какой пароль можно подобрать
Каким должен быть хороший пароль
Постоянно менять пароли — прошлый век. Лучше использовать надежные, уникальные и запоминающиеся комбинации. Рассказываем, как их создавать.
Одна из распространенных традиций в информационной безопасности — это регулярная смена паролей. Например, многие компании заставляют сотрудников менять пароль для входа в свои рабочие аккаунты каждые три месяца. Предполагается, что это помогает уберечься от взлома. Рассказываем, почему это не совсем верно.
От регулярной смены паролей мало пользы
К паролям есть два требования, которые могут показаться не очень-то совместимыми. С одной стороны, чтобы надежно защитить учетную запись, нужно придумать пароль, который будет трудно подобрать. С другой стороны, этот пароль должно быть легко запомнить, иначе им невозможно будет пользоваться. Регулярная смена паролей действительно отчасти помогает с первым требованием, но второе делает трудновыполнимым.
Нам трудно постоянно заучивать длинные и сложные комбинации символов — мы же люди, а не роботы. Человек пытается «обмануть систему», так уж он устроен. Когда нас заставляют сменить пароль, мы не придумываем новый — мы просто немного меняем старый.
Для примера возьмем пароль batman2018. Если нужно будет его сменить, многие, скорее всего, просто сделают так: batman2019. Система воспримет этот пароль как новый, но по сути он остался тем же самым. И если старый пароль каким-то образом попадет в руки злоумышленникам, им несложно будет угадать новый.
A post shared by Лаборатория Касперского (@kasperskylabrus) on May 16, 2019 at 5:36am PDT
На самом деле постоянно менять пароли не так уж эффективно. Гораздо лучше использовать надежные и, что особенно важно, уникальные комбинации символов. Об этом мы сейчас и поговорим.
Почему пароль обязательно должен быть уникальным
Казалось бы, имеет смысл придумать один максимально надежный пароль и использовать его для всех аккаунтов. Тогда все они будут хорошо защищены, а уж один набор символов, пусть и сложный, запомнить можно — беспроигрышная ситуация!
Так было бы в идеальном мире, но наш мир, увы, не идеален. Утечки данных случаются регулярно, и пароли попадают в руки злоумышленников — как пользователь вы ничего не можете с этим поделать. Если вы везде используете один и тот же пароль, всего одна утечка — и все ваши аккаунты будут под угрозой. Иными словами, вы не убиваете одним выстрелом двух зайцев, а, скорее, кладете все яйца в одну корзину.
Надежный пароль — это какой?
Каким должен быть пароль, чтобы его можно было назвать «надежным»? Развернутый ответ будет длинным и сложным (математические расчеты и все такое), но принципиально важны две простых вещи. Во-первых, в нем нужно использовать как можно более разнообразные символы (так ваш пароль будет менее предсказуемым, а значит, более надежным). Во-вторых, пароль должен быть длинным — и чем длиннее, тем лучше.
К счастью, эти свойства компенсируют друг друга: если вам трудно запомнить все эти #, %, & и прочие закорючки, вы можете просто сделать комбинацию на несколько символов длиннее.
Надежные и уникальные пароли, которые легко запомнить
На самом деле запоминать сложные и уникальные пароли проще, чем кажется на первый взгляд. Нужно просто знать правильный подход. Сложный на вид (и для запоминания) и сложный для взлома — это совсем не одно и то же.
К примеру, легко запоминаемый пароль 12345-vyshel-zaychik-naprimer и страшная комбинация символов ?Y]G9gWJ48zYkFBc@
Дэвид Якоби (David Jacoby), аналитик нашего Глобального центра исследования и анализа угроз (GReAT), простым и понятным языком объясняет, как правильно обращаться с паролями. В своей статье он рассказывает, как придумать свою собственную «систему запоминания паролей», с которой вы больше их не забудете.
И напоследок еще пара советов, которые помогут вам усилить защиту аккаунтов. Во-первых, включите двухфакторную аутентификацию для всех своих учетных записей. Во-вторых, попробуйте использовать менеджер паролей в качестве «Плана Б».
Как придумать надежный пароль и от чего он может защитить
Тест об интернет-безопасности для подростков
Лена Климова журналист
Дня не проходит без информации о чьем-то взломанном аккаунте в соцсетях, украденных данных банковской карты, утечке личной информации. Среди подростков, как и среди взрослых, есть невероятно продвинутые с точки зрения интернет-безопасности, но есть и те, кто о правилах поведения в цифровом пространстве вообще не задумывается. Если вы подозреваете, что ваш сын или дочь — именно такие, предложите им пройти тест.
В интернете, как и повсюду, хватает опасностей: троллей, мошенников и преступников, которых интересуют твои деньги, пароли, репутация. Хорошо ли ты подготовлен к тому, чтобы свободно бороздить просторы интернета и огибать рифы, подводные камни и опасные течения? Проверим. Вот небольшой тест: попробуй его пройти. А потом обсудим ответы.
1. Какие пароли из этих можно назвать надежными?
А. gfhjkm
Б. qwerty
В. 12345
Г. LenaIvanova12052004
Д. 19ndk28g
Е. 15DncrD58ncrCrjPj,
Ж. kor0bo4ka
З. password
И. parallelepiped
2. Можно ли использовать один и тот же пароль и для почты, и для всех соцсетей?
А. Конечно, да.
Б. Можно, только если это длинный и надежный пароль.
В. Ни в коем случае.
3. После регистрации соцсеть предлагает тебе подключить двухфакторную аутентификацию. Что это? Этап 1: ты вводишь логин и пароль. Этап 2: если пароль верный — тебе придет СМС с кодом, который нужно ввести для доступа к странице. Как поступишь?
А. Конечно, подключу.
Б. Зачем столько возни? Времени жалко. Хватит и пароля.
В. Я в таком не нуждаюсь. Мой пароль достаточно хорош.
Г. Я слышала, есть и более надежные способы. USB-токен, приложение-аутентификатор.
4. Для регистрации на сайте www.example.com требуется придумать логин и пароль. Ты видишь, что в адресной строке написано: https://www.example.com. Как поступишь?
А. Немедленно уйду с этого сайта. Странно выглядит — https. Почему не http?
Б. Все в порядке, буду регистрироваться.
5. Ты бесплатно скачала с файлообменника книгу «Самые крутые женщины в мировой истории» в двух частях. В папке «Загрузки» появились два файла: Zhentschiny_1.docx и Zhentschiny_2.exe. Как поступишь?
А. Первый файл похож на вирус, а второй можно открывать.
Б. Второй файл подозрительный, а первый безопасен.
В. А что не так? Открою оба.
Г. Все это ужасно подозрительно. Я лучше куплю книгу в интернет-магазине.
Разбираем правильные ответы. Как создать надежный пароль?
1. Верно — Е.
Признаки ненадежного пароля:
Признаки надежного пароля:
Как видишь, из всех вариантов нам подходит только пароль 15DncrD58ncrCrjPj,.
Разве можно запомнить такой сложный пароль?
Да. Причем это не потребует особых усилий. Я поделюсь способами, которыми пользуюсь сама.
Способ 1. Тебе понадобится стихотворение. Не выбирай банальное. Возьми редкое стихотворение, которое мало кто знает, еще лучше — придумай собственное. Я покажу, как действовать, на примере всем известных строк:
В траве сидел кузнечик,
В траве сидел кузнечик,
Совсем как огуречик,
Зелененький он был.
Переключим раскладку клавиатуры на латиницу и снова запишем эти четыре строки (без знаков препинания), сохраняя прописные и строчные буквы. Теперь возьмем у каждого слова только первый символ: у нас получится DncrDncrCrjPj,.
Осталось добавить цифры. Откуда их взять? Из того же стихотворения. Запишем количество букв в каждом слове первой строки:
В (1) траве (5) сидел (5) кузнечик (8) — 1558.
Добавим цифры в любое место. Вот итоговый пароль:
Способ 2. Придумай три важных для тебя слова. Только не вроде «вера, надежда, любовь»: слова не должны быть связаны между собой. Запиши их латиницей без пробелов, первое — с прописной буквы. Вот мой вариант:
Теперь вставь добавку из пяти символов. Состав добавки: две прописные буквы, две цифры, один специальный символ. Добавку придется выучить. Но это гораздо проще, чем запоминать целых 15 знаков. Вот мой вариант: ZZ88!
А вот итоговый пароль: SvobodaZZ88!kotikipeterburg.
Мы создали два надежных пароля. Ты без труда восстановишь их: первый — по стихотворению, второй — по важным словам и добавке. Можно составить пароль иначе. Если хочешь, придумай свой способ.
Ради чего столько возни? Кого интересуют мои учетные записи?
Вот несколько вариантов, что можно сделать после взлома твоей почты:
Надеюсь, ты понимаешь, насколько это серьезно.
Мало иметь отличный пароль. В нем нет смысла, если ты:
Качественный пароль не защитит тебя, если ты беспечна. Причина большинства так называемых взломов — человеческий фактор. Не угадывание простого пароля 12345, а «я дала смартфон знакомому, а он прочитал мою переписку, перекинул себе мои фотографии и выложил их в интернет».
Остальные правильные ответы
2. Верно — В. Один аккаунт — один пароль.
Как запомнить десятки сложных паролей? Это не понадобится. Тебе поможет менеджер паролей — программа, которая хранит все пароли. Для доступа к ним надо помнить один-единственный мастер-пароль. Если не знаешь, какой менеджер выбрать, установи KeePass или LastPass.
3. Верно — А, Г.
Человек, который узнал пароль, не получит доступа к твоей учетной записи, если ты подключила двухфакторную аутентификацию. Кстати, СМС с кодом — это хорошо, но USB-токен и приложение-аутентификатор — надежнее. Техническая возможность перехватить чужую СМС есть.
4. Верно — Б.
Если перед адресом сайта ты видишь http:// — на таком сайте можно находиться, но нельзя вводить логины и пароли. Если ты видишь https:// — все куда лучше: https с большей вероятностью защитит твои данные от перехвата.
5. Верно — Б, Г.
Б. Расширение docx принадлежит файлу, который открывается в текстовом редакторе. Расширение exe означает, что это исполняемый файл. Когда ты его откроешь, запустится программа. Какая? Вряд ли полезная.
Не хочешь платить, опасаясь, что книга тебе не понравится? Обычно магазины разрешают прочитать ознакомительный фрагмент: от 10 до 25 % текста. Этого достаточно, чтобы понять, нравится тебе книга или нет.
Самые сложные пароли
Практически каждый сайт требует регистрации пользователя. А значит, придется придумывать пароль. Использовать одинаковую комбинацию, даже самую сложную, на всех сайтах подряд не очень умно. Многие из небольших порталов хранят комбинации пользователей в незашифрованном виде, и они часто утекают в сеть. Пароли это очень непростое дело, давайте разберемся, как придумать и запомнить самый сложный и надежный пароль.
Рейтинг самых популярных комбинаций
В интернете давно существует рейтинги самых часто используемых комбинаций. По статистике, средняя его длина составляет от 6 до 8 символов.
На первом месте рейтинга — цифровые последовательности и первый ряд букв клавиатуры:
Рейтинг самых популярных комбинаций
Сочетания длиной менее 4 символов или цифр Взломать такие последовательности не составит труда. Самым простым способом получить доступ к аккаунту, является взлом методом грубого перебора (брутфорс).
Как взламывают пароли
Для брутфорса существуют программы, в которые загружается список популярных слов и комбинаций (словарь). Такой список можно найти в открытом доступе. Программа подставляет комбинации по очереди, в автоматическом режиме, пока не найдет рабочую последовательность.
Сколько займет подборка комбинации
Подборка пароля из 4 символов не представляет никаких сложностей для злоумышленника. В 2012 году, на конференции по кибербезопасности в Норвегии, была продемонстрирована система, способная подбирать 348 миллиардов хэшей в секунду!
Хэшем называют преобразование информации с помощью определенного алгоритма, что позволяет кодировать, хранить, а затем восстанавливать эту информацию.
Если для хранения кодового слова используются более сложные алгоритмы хэширования, например, комбинации md5, то последовательность из 6 символов (буквы разного регистра + цифры) можно подобрать за 95 минут (скорость около 10 миллионов последовательностей в минуту). А вот для того, чтобы подобрать пароль из 10 символов, потребуется уже более двух с половиной тысяч лет.
Такие значения достигаются в идеальных условиях: без ограничения по количеству попыток, и с максимальной скоростью обмена данными. В реальной ситуации взлом займет гораздо больше времени
Пароли длиной более 10 случайных символов редко взламывают, ведь для этого хакерам потребуется много времени и мощностей, а зачем прилагать такие усилия, если более 10% всех последовательностей – это вариации цифр 12345 и букв qwerty.
Какие пароли ненадежные
Код, состоящий из букв в одном регистре, взломать крайне легко. Особенно, если это повсеместно используемые слова, названия книг, имена героев или событий.
Усложнения таких комбинаций с помощью дополнительных слов так же будет недостаточно: «Этомойпароль» или «этомойкрутойпароль» будут подобраны за одинаковое время.
Как происходит утечка комбинаций в сеть
В первую очередь взламываются малопопулярные сайты, без серьезной защиты. Хакеры выкладывают взломанные аккаунты в свободный доступ, чтобы внести все комбинации login+password в словари, используя их в соцсетях, платежных системах или почтовых сервисах.
Требования при регистрации
Времена, когда пользователю разрешалось придумать любой пароль при регистрации, прошли. Теперь от него требуют, чтобы код содержал, как минимум, одну заглавную букву, одну цифру и один спец символ. Многих это раздражает, но благодаря такому подходу удается сохранить аккаунты пользователей.
Правила создания паролей
Как придумать стойкий пароль
Очень сложным и самым лучшим считается пароль от 10-12 символов длиной, с использованием заглавных, прописных букв, цифр и спецсимволов:
Совет
Не стоит использовать пароль, совпадающий с логином. Чтобы украсть аккаунт, такую связку даже не придется взламывать.
Придумать самый лучший и сложный пароль можно несколькими способами:
Совет
При генерации паролей следует отказаться от использования осмысленных фраз или слов. Небезопасным будет также замена раскладки – в иностранном сегменте интернета такое может сработать, но большинство взломщиков в рунете работают со обеими раскладками.
Как запомнить придуманную последовательность
Password-менеджеры
Из самых известных мультиплатформенных password-менеджеров следует отметить:
Пароли будут надежно шифроваться, при этом большинство приложений интегрировано с браузерами. Каждый раз, как пользователь будет заходить на почтовый ящик или в аккаунт соцсети, такие приложения автоматически заполнят логин и сохраненный пароль. Причем комбинации синхронизируются и будут доступны с любых устройств пользователя.
Password-менеджер Lastpass
Как работать с менеджером пароль в браузерах
Если автозаполнение в настройках браузера включено (доступ к этой функции можно получить, зайдя в настройки браузера и открыв меню «passwords» или «автозаполнение»), то каждый раз, как пользователь попадает на сайт, где от него требуется пройти автаризацию, браузер предложит ему сгенерировать случайные символы и сохранить их в менеджере.
Придумать надежный пароль и запомнить его | Интернет без бед
Как сгенерировать уникальный пароль и запомнить его без программ?
Тебе нужен пароль? Тебе нужен длинный пароль? Тебе нужен длинный пароль с цифрами, заглавной буквой и спецсимволом? Ты его получишь и запомнишь, обещаю! Я расскажу тебе один проверенный прием.
Не важно, где ты регистрируешься, на любом сайте ты оставляешь личную информацию о себе, защищенную паролем. Чем раньше ты придумаешь себе сложный и уникальный пароль, тем быстрее приучишь себя к порядку и сделаешь все возможное, чтобы твои учетные записи не были взломаны.
Да, сейчас наиболее важные сервисы используют двухфакторную авторизацию. Даже узнав твой пароль, мошенник не войдет в учетку, так как вход надо подтвердить кодом, который пришел к по смс на твой телефон.
Чем популярнее сайт, тем сложнее у него требования к паролю. Уже недостаточно иметь просто длинный пароль, наверняка уже не раз встречался с назойливыми и, порой, неадекватными требованиями.
Формула
Всё дело в Формуле. Она состоит из 4 частей.
Сначала тебе потребуется простое слово. Желательно, чтобы это слово легко переводилось на английский и содержало не меньше 5 символов. Для примера возьмем слово пианино. И пишем так, будто оно расположено в начале приложения, с большой буквы: Pianino.
Затем понадобится комбинация из цифр, 2-3 достаточно. Желательно не иметь повторений символов и подряд идущих цифр. Некоторым сайтам это может не понравиться. Возьми число твоего рождения или счастливое число, чтобы легче запоминать.
3 части пароля готовы. И теперь вишенка на торте. Выбирай любой спецсимвол, который тебе нравится, пусть будет знак вопроса “?”.
Финальный аккорд. Записываем пароль по формуле, которую ты сам себе сейчас сочинишь, расположив эти части как тебе угодно.
Формулу компонуем по принципу:
Вот лишь некоторые примеры, что может получиться:
Главное запомнить формулу, по которой ты будешь его генерировать. Экспериментируй с вариантами и дальше, перемещай заглавную букву, дублируй части и так далее.
Резюме
Конечно это не панацея. Не стоит рассчитывать, что такой пароль спасет от взлома, так как нет гарантии, что пароль не будет скомпрометирован самим сервисом, где ты его вбивал. Однако, гарантирую, что он удовлетворяет подавляющему большинству сайтов с самыми жесткими требованиями к паролям и то, что такого пароля нет ни в каких базах паролей. А самое главное, что если такой пароль похитят, то он не сможет быть применен в другом месте, так как он уникален за счет частички адреса.
Интернет без бед на весьма неплохом канале
Данная статья в видео формате.
Уважаемый, хочу представить твоему вниманию проект «Интернет без бед».
Советы и приемы, которыми может воспользоваться каждый пользователь домашнего компьютера, чтобы обезопасить себя в интернете, а не только профессионал в этой области.
Контент только начинаю генерить. Буду откровенно рад любым замечаниям или вопросам, которые не дают спать спокойно, от продвинутой аудитории на Хабре. Спасибо.
Телеграм-канал о безопасности в сети: https://t.me/internetnotbad
PS> UPD. 20.11.2020
Спасибо сообществу за активную жизнь в комментариях. Это очень полезно и все вы по-своему правы.
Как я и говорил, цель статьи: предложить легкую для запоминания в уме формулу создания пароля с всеми требуемыми самой жесткой парольной политикой составляющими. Помочь тем людям, которые не хотят связываться с доп. ПО, но им приходится выдумывать пароли с усложнениями из-за этих требований, после чего они их благополучно забывают.
Вопрос надежности тут стоит довольно просто: любой такой пароль будет сложнее подобрать, чем просто набор строчных букв. Проверил на сайте https://www.security.org/how-secure-is-my-password/
Проверка пароля по формуле
Для аналитики могу предложить почитать статью:
Искусство подбирать чужие пароли
Небольшое, но важное предупреждение: если предлагаемым в статье подходом пользоваться не в рамках проектов по тестированию защищенности, то ваши действия легко могут подпасть под статью 272 УК РФ (Неправомерный доступ к компьютерной информации).
Чтобы придумать эффективную стратегию подбора паролей, этичному хакеру надо постараться залезть в головы пользователей и администраторов.
Какие же факторы влияют на наш выбор паролей?
Можно назвать, как минимум, следующие три:
Что пользователи легко могут запомнить?
Рассмотрим те вещи, которые нам легче всего запомнить:
1) То, что перед глазами.
Перед нашим взором чаще всего предстают торговые марки мониторов, ноутбуков, компьютерных мышей и клавиатур, надписи «password:». Говорят, что выбор руководителем предвыборной кампании Хилари Клинтон такого тривиального пароля, как «password», гибельно отразился на результатах американских выборов.
Для человека важны:
3) То, что помнят пальцы:
4) Что за система/сайт:
В 2014-м году произошла большая утечка паролей Gmail, Yandex и Mail.ru. Списки паролей были проанализированы varagian в статье «Анализ утёкших паролей Gmail, Yandex и Mail.Ru» и можно увидеть, что пользователи выбирают пароли именно по рассмотренной схеме.
Как ограничения парольной защиты влияют на выбор паролей пользователями?
Чтобы обезопасить пользователей во многих системах разработчиками предусмотрен механизм парольной политики, который, к сожалению (для этичных хакеров – к счастью), не всегда используется. Рассмотрим ограничения и то, как они выполняются/обходятся креативными пользователями.
Типовые ограничения парольной политики:
Придумать пароль длиной более 8 символов не представляет сложности, а вот использовать символы в различных регистрах – уже сложно, так как нужно помнить, для какого символа в своем пароле был выбран верхний регистр. Самое очевидное и вероятное решение: выбрать первый или последний символ.
Если система заставляет добавить цифры, то здесь пользователи чуть более изобретательные:
Ничто так не раздражает как запрет на использование старого пароля, и пользователи научились обходить это ограничение, внося минимальные изменения, например, увеличивая цифру в конце своего пароля на 1: было «Alexander2018», стало «Alexander2019».
Понимая эти маленькие хитрости пользователей, этичному хакеру довольно просто сузить список слов-кандидатов на пароль.
Количество пользователей пароля
В случае если пароль будет использоваться многими пользователями, например, системными администраторами или слушателями в учебном классе, то его, как правило, специально делают не очень сложным (например, совпадающим с именем учетной записи), а зачастую оставляют таким, каким он был установлен вендором по умолчанию.
Стратегия подбора пароля
Разобравшись с нюансами выбора пароля пользователями, мы можем разработать и стратегию подбора пароля в ходе тестирования на проникновение.
Зафиксируем исходные условия:
Шаг 1. Определение имен учетных записей пользователей
Для успешной авторизации одного пароля, как правило, недостаточно, нужно еще знать и имя учетной записи. Разберемся, как ее получить.
Вариант 1. Получение списка учетных записей, используя уязвимость в системе.
Например, контроллер домена Windows может быть сконфигурирован таким образом, что позволяет анонимному пользователю получать список учетных записей пользователей.
Любой может проверить свой контроллер домена на эту возможность, например, воспользовавшись утилитой командной строки rpcclient из состава «Сканер-ВС»:
Вариант 2. Формирование списка на основе «разведданных» и анализа.
Имена пользователей даже в небольших организациях задаются администраторами на основе некоторого стандарта. Самые распространенные варианты: первая буква имени + фамилии: adorofeev, тоже самое, но через точку a.dorofeev, полное имя + фамилия: alexander.dorofeev. Также часто имена внутренних учетных записей совпадают с учетной записью электронной почты, соответственно правило формирования имени пользователя можно определить просто «погуглив» адреса сотрудников, засветившихся в интернете, а полный перечень сформировать на основе списка сотрудников, который можно получить из внутреннего телефонного справочника, а также социальных сетей. В крайнем случае можно формировать комбинации наиболее часто встречающихся имен и фамилий по наиболее распространенным правилам формирования имен учетных записей.
Вариант 3. Наиболее распространенные учетные записи и записи по умолчанию.
Во многих системах есть учетные записи по умолчанию. Как минимум, это admin или administrator. В некоторых системах их довольно много, так в СУБД Oracle можно встретить SYSTEM, SYS, ANONYMOUS, CTXSYS, DBSNMP, LBACSYS, MDSYS, OLAPSYS, ORDPLUGINS, ORDSYS, OUTLN, SCOTT, WKSYS, WMSYS, XDB. Соответственно, имеет смысл заглянуть в руководства администраторов систем, которые вы хотите тестировать.
Зачастую, в системах появляются учетные записи, которые очень легко вычислить, например, если в компании есть учебный класс, то вероятность наличия учетных записей teacher и student довольно высока. А много ли систем в которых, кто-нибудь да не создал учетную запись test?
Шаг 2. Первичный подбор паролей
Понимая какие учетные записи в каких системах в тестируемой ИТ-инфраструктуре мы планируем скомпрометировать, можем определить последовательность систем для атаки:
| № | Класс систем | Учетные записи | Пароли |
|---|---|---|---|
| 1 | Контроллер домена | Учетные записи сотрудников, административные, типовые. | Самые распространенные. |
| 2 | Бизнес-приложения | Учетные записи сотрудников, административные, типовые. | Самые распространенные. |
| 3 | СУБД | Учетные записи сотрудников, административные, типовые, по умолчанию. | Самые распространенные, по умолчанию |
| 4 | Специальные системы и сервисы: backup, ftp и т.п. | Административные, по умолчанию. | Самые распространенные, по умолчанию. |
| 5 | Активное сетевое оборудование | Административные, по умолчанию. | Самые распространенные, по умолчанию. |
В случае если в системах включена блокировка учетных записей после нескольких неудачных попыток (как правило, выбирают число 5), а время на тестирование ограничено, и мы не можем выставлять таймаут между попытками для сброса счетчика, то имеет смысл «пробежаться» по всем пользователям, проверяя следующие вероятные пароли:
Шаг 3. Расширение зоны влияния
Подобрав пароли к учетным записям, первое что должен сделать этичный хакер, так это авторизоваться и посмотреть, к чему он получил доступ.
В случае, если доступ получен к файловой системе, то необходимо провести поиск следующих файлов:
Инструменты и словари для онлайн-подбора паролей
Классическим инструментом для онлайн-подбора паролей является утилита командной строки thc-hydra, а для этичных хакеров и администраторов, любящих комфорт, данный функционал с интуитивно понятным интерфейсом имеется в нашем комплексе «Сканер-ВС»:
Также ключевым фактором успешного подбора пароля является доступность хорошо составленных словарей, а вот с этим бывают проблемы. Словари, поставляемые вместе с современными отечественными средствами анализа защищенности не всегда содержат действительно полезные наборы слов. Например, включают стандартный словарь, распространяемый с одной бесплатной утилитой. Решение, конечно, простое, но не очень эффективное. Разве можно представить себе российского пользователя, выбравшего такие пароли, как: soccer, cutiepie, maganda или mustang. Как много в среднем российском городе счастливых обладателей Ford Mustang? Иногда включают замечательный словарь, основанный в основном на паролях, оставляемых по умолчанию, но совершенно забывают про обычных пользователей и их любимые пароли.
Мы решили исправить эту досадную ситуацию и составили свои списки паролей, которые теперь доступны не только пользователям нашего комплекса тестирования защищенности «Сканер-ВС», но и всем желающим на сайте нашего решения в разделе «Пароли»:
Списки учетных записей:
Заключение
Хакеру из фильма «Пароль «Рыба-меч» повезло и, несмотря на отвлекающие факторы и хаотичный стиль работы, он смог подобрать пароль и остаться в живых. Пользуясь структурированным подходом, этичные хакеры увеличивают свои шансы на успех в тестировании на проникновение и в меньшей степени полагаются на удачу. Данный подход будет работать, пока пароли будут выбираться людьми.