для всех своих сайтов. Такая оплошность юзеров позволяет хакерам с помощью метода словарного подбора взламывать около 60-70% паролей на любом интернет-ресурсе.

 

Еще один туз в рукаве взломщиков – гибридные атаки. Они используются для взлома всех оставшихся паролей, не подходящих под описание вышеперечисленных.  В основном это пароли, которые помимо 7-8  символов также содержат цифры в начале и в конце. Здесь хакеры прибегают к следующему гибридному методу, а именно к сочетанию «грубой силы» со словарным подбором. Другой вид гибридной атаки – это сочетание «грубой силы» со статистическим методом на основе цепей Маркова, что позволяет использовать уже полученные данные о характерных особенностях расшифрованных паролей для конкретного сайта, чтобы предсказать возможные пароли других пользователей. 

 

Подбор паролей таким смешанным методом времязатратный, но способный раскрыть до 100% информации с отдельно взятого сайта.

 

Именно поэтому для промышленного использования рекомендуются специализированные генераторы паролей, использующие алгоритмы, не позволяющие выявить стабильные шаблоны и предотвращающие возможность взлома «грубой силой» за разумный отрезок времени, в течение которого расшифровываемые пароли будут уже заменены другими.

 

Но в опрометчивости можно обвинить не только юзеров, но и создателей некоторых сайтов, которые относятся к безопасности собственных пользователей безответственно. В частности, многие общедоступные сайты используют для создания хэшей простые алгоритмы, обеспечивающие взамен низкую нагрузку на серверы. Хакеры расправляются с такими порталами в одночасье, а не у дел остаются не только создатели ресурсов, но и тысячи пользователей по всему миру.

 

Бороться с хакерами трудно, но возможно. Просто относитесь к своей безопасности посерьезнее. Чаще меняйте комбинации, защищающие ваши аккаунты, и ни в коем случае не используйте один пароль для всех ваших страниц. Используйте пароли не менее 11-12 символов, включающих в себя буквенные символы в разных регистрах, цифры и прочие символы. Конечно, для человека эта задача трудновыполнимая, но в таком случае можно прибегнуть к услугам автоматического генератора паролей. Будьте бдительны.

 

Аркадий Елисеев

 

 

Далее: Художественная литература развивает чувство сопереживания 

 

Нашли опечатку? Выделите фрагмент и нажмите Ctrl + Enter.
10 часов назад
5 минут
Денис Гордеев

Объект K2-25b практически полностью состоит из ядра, а его газовая оболочка очень тонкая. Как так получилось — загадка для ученых.

8 часов назад
5 минут
Мария Кривоченко

Исследование ученых из США показало, что повышение температуры и накопление парниковых газов повлияли на деревья: они стали быстрее расти и поглощать больше углекислого газа. Специалисты считают, что количество лесов в ближайшие десятилетия будет увеличиваться, но экстремальная экологическая обстановка может нарушить этот процесс.

Вчера, 21:19
5 минут
Мария Кривоченко

Попав в пасть лягушки, жуки обычно погибают. Хотя земноводные не могут перемолоть их зубами, как это делают млекопитающие, желудочный сок разъедает большинство насекомых. Однако водолюбы смогли выжить и выбраться наружу через кишечник без повреждений.

Позавчера, 09:31
5 минут
Сергей Васильев

Микроскоп с высокоскоростной камерой и компьютерное моделирование показали, что сперматозоиды плавают не за счет боковых движений хвоста, а быстро вращаясь всем телом.

2 августа
2 минуты
Илья Ведмеденко

Сегодня, в 20:00 (мск), должен состояться 150-метровый «прыжок» демонстратора технологий космического корабля Starship. Трансляцию вы сможете посмотреть на нашем сайте.

2 августа
35 минут
Александр Березин

На планете разворачивается новая лунная гонка. Российская космическая отрасль пытается обозначить участие в ней, патентуя многопусковой полет к спутнику Земли. Очевидно, что это лишь суррогат сверхтяжелых ракет, которых мы пока не строим. США, напротив, активно разрабатывают сразу два сверхтяжа – но и там не все гладко. Их лунная программа может испытать сильнейший удар в ближайший год. Скептики считают, что усилия всех участников гонки бесполезны. Мол, пилотируемые полеты к другим небесным телам не нужны, ибо дороги. Автоматы смогут все сделать намного дешевле. На деле лунная программа, как мы покажем ниже, не дороже полетов к МКС. Да и автоматы не дадут нам ничего подобного результатам пилотируемой лунной экспедиции. Попробуем разобраться почему.

6 июля
5 минут
Мария Азарова

Ученые, работающие с крупнейшим в мире радиотелескопом, сообщили об обнаружении эмиссии нейтрального водорода, исходящей от объектов за пределами нашей Галактики.

22 июля
66 минут
Александр Березин

С 2064 года численность людей начнет сокращаться — и этот процесс может быть необратим. Один из авторов соответствующей научной работы прямо указывает: если ничего не изменится, через несколько веков человечество вымрет. Однако есть вещи и похуже вымирания. Куда вероятнее иной сценарий: мир будет заселен теми, кто сможет размножаться в новых культурных условиях. К сожалению, значительная часть современных европейцев, американцев и, возможно, других народов будут вытеснены с первых страниц истории. Вдобавок те, кто победят в этой непростой борьбе, нам, сегодняшнему населению Земли, могут сильно не понравиться. Попробуем разобраться почему.

10 июля
7 минут
Мария Кривоченко

Биологи выяснили, какое воздействие оказывают радиоволны на эмбрионы рыб. Оказалось, они существенно не влияют на уровень смертности, морфологию и реакцию на свет, но немного подавляют сенсомоторные функции. Как это скажется на взрослых особях, еще предстоит выяснить.

[miniorange_social_login]

Комментарии

Написать комментарий

Подтвердить?
Лучшие материалы
Предстоящие мероприятия
Войти
Регистрируясь, вы соглашаетесь с правилами использования сайта и даете согласие на обработку персональных данных.

Сообщить об опечатке

Текст, который будет отправлен нашим редакторам: