Руководство

Теги

С этим тегом используют:

Работа Мат Гайд Инструкция Совет Юмор Начальство

Все теги

Рейтинг

Автор

Сообщество

Тип постов

любые текстовые картинка видео [мое] NSFW

Период времени

за все время неделя месяц интервал

402 поста сначала свежее

originsecurity

3 дня назад

Информационная безопасность IT

Руководство по парольной политике. Часть 2⁠⁠

Продолжение. С первой частью можно ознакомиться здесь.

5. Рекомендации

В этом разделе каждая из предыдущих рекомендаций будет рассмотрена более подробно.

5.1. Ключевые рекомендации

Эти рекомендации следует считать обязательными для всех систем, если они технически выполнимы.

5.1.1. Длина пароля или парольной фразы

Разрешите использование длинных парольных фраз, но не применяйте их принудительно.

В соответствии с общей целью заставить пользователей создавать не слишком слабые пароли, рекомендуемая минимальная длина пароля составляет 8 символов для учетной записи с МФА, и 14 символов — для учетной записи, использующей только пароль. При выборе максимальной длины пароля стоит отталкиваться от наибольшего значения, позволяемого возможностями системы/программного обеспечения, а не ограничиваться политикой.

В целом верно, что длинные пароли лучше коротких (их труднее взломать). Но также верно и то, что категоричные требования к длине используемых паролей предсказуемо вызывают нежелательное поведение пользователей. Например, требование иметь минимум 16-символьный пароль может заставить их выбирать повторяющиеся шаблоны типа «PasswordPassword» или «1234123412341234», которые соответствуют правилу, но легко угадываются злоумышленниками. К тому же, предписание иметь длинные пароли увеличивает вероятность того, что пользователи будут применять и другие небезопасные методы для упрощения работы с ними. Например, записывать их, использовать повторно или хранить в незашифрованном виде в своих документах.

Установление разумной минимальной длины без ограничения максимального количества символов увеличивает среднюю длину используемого пароля (и, следовательно, его надежность).

5.1.1.1. Парольные фразы

Обучите пользователей применению парольных фраз. Это приведет к созданию более длинных и надежных паролей.

В парольной фразе используется ряд слов, которые могут включать или не включать пробелы: correcthorsebatterystaple – пример парольной фразы из известного комикса XKCD на эту тему. Несмотря на то, что парольные фразы часто содержат больше символов, чем пароли, они всегда содержат меньше «компонентов» (четыре слова вместо, скажем, 12 случайных символов).

В конечном счете, все дело — в соотношении длины и легкости запоминания. Именно поэтому обучение пользователей таким приемам, как применение парольных фраз, позволяющих создавать более длинные и легко запоминающиеся пароли — весьма эффективная практика.

Примечание. Для получения более подробной информации об использовании парольных фраз, см. Приложение: что делает пароль хорошим?

Итоговая рекомендация:

5.1.2. Состав/сложность пароля

Разрешите использование символов любого типа, но не принуждайте использовать символы определенных типов.

Требования к составу или сложности пароля часто используются для повышения надежности создаваемого пользователем пароля заданной длины. Например, сложный пароль должен содержать некоторое количество символов из всех трех следующих категорий:

✧ заглавные символы;

✧ строчные символы;

✧ неалфавитные символы, такие как цифры или специальные символы, например <*&(^%$>!):.

В настоящее время не существует стандарта для состава пароля, поэтому очень часто эти требования варьируются от системы к системе (например, одна система разрешает специальные символы, а другая – нет).

Требования к составу пароля являются слабой защитой от атаки Password Guessing. Принуждение пользователей к выбору некоторой комбинации символов верхнего и нижнего регистра, цифр и специальных символов нередко влечет негативные последствия. Это создает дополнительную нагрузку на пользователей, и многие из них будут обращаться к предсказуемым шаблонам (например, заглавная буква в первой позиции, затем строчные буквы, затем одна или две цифры и «специальный символ» в конце). Злоумышленники знают об этом, и в ходе словарных атак часто используют эти популярные шаблоны, а также наиболее распространенные замены, например, $ на s, @ на a, 1 на l, 0 на o.

Слишком сложные по своей природе пароли затрудняют запоминание пользователям, что приводит к негативным последствиям. Кроме того, требования к составу не обеспечивают защиту от распространенных типов атак, таких как социальная инженерия, или ненадежного хранения паролей.

Итоговая рекомендация:

5.1.3. Срок действия пароля

Меняйте пароли в зависимости от событий, с ежегодной «подстраховкой».

Чрезмерные требования к сроку действия паролей приносят больше вреда, чем пользы, поскольку заставляют пользователей выбирать предсказуемые пароли, состоящие из последовательных слов и цифр, тесно связанных друг с другом. В таких случаях следующий пароль можно предсказать на основе предыдущего (например, увеличивая используемое в пароле число).

Требование обязательной смены пароля по истечении определенного срока действия не дает никаких преимуществ в плане сопротивления злоумышленникам, поскольку те часто используют учетные данные сразу после их получения. Вместо расписания, немедленная смена пароля должна основываться на ключевых событиях, таких, как (перечень не является исчерпывающим):

✧ появление признаков компрометации;

✧ смена ролей пользователя;

✧ увольнение пользователя.

Смена паролей каждые несколько недель или месяцев не только усложняет жизнь пользователя, но и для системы приносит больше вреда, чем пользы, поскольку может привести к неправильным действиям пользователя вроде добавления символа в конец существующего пароля.

Дополнительно мы рекомендуем проводить ежегодную смену паролей. Это связано в первую очередь с тем, что, при всех своих благих намерениях, пользователи будут использовать одни и те же учетные данные в разных системах. Впоследствии, даже если утечка данных из какой-либо системы получит публичную огласку, человек может просто не увидеть сообщение об этом факте, или вообще забыть, что у него был аккаунт, например, на скомпрометированном сайте. Подобная ситуация может сделать общие учетные данные уязвимыми на неопределенный срок. Парольная политика организации, предусматривающая ежегодную смену однолетних паролей, является разумным компромиссом для смягчения описанной проблемы при минимальной нагрузке на пользователя.

Примечание. Существуют организации, использующие автоматически генерируемые одноразовые пароли для каждого доступа к учетной записи (такой тип парольной политики выходит за рамки данного документа). В этих случаях пароль для каждой учетной записи может меняться по многу раз в день. Системы подобного типа отличают беспрецедентный уровень безопасности и почти такая же редкость.

Итоговая рекомендация:

5.1.4. Запрет использования словарных паролей

Проверяйте пароли по списку плохих паролей.

Организациям следует запретить использование распространенных словарных паролей. Это снижает восприимчивость к атакам Brute Force и Password Spraying. Несколько примеров часто используемых паролей: abdcefg, password, qwerty, iloveyou и 12345678 (более полный список распространенных паролей можно найти здесь).

При обработке запросов на создание или изменение пароля, новый пароль должен быть проверен по списку, который содержит часто используемые, словарные или скомпрометированные пароли. Например, список должен включать (но не ограничиваться):

✧ пароли, скомпрометированные в результате предыдущих взломов;

✧ словарные слова;

✧ повторяющиеся или последовательные символы (например, aaaaaa, 1234abcd);

✧ контекстно-специфические слова, такие как название службы, имя пользователя и производные от них;

✧ ранее использовавшиеся пароли для этой учетной записи с задержкой их изменения;

✧ личные идентификационные данные пользователя, если это возможно (дата рождения, фамилия и т.д.).

Проверка должна происходить непосредственно при создании пароля. Если пароль пользователя не прошел проверку по списку запрещенных слов, пользователь должен быть уведомлен о том, что пароль не может быть применен с кратким объяснением причины. Затем пользователю должно быть предложено ввести новый пароль.

Списки запрета паролей — относительно новый инструмент, но он становится все более распространенным, так как утечки учетных данных пользователей становятся все более частыми. Дополнительная информация по использованию списков запретов и примеры плохих паролей доступны по URL-адресам:

Azure Active Directory Password Protection
Have I Been Pwned?

Примечание. Необходимо подходить к созданию списка запретов с осторожностью и соблюдать меру. В противном случае существует вероятность сделать перечень настолько всеобъемлющим, что пользователю будет очень сложно подобрать правильный пароль.

Итоговая рекомендация:

5.1.5. Блокировка сеанса при бездействии

Блокировка сеанса при бездействии является разумной мерой предосторожности.

Нет никакой пользы в том, чтобы система или сеанс оставались активными, когда пользователь не работает. Узнать, когда пользователь активен, можно с помощью обнаружения пользовательского ввода (ввод с клавиатуры, движение мыши и т.д.).

Примечание. Вход в систему после такой блокировки должен соответствовать всем рекомендациям, применяемым для обычной аутентификации. Неудачные попытки входа должны также отслеживаться и ограничиваться (см. раздел 5.1.6 Ограничение неудачных попыток входа (блокировка)). Способ авторизации для учетной записи, заблокированной во время бездействия пользователя, должен быть того же типа, что и при обычной процедуре входа, без какого-либо упрощения. То есть учетная запись, для которой настроена МФА, в случае блокировки также должная быть авторизована с МФА, а не с применением сокращенного метода аутентификации, вроде пароля.

Итоговая рекомендация:

5.1.6. Ограничение неудачных попыток входа (блокировка)

Чтобы ограничить возможность угадывания пароля, временно блокируйте учетную запись после заранее определенного количества неудачных попыток входа.

Условимся не рассматривать ситуации, когда злоумышленник получает пароль пользователя в открытом виде с помощью социальной инженерии, ненадежного хранения паролей и т.д., (здесь надежность пароля, по сути, не имеет значения). В таком случае цель создания надежных паролей — не дать злоумышленнику получить доступ к целевой учетной записи или системе в результате недолгого подбора легко угадываемого пароля. «Подбор» означает, что атакующий, прежде чем обнаружить настоящий пароль, должен сделать несколько неудачных попыток авторизации в целевой системе. Именно поэтому принудительное ограничение количества попыток входа для атакующего — наиболее важная из всех мер, принимаемых для повышения надежности пароля. Временная (15-минутная) блокировка учетной записи после 5 последовательных неудачных попыток входа в систему доказала свою эффективность в борьбе с попытками перебора и угадывания пароля.

Необходимо помнить, что временная блокировка предназначена для предотвращения несанкционированного доступа, а не для создания дополнительных проблем честным пользователям и администраторам систем каждый раз, когда первые неправильно вводят пароли. Например, длительная блокировка рабочих аккаунтов (снятие которой возможно только при участии администратора) в крупной компании, действующей в нескольких часовых поясах, скорее всего, создаст больше лишних сложностей, чем принесёт пользы. В отдельных случаях разумной альтернативой может стать установка определенного количества временных блокировок, при превышении которого будет производиться уже постоянная блокировка аккаунта, требующая участия администратора для отмены (рекомендуемое значение — 10 неудачных попыток подряд).

Другая техника, набирающая популярность, – это замедление входа (login throttling), при котором каждая неудача постепенно увеличивает задержку перед следующей попыткой входа в систему.

Схемы замедления могут быть разными, но обычно они выглядят так:

✧ первая неудача, немедленная повторная попытка разрешена;

✧ вторая последовательная неудача, одна минута ожидания;

✧ двукратное увеличение времени ожидания при каждой следующей неудачной попытке;

✧ при достижении предельного значения попыток — постоянная блокировка учетной записи (требуется участие ИТ-специалистов).

Замедление входа ограничивает количество попыток угадывания, которые может предпринять злоумышленник, одновременно предоставляя пользователям несколько возможностей вспомнить свой пароль. Этот метод не так распространен в современных системах, как блокировка учетной записи по количеству неудачных попыток, но он набирает популярность в системах, работающих через Интернет. Оба метода обеспечивают хороший баланс между безопасностью, удобством использования и снижением нагрузки на работников ИТ-служб.

Примечание. Независимо от метода, используемого для ограничения неудачных попыток входа в систему, параллельно в целях безопасности должны быть настроены функции мониторинга и оповещения (см п 5.1.7 «Мониторинг неудачных попыток входа в систему»).

Примечание. Ограничение неудачных попыток входа не предотвращает компрометацию пароля с помощью методов Password Spraying (т.е. использование одного и того же пароля для многих различных учетных записей пользователей). Напротив, оно стимулирует злоумышленников использовать эту технику, чтобы избежать блокировки, что является очевидной аномалией и может быть обнаружено с помощью систем мониторинга.

Итоговая рекомендация:

5.1.7. Мониторинг неудачных попыток входа в систему

Контроль входа в систему – обязательное условие (ключевая рекомендация).

Цель создания надежных паролей – предотвратить получение неавторизованными пользователями (в частности, злоумышленниками) доступа к системам или учетным записям. В свою очередь, ведение журнала авторизации является ключевым компонентом анализа попыток получения доступа к учетной записи, будь то аккаунт обычного пользователя или администратора. Необходимо как минимум отслеживать в журнале неудачные попытки входа в систему и оповещать о них ответственный персонал.

Для обеспечения контроля неудачных попыток входа в систему предлагается следующее:

✧ регистрировать все неудачные попытки входа в систему;

✧ оповещать ответственный персонал о фактах временной или постоянной блокировки учетных записей;

✧ регистрировать попытки входа в систему из неожиданных географических зон и оповещать о них ответственный персонал;

✧ регистрировать попытки входа в систему в необычное время и оповещать о них ответственный персонал;

✧ регистрировать попытки авторизации от имени специальных сигнальных учетных записей (записи-приманки для злоумышленников, “Honeypot”) и оповещать о них ответственный

персонал.

Примечание. Мониторинг может принимать различные формы в зависимости от типа системы. Системы, подключенные к одному домену/корпоративной сети, могут контролироваться централизованно с помощью системы управления событиями безопасности (SIEM), которая объединяет и контролирует журналы событий из различных систем. Автономные системы (например, устройства Интернета вещей) могут использовать что-то элементарное, например, электронное письмо или SMS-сообщение, чтобы сообщить пользователю о превышении лимита попыток авторизации. Конечная цель состоит в том, чтобы при неудачных попытках входа в систему связаться с нужным человеком.

Итоговая рекомендация:

5.1.8. Блокирование учетной записи при неиспользовании

Неиспользуемые учетные записи должны автоматически отключаться.

Было бы идеально, если бы администраторы немедленно отключали неактивные учетные записи людей, потерявших право доступа в систему (ушедших из компании, сменивших отдел и т.д.). К сожалению, так бывает не всегда, поэтому разумно иметь техническое решение на случай, если ручной блокировки не произойдет: резервным планом может стать автоматическая приостановка учетной записи после X дней неиспользования (мы рекомендуем 45 дней).

Если пользователь не авторизовался в учетной записи в течение 45 дней с последнего успешного входа, система автоматически отключит ее. Пользователь может ее разблокировать, но для этого ему необходимо связаться с ИТ-отделом для восстановления учетной записи и обосновать, почему она по-прежнему необходима.

Итоговая рекомендация:

5.1.9. Парольные подсказки

Не разрешайте парольные подсказки.

В случае, если пользователь забыл свой пароль, подсказка позволяет вспомнить его, решив проблему самостоятельно, без привлечения ИТ-отдела. Но создаваемые риски в данном решении перевешивают всю пользу. Не существует надежного способа убедиться, что подсказка, предоставленная пользователем, не является слишком очевидной и не позволит злоумышленнику легко получить доступ к системе. Более эффективный подход – позволить пользователям создавать легко запоминающиеся пароли (парольные фразы).

Итоговая рекомендация:

5.2. Опциональные рекомендации

Эти рекомендации необязательны, и их можно применять после выполнения основных, приведенных в разделе 5.1. Опциональные рекомендации являются более специфичными и подходят не для всех случаев.
Например, если пользователь использует только один пароль, то необходимость в менеджере паролей отсутствует.

5.2.1. Индикатор надежности пароля при создании

Показатели надежности полезны, поскольку большинство людей действительно хотят создать надежный пароль.

При создании нового пароля система должна помочь пользователю и предложить ему руководство, например, индикатор надежности пароля. Особенно полезно включать в индикатор «черные» списки – тогда пользователь сможет создать надежный пароль, не попадающий в список запретных слов.

Итоговая рекомендация:

5.2.2. Отображение пароля

Существует два основных случая отображения паролей.

5.2.2.1. При создании пароля

Возможность отображения пароля при его создании предпочтительнее, чем требование повторного слепого ввода

Чтобы помочь пользователю в создании пароля, система должна предложить возможность его полного отображения (без скрытия с использованием точек или звездочек). Это позволит пользователю проверить свой ввод, если обстановка позволяет безопасно отобразить его на экране. Данная возможность работает гораздо лучше, чем дублирование ввода пароля вслепую для исключения ошибок.

5.2.2.2. При введении пароля

Предоставление пользователю возможности на краткое время увидеть то, что он вводит в поле пароля, снижает количество ошибок при вводе.

Система должна опционально позволять устройству пользователя отображать отдельные введенные символы в течение короткого времени после ввода каждого символа для проверки правильности ввода (затем заменяя их звездочкой или точкой). Это может быть особенно полезно на мобильных устройствах, где текстовые поля небольшого размера, а текст в них трудноразличим.

Итоговая рекомендация:

5.2.3. Менеджеры паролей

Поощрение использования утвержденного менеджера паролей позволяет пользователям создавать надежные и уникальные для разных систем пароли.

Менеджер паролей похож на записную книжку для паролей пользователя, запертую главным ключом, о котором не знает никто, кроме владельца. На первый взгляд это может показаться неудачной идеей. Что, если кто-то узнает главный пароль пользователя? Это обоснованное опасение. Однако, при условии, что пользователь выбрал надежный, уникальный и запоминающийся основной пароль, который он больше нигде не использует, или, что еще лучше, МФА, менеджеры паролей достаточно эффективны. Как и все остальные инструменты в сфере информационной безопасности, менеджеры паролей не обеспечивают 100% безопасности, но они представляют собой отличную альтернативу для пользователей, которым необходимо управлять несколькими надежными паролями для разных учетных записей. Они позволяют избежать повторного использования одного и того же пароля для нескольких учетных записей, хранения паролей открытым текстом в системе или их записи и хранения в незащищенном месте.

Каждый раз, когда пользователь заходит на сайт или в приложение, он может вызвать менеджер паролей, скопировать свой пароль и вставить его в поле для авторизации. Часто менеджеры паролей предлагают также расширение для браузера, которое может автоматически безопасно заполнить поле сохраненным паролем пользователя.

В организациях желательно использовать один менеджер паролей, так как это облегчит его обслуживание (обновление), отслеживание любых опубликованных уязвимостей и их устранение.

Примечание. Пароли, генерируемые системой и создаваемые менеджером паролей, намного надежнее, чем пароли, создаваемые человеком, поскольку в них используется последовательность символов с большими требованиями к минимальной длине и составу (сложности). Пользователю не нужно запоминать пароль. Вместо этого менеджер паролей хранит их для пользователя.

Примечание. Вход в менеджер паролей должен соответствовать всем рекомендациям обычного входа в систему и правилам, принятым для неудачных попыток входа и мониторинга (см. раздел 5.1.6 Ограничение неудачных попыток входа (блокировка)).

Примечание. Менеджеры паролей предназначены для запоминания всех учетных данных пользователя: и имени пользователя и пароля. Следовательно, помимо сложного пароля пользователь может также создать и сложное уникальное имя пользователя для любой учетной записи. Это делает любые утекшие учетные данные еще менее полезными для злоумышленника, поскольку кроме модификации самого пароля к другой учетной записи ему нужно подобрать еще и имя пользователя. Конечно, это предполагает, что целевая система допускает определенную гибкость в выборе имени пользователя.

Итоговая рекомендация:

5.2.4. Разрешение вставки пароляРазрешите вставку в поле пароля при использовании менеджера паролей.

Системам рекомендуется разрешать пользователям функцию вставки при вводе пароля, поскольку это облегчает применение менеджеров паролей (см. раздел 5.2.3 Менеджеры паролей).

Основное опасение компаний по поводу разрешения данной функции заключается в том, что пароли хранятся в буфере обмена. Действительно, когда пользователь обращается к функции копирования/вставки, скопированное содержимое сохраняется в буфере обмена, откуда его можно вставлять сколько угодно раз. Любое программное обеспечение, установленное на компьютере (или человек, управляющий им), имеет доступ к буферу обмена и может видеть, что было скопировано. Однако большинство менеджеров паролей стирают буфер обмена сразу после вставки пароля, а некоторые вообще обходятся без буфера обмена, вводя пароль с помощью виртуальной клавиатуры. Эти возможности могут быть частью критериев выбора менеджера паролей.

Итоговая рекомендация:

Примечание. Основной смысл заключается в том, что использование менеджера паролей гораздо более безопасно, даже учитывая временное незащищенное хранение копируемых паролей в буфере обмена компьютера.

продолжение - в заключительной, третьей части

Перевод: Аделина Любимова, Origin Security

ссылка на первоисточник

Показать полностью 13

[моё] Пароль Информационная безопасность IT Хакеры Полезное Интернет Руководство Длиннопост

Эмоции

originsecurity

7 дней назад

Информационная безопасность IT

Руководство по парольной политике. Часть 1⁠⁠

Первая часть практического руководства по созданию эффективных паролей от коллектива иностранных авторов, переведённого экспертами Origin Security специально для наших читателей

1. Примечание переводчика

Оригинальный материал и этот перевод находятся под действием лицензии
Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International.

2. Введение

Пароли повсеместно используются в современном мире. Если у вас есть учетная запись на компьютере, то наверняка будет хотя бы один пароль. Пароли использовались в компьютерах с момента появления вычислительной техники. Первой операционной системой с реализованным механизмом аутентификации на основе пароля стала Compatible Time-Sharing System (CTSS), представленная в Массачусетском технологическом институте в 1961 году.

Пароли – это самая простая форма реализации информационной безопасности. В течение многих лет эксперты пробовали сделать пароли более сложными для взлома, применяя различные правила создания и использования паролей (т.н. парольные политики).

Однако, при всей технической простоте реализации, парольная политика нередко оказывает спорное влияние на уровень безопасности информационных систем. Необоснованно завышенные требования к сложности и сменяемости паролей часто приводят к тому, что пользователи их просто забывают, после чего надоедливо отвлекают безопасников просьбами сменить пароль. Распространенными среди пользователей практиками являются также запись сложного пароля на стикере, который виден всем окружающим, или изменение только последнего символа пароля при появлении требования об установке нового пароля.

Поэтому, чтобы эффективно противодействовать злоумышленнику, парольная политика должна иметь реальное обоснование и не приводить пользователей в замешательство и расстройство. Некоторые крупные игроки в области стандартизации информационных технологий (NIST, Microsoft и пр.) недавно разработали новые парольные политики, основанные на двух базовых принципах:

1. Использование данных о техниках и тактиках действий злоумышленников.

2. Облегчение пользователям создания, запоминания и использования надежных паролей (учет человеческого фактора).

Цель этого документа – не изобретать велосипед, но объединить новые руководства по парольной политике в одном месте. Создать универсальную парольную политику, которую можно использовать везде, где это потребуется.

2.1 Обзор лучших практик

Каким бы стойким ни был пароль, эффективная защита может быть достигнута только при комплексном подходе с применением разнообразных механизмов. Подходы к реализации парольной политики можно ранжировать следующим образом (от более предпочтительных к менее):

2.1.1. Многофакторная аутентификация (МФА)

МФА – это самый эффективный метод защиты, и, хотя в руководстве ему посвящён отдельный раздел, здесь он заслуживает особого упоминания. МФА должна быть приоритетным вариантом при проектировании системы аутентификации для всех пользователей и везде, где это возможно. Особенно она необходима для безопасности доступа администраторов и других привилегированных учетных записей. Понятно, что МФА сама по себе не является панацеей хотя бы потому, что далеко не во всех информационных системах возможна её техническая реализация. Кроме того, даже при использовании МФА иметь стойкий пароль полезно, поскольку он используется как один из факторов.

2.1.2 Менеджер паролей

Инструмент позволяет создавать и хранить уникальные и сложные пароли для каждой учетной записи. Использование менеджеров паролей может значительно повысить безопасность и удобство авторизации пользователей.

2.1.3 Политика создания и применения паролей пользователями

Этот подход наиболее полно описан в данном руководстве, поскольку он является самым распространенным в настоящее время. Вместе с тем, большая часть рекомендаций актуальна для всех трех методов.

3. Обзор рекомендаций

Краткое описание рекомендаций по парольной политике представлено в таблице ниже. Детальная информация по каждой рекомендации раскрыта в главе 5.

Руководство по парольной политике. Часть 1 IT, Полезное, Пароль, Информационная безопасность, Менеджер паролей, Хакеры, Руководство, Cis, Длиннопост

Общая цель эффективной парольной политики – позволить пользователям легко создавать достаточно надежные пароли для доступа к системе, а затем отслеживать и ограничивать попытки доступа для обнаружения/предотвращения их несанкционированного использования.

4. Насколько важен пользовательский пароль?

Ввиду повсеместного использования паролей для доступа к компьютерным системам всех типов, очевидно, что пароли очень важны. Но существует ли компромисс между безопасностью и удобством использования? Не привели ли попытки разработать политику, чтобы сделать более безопасными применяемые пароли, к фактическому снижению уровня безопасности системы из-за человеческого фактора? В известной статье Алекса Вайнерта (Microsoft) «Your Pa$word doesn’t matter» приведено описание реальных атак на пользовательские пароли, развеяны распространенные мифы о надежности паролей и поведении пользователей. Обобщенная информация представлена в следующей таблице:

Из всех распространенных атак, перечисленных выше, надежность пароля имеет значение только в двух случаях:

✧ проводимые онлайн: перебор учетных записей (password spraying, password guessing);

✧ проводимые офлайн: перебор паролей, взлом (brute force, database extraction, cracking).

Давайте рассмотрим их подробнее.

4.1 Атаки, проводимые онлайн

Password Guessing или Hammering – это систематический подбор пароля злоумышленником к одной целевой учетной записи. Перебор проводится преимущественно по словарям и по утечкам, найденным в Интернете.

Password Spraying – это вариант атаки, при котором злоумышленник использует те же списки паролей, но нацеливается на множество общедоступных или легко определяемых (например, общий формат имени учетной записи) учетных записей пользователей.

В случае с Password Guessing кажется, что здесь важна надежность пароля, но на самом деле гораздо важнее мониторинг и ограничение неудачных попыток входа. При наличии разумных ограничений и мониторинга тот факт, что современные технологии позволяют перебирать миллиарды паролей в секунду, не имеет значения, поскольку учетная запись будет заблокирована, а администратор безопасности – уведомлен об инциденте. Именно поэтому более распространенной формой атаки стал Password Spraying, но чтобы он был эффективным, злоумышленнику необходимо избегать блокировки учетных записей. Добиться этого можно, если узнать формат имени учетной записи, принятый в целевой организации. В таком случае атака заключается в переборе ограниченного словаря паролей, но в отношении множества учетных записей, что не приводит к их блокировке и позволяет злоумышленнику не попадать в поле зрения команды защитников.

Даже в этих случаях более сложный пароль не является лучшим решением. Гораздо более эффективным и простым для пользователей вариантом будет использование более длинных, сложных и разнообразных имен учетных записей. Действенным способом обнаружения атак типа Password Spraying является использование специальных сигнальных учетных записей. Это действительные аккаунты с минимальными привилегиями, которые соответствуют принятой парольной политике, но не предназначены для доступа. Попытки авторизации с их помощью свидетельствуют о компьютерной атаке, расследование которой позволяет администраторам информационной безопасности заранее обнаружить угрозу и не допустить компрометации паролей настоящих учетных записей.

4.2 Атаки, проводимые офлайн

Это единственный вариант, когда сложность пароля по-настоящему имеет значение. При такой атаке злоумышленник уже завладел базой данных учетных записей/паролей целевой компании, в которой пароли хранятся в хэшированном виде (вместо обычных текстовых паролей, что было бы слишком просто). В дальнейшем злоумышленник восстанавливает настоящие пароли из найденных хэш-сумм методом перебора с применением одного из множества свободно распространяемых инструментов (например, John the Ripper или L0phtCrack) или специальной программой, разработанной для этого самим злоумышленником.

Мы не будем подробно описывать принцип работы этих программ (существует множество открытых источников по взлому паролей), но в общем случае злоумышленник может сделать следующее:

1. Создать «брут-машину»: стандартное компьютерное оборудование с высокопроизводительной видеокартой, которое может вычислять и проверять несколько миллиардов несложных хэшей (MD5, SHA1, NTLM и т.д.) в секунду. Легкодоступные установки для добычи криптовалют (майнеры) могут без труда достичь скорости перебора в 100 миллиардов хэшей в секунду, а хорошо финансируемые злоумышленники (прогосударственные группировки) могут достичь скорости и в 100-1000 раз выше.

2. Перебрать все возможные пароли. При использовании майнера и предположении, что мощность словаря пароля составляет 96 символов, бездумное перебирание всех вариантов пароля займёт следующее время:

3. Ускорить перебор, используя дополнительные техники и знания:

✧ изучив целевую организацию, злоумышленник может выяснить алгоритм хэширования и специфичные для неё правила генерации паролей (минимальная/максимальная длина, сложность и т. д.);

✧ использовать списки паролей, полученные в результате предыдущих взломов (огромное количество паролей уже находятся в свободном доступе). После хеширования проводится проверка на совпадение с хэшами в целевой базе данных. По статистике, это позволяет взломать около 70% паролей пользователей;

✧ если это не сработает, злоумышленник может составить список всех популярных фраз, текстов песен, заголовков новостей, частых запросов поисковых систем, википедии, популярных статей и т.д. Или взять готовый — подобные списки доступны в различных сообществах «хэшбрейкеров». Таким образом можно подобрать еще 5-7% паролей пользователей;

✧ наконец, злоумышленник может использовать предугаданные шаблоны (например, пароль всегда начинается с заглавной буквы, затем 3-6 строчных букв, 2-4 цифры и восклицательный знак в конце) и подобрать более длинные пароли (до 12 символов). Это позволяет вскрыть еще 5-7% пользовательских паролей.

4. В случае использования «соли» для хранения паролей в базе (применения к хэшу дополнительного преобразования, усложняющего автоматический перебор), данные техники применяются не для всех хэшей, а для одного. Вместе с тем, атака проводится с высокой вероятностью успеха почти в 85% и за относительно короткий промежуток времени, что позволяет злоумышленнику перейти к следующей учетной записи и последовательно перебрать их все.

Здесь стоит отметить следующее:

✧ данный метод перебора работает только в том случае, когда у атакующего есть база учетных записей/паролей. Как злоумышленник получил ее? Если уровень доступа атакующего достаточен, чтобы получить базу данных, то целью он, скорее всего, уже владеет;

✧ если база данных учетных записей/паролей, полученная злоумышленником, не относится к цели, то взломанный пароль все равно нужно попробовать на реальной учетной записи в целевой системе;

✧ человек вряд ли сможет создать надежный пароль, который выдержит описанные попытки взлома. Если противодействие им необходимо, используйте длинный и сложный пароль, сгенерированный автоматически. Например, созданный и управляемый менеджером паролей;

✧ технические возможности для взлома хэшей постоянно растут. Неужели мы будем постоянно гнаться за ними, делая пароли всё длиннее, сложнее и труднее для запоминания, пытаясь справиться с одним-единственным сценарием атаки? Очевидно, будет лучше использовать более комплексный подход.

Таким образом, необходимости использования паролей со сложностью выше определенного разумного уровня нет. Так почему бы не разработать политику, поощряющую достаточно надежные пароли, которые легко создавать, запоминать и использовать? Данное руководство призвано помочь с этим, и мы продолжим в следующей части

Перевод: Аделина Любимова, Origin Security

Ссылка на первоисточник

Показать полностью 3

[моё] IT Полезное Пароль Информационная безопасность Менеджер паролей Хакеры Руководство Cis Длиннопост

Эмоции

254

DeMarino

13 дней назад

В раздевалке для девочек Ташкентской школы №110 руководство установило видеокамеру и подсматривало за девочками. p.s после резонанса убрали⁠⁠

Ученицы специализированной государственной общеобразовательной школы №110 Мирабадского района, города Ташкента, обнаружили в раздевалке видеокамеру. Как выяснилось, наблюдение за девочками вела директор без согласия родителей, но с согласием родительского совета в который не понятно кто входит.

После скандала в соцсетях администрация школы приняла решение избавиться от камеры. Однако Министерство народного образования Республики Узбекистан, выразило недовольство действиями родителей. Ведомство считает, что говорить о внутренних проблемах школы в соцсетях неэтично – вначале родителям следовало высказать свои возражения администрации школы.

Никого и не привлекут, Узбекистан по уровню коррупции занимает 143 место, рядом с Камеруном и Угандой!

Руководству школы во главе с директором У. Рашидовой, ничего не будет.

P/s. А головой не надо думать Министерству прежде чем ставить таких руководителей, которые подсматривают за девочками?

Выводы делайте сами!

Источники:

https://upl.uz/incidents/27660-news.html

https://upl.uz/obshestvo/27668-news.html

https://podrobno.uz/cat/obchestvo/khoteli-kak-luchshe-a-polu...

https://nuz.uz/obschestvo/1254736-v-razdevalke-dlya-devochek...

Показать полностью 1 1

[моё] Узбекистан Образование Видеонаблюдение Школа Девочка Раздевалка Школьники Негатив Позор Дно Педофилия Женское Учеба Видео Длиннопост Ташкент Директор Руководство

Эмоции

Курсы Пикабу

PikabuStudy

Первый IT-курс Пикабу: учим на QA-инженера с нуля (скидка 30%)⁠⁠

Курс для тех, кто хочет сменить работу и перейти в IT, но далек от программирования и смутно знает, за что отвечают «бэк» и «девопс». На курсе вы с нуля погрузитесь в профессию QA-инженера под наставничеством сразу четырех опытных сотрудников Пикабу.

Что вас ждет на курсе и после него:

- узнаете, как устроены сайты и мобильные приложения

- освоите популярные методы ручного и автотестирования

- практика на реальных задачах QA-инженеров Пикабу и проектах, которые мы делали для крупных брендов

- средняя зарплата QA-джунов — до 80 000 рублей (по данным SuperJob)

Обучение подойдет даже тем, у кого нет технического опыта: мы даем подробную обратную связь на протяжении всего курса, а в конце поможем оформить резюме и портфолио, чтобы вы нашли работу. Доступ ко всем материалам курса останется у вас еще на 12 месяцев, а если вы не будете успевать — можно взять перерыв или перевестись на следующий поток.

Старт курса — 6 октября. Записаться можно со скидкой 30%.
Ели остались вопросы, заполните форму ниже. Мы на все ответим!

IT QA Обучение

279

Kuchka70

18 дней назад

Собачьи будни

Искусство воспитания щенка⁠⁠

Собака Щенки Книги Руководство Вандализм

Эмоции

4434

begvRossiy

19 дней назад

Скриншоты комментов

Последний шанс⁠⁠

#comment_248674847

Показать полностью 1

Скриншот Комментарии Обман Комментарии на Пикабу Узбекистан Президент Руководство Мат

Эмоции

418

Russen.Alex

20 дней назад

"У вас там сетка на земле рабица... Непорядок!"⁠⁠

Обсуждением начальников навеяло. Но тупо глупость...

Организовывали площадку для будущих работ. И приставили к нам как-то молодого, но жуть как перспективного сына зама-зава-глава... В общем очень талантливого мальчика :) будущего руководителя всего и вся! Для того чтобы он в своем руководстве сперва на кошках потренировался, то есть на нас... Да и в резюме смотрится будет прилично - из грязи вышел в князи, а не по блату.

Ну он и ходит, тренируется. Берцы надел офицерские, камуфляж-березку новенький, ходит важно и руководит. То вон сделайте, это вот поправьте... Делаем, поправляем - ведь ~~родственник руководства~~ человек с московским образованием. Потом приходится все переделывать, но молча...

В этот момент мы разворачиваем ограждение, длинные рулоны сетки Рабица, выносим их из под навеса, по несколько штук, разворачиваем, режем, сворачиваем, делаем ограждение. А юный гений все ходит и ходит, ходит и ходит... Хмурится и хмурится...

На перерыве не выдерживает, влетает к нам злой и орет, "у вас там сетка рабица!"

"Ну да", - отвечают, "Есть сетка рабица, забор делаем, вам она нужна?"

"Не нужна она мне!" орет, "Но у вас сетка рабица!"

"Да!", люди искренне не понимаю что ему на этот раз надо... "Сетка! Рабица! Что вы хотите?"

И тут оно выдает,

"Вы "придурки"! У вас сетка прямо на земле рабица! Вы что хотите чтобы она испортилась, заржавела, вы знаете какие убытки будут от вас! Хотя бы брезент подстелите, или доски! Идиоты... Вредители... Я сейчас в главк доложу..."

И убежал, и наверное связался... Как там слушали его негодование, о том что сетка прямо на земле рабица, неизвестно, но буквально на следующий день его уже заменили.

А у нас появилось то, что потом назовут мемасиком - "почему у тебя вещь на земле рабица!"

Показать полностью

Странности Забавное Руководство Начальство Глупость Текст

Эмоции

246

VooDooDoo

28 дней назад

Лига Недвижимости

Покупка квартиры в ипотеку: как правильно⁠⁠

Как-то в комментариях написал, что на ипотеку надо подавать до того, как вы выбрали квартиру, на что получил недоуменный ответ "Нафига, если я еще не знаю, что буду покупать?".

Поэтому решил написать пост о том, почему надо начинать именно с ипотеки, а заодно пошагово расписать сам процесс.

ПОЧЕМУ СНАЧАЛА ЗАЯВКА НА ИПОТЕКУ

Во-первых, вы будете точно знать на что рассчитывать (сумму, размер платежа, процент, прочие условия) и не будете тратить время на объекты, которые находятся вне вашего бюджета.

Во-вторых, и это самое главное, вы не попадете в неприятную историю, когда потратили 3 месяца на поиск, внесли аванс/бронь, а потом банк одобрил меньшую сумму или вообще отказал. А отказ - это вроде как каждая четвертая заявка по ипотеке. А еще банк может пересмотреть размер первоначального взноса и у вас его не хватит.

Когда вы подаете заявку, банк ориентируется не на стоимость квартиры, а на ваш доход, срок ипотеки, имеющиеся кредиты, кредитную историю. И может одобрить больше, чем вы запросили, или меньше. Или вообще отказать. О причинах отказа можно написать еще целую простыню, здесь просто не хватит места.

ШАГ 1: СЧИТАЕМ ДЕНЬГИ

Ну ок, вы решились на эту кабалу, что дальше? Идти на какой-нибудь сервис с калькуляторами точно не стоит, только замучаетесь отбиваться от спам-звоноков. Все намного проще.

Для начала рассчитайте для себя комфортный платеж в месяц. Допустим, у вас от зарплаты остается 20000 рублей: 5000 оставляете на накопления, а 15000 можете направлять на ипотеку. От этой суммы и отталкивайтесь потом, ведь банк, как я писал, может одобрить много-много денег и платеж будет больше. В интернете полно калькуляторов "расчет ипотеки по доходу", где можно прикинуть сумму кредита. А еще это можно сделать в эксель.

Определитесь с размером первоначального взноса: он должен составлять не менее 10% от стоимости будущей квартиры, а так чем больше, тем лучше. Его вам нужно будет указать в анкете. Если используете материнский капитал, внимательно знакомьтесь с условиями банков! Некоторые (Сбер, ДОМ.РФ) готовы выдавать кредит, если у вас только маткап, а где-то банк потребует 10% собственных средств (ВТБ, например).

А если первоначального взноса нет от слова совсем? Не вздумайте об этом говорить в банке, а то была у меня клиентка, которая удивлялась отказам, указывая в анкете "0" в графе первоначальный взнос. Ипотека без ПВ - это схематоз, о котором банк (официально, по крайней мере) не знает, и решается это без участия банка.

ШАГ 2: ГОТОВИМ ДОКИ

Для заявки вам потребуются:
- копии паспорта (все-все страницы), если в браке, то и супруга
- копия трудовой книжки, заверенная работодателем (отметка на каждой странице!)
- справка о доходах (2-НДФЛ или так называемая "по форме банка")

- СНИЛС/ИНН (в ряде случаев)
- копия свидетельства о браке (если в браке) и брачный контакт (если имеется)

Опять же, если используете маткап и/или идете по "Семейной ипотеке", то получите в ПФР (через Госуслуги) выписку об остатке средств и, естественно, сделайте копии свидетельств о рождении детей.

Важно! Работодатели, особенно небольшие, часто косячат с заполнением справок или трудовой. Проверяйте корректность: отметка работает по настоящее время, печать/подпись должны быть на каждой странице трудовой. В справке по форме банка проверяйте должность и, конечно, уровень з/п (у меня клиенту один раз лишний "0" нарисовали).

Кстати. В банках есть программы "ипотека по двум документам / без подтверждения дохода", где трудовая и справки не требуются. Если у вас совсем серая з/п и бухи не хотят оформлять справку "по форме банка", то лучше идти по этому пути, указав доход "от балды". Но рекомендую предупредить работодателя (ему могут звонить в 99%).

И еще: обязательно проверьте свою кредитную историю и базу приставов. Даже если никогда не брали кредитов и вообще у вас нимб над головой. У меня на практике несколько случаев отказа из-за совпадений по ФИО в ФССП и даже в кредитных историях был косяк (закрались чужие). Ну а если у вас куча долгов/кредитов и дикие просрочки по старым, то даже и не пытайтесь.

ШАГ 3: ОПРЕДЕЛИТЕСЬ, ЧТО ХОТИТЕ

Вторичка или новостройка? В новостройках ставки вкуснее (семейная ипотека, господдержка, айти, субсидированные ставки от 0,01%), а вторичка - вот она, готовая и ждать не надо. Хотя сейчас и новострой готовый можно найти, но тут больше все завязано на район (новостройки все больше на окраине).

Тут я советовать ничего не буду, решать вам. А если не решили, то в один банк подайте заявку на новостройку, а в другой - на вторичку. Да, так можно. А еще можно пересмотреть заявку в одном и том же банке: с новостройки на вторичку и наоборот (с перерасчетом условий, конечно).

ШАГ 4: ВЫБИРАЕМ БАНК И ПОДАЕМ ЗАЯВКУ

Тут сразу скажу про типичную ошибку: обращаться только в тот банк, на чью карту получаю зарплату. Ну да, зарплатникам банки часто (почти всегда) дают скидки. Но не факт, что итоговые условия окажутся лучше! Подавайте заявку в несколько банков, оптимально - 3. В десяток не стоит, т.к. большое количество обращений за кредитом снижает рейтинг, насколько я знаю.

Как выбрать банк?
Если честно, то ставки почти у всех +/- одинаковые, особенно на новостройки (на рекламные не ведитесь). Но есть, как говориться, нюанс: и он в условиях предоставления кредита и допрасходах. Например, в Сбере вам будут накручивать сервис электронной регистрации, безопасные расчеты, а если очень повезет, то и проверку "продавца" и даже телемедицину. От всего этого можно отказаться без рисков, но многие соглашаются после фразы "Мы вашу заявку отправим на пересмотр, а там как повезет".

Если уж и соглашаться на допы, то только на страхование жизни, которое дает порядка 1% скидки. Но тут считайте стоимость страховки: она зависит от пола, возраста и суммы кредита . Кстати, в ВТБ при покупке вторички обязательно страхование титула, и вы от этого не отвертитесь. Совет: если в браке, то страховку лучше оформлять на супругу, коэффициенты для женщин существенно ниже.

Заранее узнайте и посчитайте все дополнительные расходы: страхование жизни, расходы на оценку для банка, оформление согласий супруга или брачного договора, расходы на разные электронные регистрации, расчеты.

Если у вас маткап в качестве первоначального взноса, то уточните условия и порядок перечисления продавцу. В некоторых банках с вас потребуют еще и собственные средства, а в некоторых не потребуют. А еще ряд банков может переводить ипотечные средства только после поступления средств маткапа (на это не каждый продавец согласен, плюс можете попасть на штрафы за просрочку, было и такое).

С самой заявкой проблем нет: почти у всех есть электронные анкеты. Заходите на сайт, заполняете анкету, загружаете документы и заявка оформлена. От 15 минут до часа, в зависимости от навыков, UX сайта и интернета. Но есть банки, где все до сих пор на бумаге, но и это в данном вопросе не проблема.

ШАГ 5: ПОЛУЧАЕМ РЕШЕНИЕ БАНКА

На это уходит от 5 минут до 3 дней. Получили положительное решение по заявке? Отлично, можете искать квартиру под бюджет. Когда найдете, останется отправить в банк договор, документы по объекту и отчет об оценке.

Получили отказ? По крайней мере вы не потеряли время на поиски и деньги, которые внесли в качестве задатка, если бы действовали наоборот. С отказом вопрос можно решить: иногда быстро, иногда нет.

НУ ВОТ И ВСЕ.

Многое (об отказах, особенностях ипотеки в браке, уступках, оформлении документов) сюда писать не стал, ибо и так много. Надеюсь, этот маленький гайд кому-то да будет полезен и ответит на частые вопрос. Если вдруг возникли вопросы по теме, пишите, отвечу с удовольствием.

P.S.: опыт позволяет поделиться советами как по ипотеке, так и по долевке, пишите, что было бы интересно. Всем добра, хорошей работы и такого дохода, что позволяет купить квартиру без пап, мам и кредитов.

Показать полностью