пароль

Пароль (аббревиатура: PW; английский пароль ) является строка символов, которая используется для контроля доступа.

Делимитация и связанные термины

Термин « пароль » используется с 16 века и пришел из военного сектора. Тогда одного слова было достаточно, чтобы это произошло.

С этим тесно связан пароль , который подчеркивает не передачу, а идентификатор как общий секрет.

Удалось попробовать использовать в качестве компьютерных паролей отдельные слова, поскольку пароль был слишком неопределенным, а в некоторых областях термин « кодовая фраза» или « парольная фраза» использовался для того, чтобы подчеркнуть необходимость использования более длинных паролей.

Редко используются ключевое слово и кодовое слово (также кодовое слово ).

В военной сфере также использовались лозунги , пароли или слоганы (от итальянского la parola «слово»).

Личный идентификационный номер ( PIN - код ) является пароль , который обычно состоит только из цифр .

Области применения

Регистрация в Википедии

Лозунг в армии первоначально слово , используемое в качестве отличительного знака для различения друга и врага в темноте или в случае неизвестных бойцов . Даже сегодня солдаты в ночном дозоре задают вопросы о лозунге на вахте или на маневрах . На протяжении всей истории некоторые осады решались изменой пароля.

В компьютерном мире пароли часто используются вместе с именем пользователя для аутентификации себя в ИТ-системе, например, на веб-сайте. Обычно пользователь может свободно выбирать пароль, при этом рекомендации по паролям часто ограничивают возможные пароли. Некоторые системы также автоматически генерируют пароли.

Пароли используются во многих областях, например, как элемент родительского контроля для предотвращения доступа детей к телевизорам , приемникам или неподходящему программному контенту.

В дополнение к задаче идентификации людей пароли также используются для подтверждения определенных полномочий : любой, кто знает пароль (правильный код), считается авторизованным. Примеры: пароль в армии или код доступа для открытия дверей.

Подлинность тех, кто идентифицирует себя таким образом, сохраняется только до тех пор, пока пароль остается в секрете, то есть он не известен третьим лицам. Связь между паролем и его пользователем должна устанавливаться и проверяться отдельно (например, в банке по почте, которая особо защищена от манипуляций (согласно закону).

Виды использования

Общеизвестный пароль

Самый простой способ - согласовать общий пароль внутри четко определенной группы инициаторов. В IT-технологиях говорят о « общем секрете ». Важным моментом в этом процессе является то, что все партнеры по коммуникации знают один и тот же «правильный» пароль. Недостатком этого метода является то, что в случае выдачи пароля все участвующие стороны должны в равной степени подозреваться в том, что они не использовали пароль конфиденциально. Кроме того, после того, как пароль известен, все партнеры по коммуникации должны согласовать новый пароль.

Личный пароль

Обычный вариант использования паролей состоит в том, что пароль назначается одному человеку, и это лицо хранит пароль в секрете.

Одноразовый пароль

Одноразовые пароли можно использовать только один раз для аутентификации, после чего они недействительны. Таким образом, не будет никакого ущерба, если пароль будет обнаружен во время аутентификации. Традиционно несколько одноразовых паролей устанавливаются заранее и записываются в виде списка, который необходимо надежно хранить. Такие одноразовые пароли используются, например, в качестве номеров транзакций (TAN) в онлайн-банке . Однако они также могут быть сгенерированы незадолго до использования с учетом времени и PIN-кода и могут быть использованы только в течение нескольких минут.

Сохранение паролей

При сохранении паролей с 1975 года считалось, что сам пароль не сохраняется. В идеале пароль в виде открытого текста хранится в голове одного человека.

Вместо этого на основе пароля вычисляется криптографический хэш , который затем сохраняется вместо пароля. Если теперь пароль используется для получения доступа к системе, хэш вычисляется заново для введенного пароля. Доступ предоставляется, если этот хэш совпадает с сохраненным хешем.

Криптографический хеш рассчитывается таким образом, что знание хеша не позволяет пересчитать пароль в реалистичное время. Это означает, что администраторы или, в случае утечки данных, злоумышленники не могут прочитать пароль напрямую. Однако вы все равно можете проверить базу данных известных паролей и их хэшей, чтобы узнать, есть ли там пароль, который вы ищете. Чтобы этого не произошло, при вычислении хэша к паролю добавляется случайное значение, так называемая соль . Это гарантирует, что существует много возможных хэшей для одного пароля (в 1975 году их было 4096, что все еще было довольно небезопасным, в 2020 году - несколько триллионов на триллион), так что злоумышленнику не стоит использовать хеши в поле Для расчета заранее.

Если злоумышленник получает хешированный пароль, он может попытаться систематически ( методом грубой силы ) угадать пароль. Чтобы замедлить это угадывание, используется специальная хеш-функция, которая намеренно требует много вычислительного времени и памяти (функция вывода пароля). В результате массовая проверка паролей становится трудоемкой и менее привлекательной. Это также замедляет законную проверку пароля на реальном сервере, но для большинства систем это не имеет значения. Если проверка пароля занимает менее десятой доли секунды, это признак того, что система устарела.

Факторы безопасности

Безопасность пароля зависит в основном от 2 факторов:

  • Пароль должен оставаться в секрете.
  • Пароль не должен быть легко угадываемым.

конфиденциальность

Пароли аутентификации обеспечивают максимальную безопасность, если они используются только один раз. Каждое повторное использование пароля увеличивает риск раскрытия пароля в случае незашифрованной передачи или шпионажа (например, с помощью кейлоггинга или фишинга ). Поскольку пароли действительны постоянно, полученные таким образом пароли можно использовать повторно, в отличие от номеров транзакций , которые можно использовать только один раз.

Требование регулярной смены паролей исходит из этого соображения. Однако против этого требования говорит то, что людям сложно запоминать совершенно новый пароль каждые 3 месяца. На практике часто бывает, что такие пароли заканчиваются цифрой, которая увеличивается на 1 каждые 3 месяца. Этот метод существенно не повышает безопасность пароля, поскольку ставший известным пароль позволяет делать выводы о будущих паролях.

Передача пароля от пользователя к системе должна быть безопасной, например Б. с использованием зашифрованных каналов для передачи (см. Также TLS ). В результате, если шифрование реализовано надежно и шифрование достаточно надежное, злоумышленнику становится практически невозможно узнать пароль, поскольку вычислительной мощности сегодняшних компьютеров ни в коем случае не достаточно, чтобы взломать современное шифрование в разумных количествах. времени.

Пароли не следует записывать, а в идеале хранить только в голове уполномоченного лица. Для этого необходимо, чтобы пароль можно было легко запомнить. Однако это противоречит тому факту, что посторонние лица не могут узнать пароль путем угадывания. В этой области напряженности руководство по паролям пытается найти прагматичный компромисс.

Пароль нельзя сохранять в виде обычного текста. (См. Сохранение паролей )

энтропия

Надежность пароля напрямую зависит от того, сколько времени потребуется злоумышленнику, чтобы узнать его. Если злоумышленник не может прибегнуть к пыткам , утечке данных или аналогичным атакам по побочным каналам , остается единственный вариант - целенаправленно угадать пароль. Чтобы это угадывание занимало как можно больше времени, пароль должен иметь высокую энтропию . Энтропия пароля - это количество вопросов типа да / нет, которые злоумышленник должен задать один за другим, чтобы сначала сузить пароль и, наконец, угадать его. Поскольку злоумышленник обычно не получает прямого ответа на каждый из этих вопросов типа «да / нет», он должен заранее объединить все вопросы «да / нет». Задав 40 вопросов типа «да / нет», он должен опробовать более 1 триллиона возможных паролей.

Выбор надежных паролей

Видео: Невероятно, но легко запомнить! - Пароли просто объяснены

Рекомендации по длине и сложности

Минимальная длина пароля зависит от того, для чего он используется. Федеральное ведомство по информационной безопасности (BSI) рекомендует использовать пароли, по крайней мере , двенадцать прописные и строчные буквы, а также специальные символы и цифры для онлайнового доступа, в то время как пароли, по крайней мере двадцать символов для доступа WLAN. Это особенно необходимо, если неограниченное количество попыток с разными паролями разрешает доступ и, таким образом, делает возможной атаку («угадывание») с использованием так называемого метода грубой силы . Эта рекомендация отклоняется от пересмотренных в 2017 году правил Национального института стандартов и технологий в отношении использования различных « типов символов» .

В августе 2017 года Национальный институт стандартов и технологий США (NIST) опубликовал новые правила для безопасных паролей. По словам авторов, многие старые правила, такие как верхний и нижний регистр, специальные символы, частая смена паролей, которые были важной рекомендацией в последние годы, не обеспечивали или почти не обеспечивали дополнительной безопасности. В правилах 2017 года, среди прочего, говорится:

  • Пароль, выбранный пользователем, должен состоять не менее чем из 8 символов. Любой более короткий пароль должен быть отклонен в любом случае, поскольку он небезопасен.
  • Не следует использовать такие правила пароля, как «должен содержать хотя бы 1 специальный символ» или «должен содержать цифры, строчные и прописные буквы».
  • Людям сложно запоминать случайные строки, поэтому они предпочитают выбирать простые пароли, которые легко угадать.
  • Максимальную длину пароля не следует ограничивать, если это имеет смысл с точки зрения пользователя. Следовательно, должна быть возможность использовать пароли из 1000 символов. Однако очень длинные пароли, содержащие более миллиона символов, могут быть отклонены.
  • В паролях должны быть разрешены любые символы, в частности умляуты, символы иностранных языков, специальные символы, пробелы.
  • Пароли, включенные в список известных паролей, следует отклонять по уважительной причине.

Небезопасные пароли

Сюда входят самые легкие пароли, то есть слова, которые имеют смысл или использование которых в качестве паролей хорошо задокументировано. Это возможно, если в результате взлома сайта будет раскрыто большое количество паролей. Эти пароли включают не только статические термины, но и предсказуемые образовательные шаблоны. Некоторые примеры:

Примеры Объяснение
Американские горки , хризантема , кипарис Слова из словаря легко угадать
asdf, wsxedc, tzughj Простые струны с клавиатуры
123456 , 54321, 13131 Простые строки цифр
Мартин, Соня Собственные имена - как они часто встречается в словарях, словарь нападение стало возможным
Спаци, Мауси Известные никнеймы, никнеймы и никнеймы
1985 г., 3 июля 1976 г. Годы рождения, дни рождения и т. Д.
Мауси 1976 г., I 3 июля 1976 г. и используя его как приложение к другому термину
Пароль июнь 2020 Типичные методы упрощения смены паролей, такие как: Б. Добавление цифр или сокращений месяцев к фиксированному сроку

Эти так называемые тривиальные пароли можно свести в сравнительно понятные списки, и их легко исследовать. Взломщики паролей также генерируют их частично автоматически в течение многих лет, поэтому они больше не имеют никакого защитного эффекта.

Пароли, которые используются другими поставщиками, где они могут быть переданы или украдены, или предполагаемые модификации, также небезопасны. З. Например, при использовании Wa64h8NR2RKGsQfacebook в Facebook тот, у кого есть доступ к паролям Facebook, может легко догадаться, что Wa64h8NR2RKGsQwikipedia может использоваться в Википедии. То же самое относится к Wa64h8NR2RKGsQ01 и Wa64h8NR2RKGsQ02. Может помочь нисходящая хеш-функция .

Представленные выше шаблоны не делают пароль более безопасным, так как эти шаблоны также известны злоумышленникам. Следовательно, безопасные пароли должны получать свою безопасность из других источников, например, путем выбора достаточного количества различных слов, которые объединяются.

Формулы паролей

С паролями, созданными с использованием формул, пользователи остаются независимыми от внешних поставщиков. В то же время этот принцип обеспечивает сколь угодно высокий уровень безопасности. Пользователь запоминает формулу, которая применяется ко всем паролям, что приводит к различным паролям в связи с переменным фактором. Примерами таких переменных факторов являются, например, адрес в Интернете или название компании. Пользователь запоминает только код шифрования, необходимый для создания пароля, и, таким образом, одновременно получает индивидуальные и безопасные пароли. Важно, чтобы сгенерированный пароль нельзя было использовать для вывода формулы, чтобы пароль, перехваченный на менее защищенной странице, не мог использоваться для вывода пароля других страниц.

Обычно используется постоянный пароль, который хешируется вместе с чем-то особенным для службы . Существуют различные программы, которые делают это автоматически.

пример

Стадия обработки example.tld wikipedia.org
Постоянный пароль Wa64h8NR2RKGsQ Wa64h8NR2RKGsQ
Домен второго уровня beispiel.tld wikipedia.org
Дополненный пароль Wa64h8NR2RKGsQbeispiel.tld Wa64h8NR2RKGsQwikipedia.org
Дополнен пароль в шестнадцатеричном формате 5761363468384e5232524b4773516265
69737069656c2e746c64 		5761363468384e5232524b4773517769
6b6970656469612e6f7267
Добавлен пароль в Base64 V2E2NGg4TlIyUktHc1FiZWlzcGllbC50bGQ= V2E2NGg4TlIyUktHc1F3aWtpcGVkaWEub3Jn
Хешированный пароль в шестнадцатеричном формате 5942b19324253a01c69b04e8165428c4
ee0da5b0f1436f0e8623f388b1b30bd4 		9958e7f183f746e836aab22e9ed82046
46269abae35b2f184d9fb512205193de
Хешированный пароль в Base64 WUKxkyQlOgHGmwToFlQoxO4NpbDxQ28O
hiPziLGzC9Q= 		mVjn8YP3Rug2qrIuntggRkYmmrrjWy8Y
TZ+1EiBRk94=

«Постоянный пароль» одинаков для обоих доменов. Если злоумышленник перехватит этот пароль, он может использовать его непосредственно на другом веб-сайте.

«Дополненный пароль» - это постоянный пароль, дополненный доменом соответствующего веб-сайта. Он различается между веб-сайтами, но в конце пароля вы можете четко увидеть, как он структурирован. Просто заменив часть «example.tld», злоумышленник может легко угадать пароль для других веб-сайтов.

«Дополненный пароль в шестнадцатеричном формате» - это просто другое представление. На первый взгляд это выглядит случайным, но если присмотреться, можно увидеть, что пароли в обоих столбцах начинаются с одинаковых цифр и отличаются только в конце.

«Добавленный пароль в Base64» также является еще одним представлением. Здесь 3 символа обычного текстового пароля всегда преобразуются в 4 символа закодированного пароля блоками. Здесь тоже начало закодированного пароля одинаково с обеих сторон, только конец отличается.

При использовании криптографической хеш-функции (в этом примере SHA-256) пароль настолько перепутан, что по результату невозможно вывести исходный пароль или его части.

Результатом SHA-256 является последовательность битов или байтов. Чтобы представить эту последовательность в текстовой форме, она должна быть закодирована, например, шестнадцатеричными цифрами или Base64 . Шестнадцатеричное представление относительно соответствует исходному, так как отдельные биты все еще можно легко распознать. Представление в Base64 короче, но скрывает отдельные биты, поэтому труднее увидеть, действительно ли данные, закодированные таким образом, перемешаны или кодирование только делает их похожими на это.

Основное различие между закодированным и хешированным вариантами пароля состоит в том, что исходный пароль можно легко вычислить из закодированных вариантов, в то время как это невозможно с хешированными вариантами.

Фраза-пароль

Парольные фразы считаются безопасными и легко запоминающимися . Это означает, что предложения легко запомнить, но злоумышленнику сложно угадать из-за их длины. Преимущество парольных фраз состоит в том, что они состоят из слов, которые можно комбинировать в различных вариациях. С помощью парольных фраз, содержащих знаки препинания и разные буквы верхнего и нижнего регистра, можно выполнить сложные инструкции по паролю, не усложняя их запоминание.

В качестве временного решения для систем, использующих устаревшие правила использования паролей и, следовательно, z. Если, например, вы значительно ограничиваете длину пароля, пароль также можно получить из парольной фразы, например, из первых нескольких букв слов. Таким образом, из парольной фразы « W hen d u v ersuchst m a P assword z u k warm, w earth i ch d i v erhauen» 11-значный пароль WdvmPzkwidv . Эту последовательность букв сложнее угадать, чем 11-значное слово. Злоумышленнику придется попробовать около 44 триллионов паролей, чтобы найти правильный. Однако это значительно меньше, чем для исходного набора паспортов, потому что есть квадриллион возможностей.

Пробуем пароли

В следующей таблице показано максимальное время вычислений, необходимое для атаки методом перебора различных паролей. В этом примере предполагается, что вычислительная мощность составляет 1 миллиард ключей, которые злоумышленник может использовать в секунду. Это примерно соответствует производительности современного стандартного ПК с мощной видеокартой (например, Radeon HD 6770 2011 года выпуска). Базовая формула для расчета максимального количества требуемых попыток выглядит следующим образом: Размер символьного пространства Длина пароля , то есть для буквенно-цифровых паролей (62 символа) с длиной 10, результатом будет максимум 62 10 попыток. Кроме того, в этом примере предполагается, что пароль доступен как хэш MD5 , процедура, которая была устаревшей по состоянию на 2020 год. Следует отметить, что значения в этой таблице являются лишь примером и на практике могут очень существенно отличаться:

Максимальное время вычисления атаки методом перебора со скоростью 1 миллиард ключей в секунду
  Длина пароля
гостиная 4 персонажа 5 персонажей 6 персонажей 7 символов 8 символов 9 персонажей 10 символов 11 персонажей 12 символов
10 [0-9] <1 мс <1 мс 1 мс 10 мс 100 мс 1 секунда 10 секунд 2 минуты 17 минут
26 [а - я] <1 секунда <1 секунда <1 секунда 8 секунд 4 минуты 2 часа 2 дня 42 дня 3 года
52 [AZ; а - я] <1 секунда <1 секунда 20 секунд 17 минут 15 часов 33 дня 5 лет 238 лет 12 400 лет
62 [AZ; а-я; 0-9] <1 секунда <1 секунда 58 секунд 1 час 3 дня 159 дней 27 лет 1649 лет 102000 лет
96 (+ специальные символы) <1 секунда 8 секунд 13 минут 21 часов 84 дня 22 года 2108 лет 202000 лет 19 миллионов лет

Для сравнения - продолжительность словарной атаки на парольную фразу, состоящую из целых слов . Поскольку парольные фразы имеют значительно большую сложность из-за перегибов слов , знаков препинания и различных возможных языков, этот пример используется только для иллюстративного сравнения с обычными паролями. Предполагается, что слова выбираются случайным образом из базового набора из 5000 слов.

Максимальное время вычисления атаки по словарю - 1 миллиард ключей в секунду
  Длина установки
запас слов 2 слова 3 слова 4 слова 5 слов 6 слов 7 слов
5000 слов 2,5 мс 2 минуты > 7 дней 99 лет > 495000 лет 2,48 миллиарда лет

Альтернативы

Вместо того, чтобы вводить пароли вручную, ключи можно также хранить в файле ключей . Для таких приложений, как SSH , в дополнение к аутентификации с паролем также может использоваться метод открытого ключа . Преимущество здесь в том, что удаленная станция не может видеть секретный закрытый ключ . Здесь также закрытый ключ хранится в файле и может быть защищен паролем от несанкционированного чтения.

Контроль доступа также может осуществляться путем идентификации человека с использованием (почти) уникальных личных характеристик, таких как отпечатки пальцев или рисунок радужной оболочки глаза . Однако теперь можно подделать такие функции, поэтому методы биометрической аутентификации не должны использоваться для конфиденциальных данных. Кроме того, в случае биометрических процедур доступ властей или других третьих лиц может быть принудительным.

Другой альтернативой для контроля доступа, вместо требования знания пароля, является требование владения уникальным объектом. Этим объектом, который называется токеном безопасности , может быть, например, чип-карта или специальный USB-накопитель . Жетоны использовались и используются в железнодорожной отрасли, чтобы гарантировать, что только один поезд движется по однопутному маршруту. Чтобы защитить современный токен от неправомерного использования, он часто дополнительно защищается паролем. Затем говорят о двухфакторной аутентификации , поскольку для аутентификации требуются как «владение объектом», так и «знание секрета».

Смотри тоже

веб ссылки

Викисловарь: Пароль  - объяснение значений, происхождение слов, синонимы, переводы

Индивидуальные доказательства

  1. ↑ Пароль в duden.de , дата обращения 17 апреля 2017 г.
  2. ↑ Июнь Ямрих Парсонс: Новые перспективы компьютерных концепций 2018: Всеобъемлющий . Cengage Learning, 2017, ISBN 978-1-337-51636-5 , стр. 462 ( google.com [доступ 28 июля 2021 г.]).
  3. ↑ Рекомендации BSI по выбору пароля
  4. ^ A b Специальная публикация NIST 800-63B: «Руководство по цифровой идентификации, аутентификации и управлению жизненным циклом», PDF. DOI : 10,6028 / NIST.SP.800-63b
  5. ↑ Безопасные пароли: многие обычные правила безопасности бесполезны . heise.de. Проверено 14 августа 2017 года.
  6. ↑ Данные о пароле от Flirtlife.de взломаны . В: Heise онлайн . 22 июня 2006 г.
  7. ↑ Брюс Шнайер : Пароли MySpace не так уж глупы . В: Проводной . 14 декабря 2006 г.
  8. ↑ 10 самых распространенных паролей . В: PC Magazin . 18 апреля 2007 г.
  9. ↑ PwdHash (англ.) Описание проблемы Многократное использование паролей. Проверено 4 января 2014 года.
  10. ↑ Защита паролем с парольной фразой
  11. ↑ а б Лучший пароль - без пароля! - IT Magazine. Достигано 1 ноября 2020 .
  12. ↑ hashcat.net ( памятная записка от 9 октября 2010 г. в Интернет-архиве ). Проверено 23 августа 2011 г.
  13. ↑ Проверка надежности пароля Тора . Проверено 16 августа 2011 г.
  14. ↑ Скорость восстановления пароля . Проверено 13 декабря 2012 г.
  15. ↑ ccc.de
  16. ↑ mashable.com