Автор статті

Компанієць Єлизавета, учениця МБОУ ЗОШ №28, 11 класу А

Цілі

Яка історія паролів?

Як паролі захищають дані на комп'ютерах та дисках?

Як хакери зламують паролі?

Як зробити пароль стійкий до зламів?

Гіпотеза

Пароль є найприйнятнішим і тому найчастіше використовуваним засобом встановлення справжності, заснованим на знаннях суб'єктів доступу.

Захист даних за допомогою комп'ютера

Історія паролів

Пароль(фр. parole – слово) – це секретне слово або набір символів, призначений для підтвердження особистості або повноважень. Паролі часто використовуються для захисту від несанкціонованого доступу. У більшості обчислювальних системкомбінація "ім'я користувача - пароль" використовується для посвідчення користувача Паролі використовувалися з найдавніших часів.

Полібій визначає застосування паролів у Стародавньому Римі наступним чином:

Те, яким чином вони забезпечують безпечне проходження вночі виглядає так: з десяти маніпул кожного роду піхоти та кавалерії, що розташоване в нижній частині вулиці, командир вибирає, хто звільняється від несення караульної служби, і він щоночі йде до трибуна, і отримує від нього пароль – дерев'яну табличку зі словом. Він повертається у свою частину, а потім проходить із паролем та табличкою до наступного командувача, який у свою чергу передає табличку наступному.

Для запобігання несанкціонованому доступу до даних, що зберігаються на комп'ютері, використовуються паролі. Комп'ютер дозволяє доступ до своїх ресурсів лише тим користувачам, які зареєстровані та ввели правильний пароль. Кожному конкретному користувачу може бути дозволено доступ лише до певних інформаційним ресурсам. При цьому може здійснюватись реєстрація всіх спроб несанкціонованого доступу.

Захист доступу до комп'ютера.

Захист налаштувань користувача є в операційній системі Windows (при завантаженні системи користувач повинен ввести свій пароль), однак такий захист легко переборний, оскільки користувач може відмовитися від введення пароля. Вхід за паролем може бути встановлений у програмі BIOS Setup , комп'ютер не почне завантаження операційної системиякщо не введено правильний пароль. Подолати такий захист нелегко, більше того, виникнуть серйозні проблеми доступу до даних, якщо користувач забуде пароль.

Захист даних на дисках.

Кожен диск, папка та файл локального комп'ютера, а також комп'ютера, підключеного до локальної мережіможе бути захищений від несанкціонованого доступу. Їх можуть бути певні права доступу (повний, лише читання, по паролю), причому права можуть бути різними для різних користувачів.

Зламування комп'ютерних паролів

Злом пароля є одним з найпоширеніших типів атак на інформаційні системи, що використовують автентифікацію за паролем або парою «ім'я користувача-пароль». Суть атаки зводиться до заволодіння зловмисником паролем користувача, який має право входити до системи. Привабливість атаки для зловмисника полягає в тому, що при успішному отриманні пароля він гарантовано отримує всі права користувача, обліковий запис якого був скомпрометований, а також вхід під існуючим обліковим записом зазвичай викликає менше підозр у системних адміністраторів. Технічно атака може бути реалізована двома способами: багаторазовими спробами прямої автентифікації в системі або аналізом хешів паролів, отриманих іншим способом, наприклад перехопленням трафіку. При цьому можуть бути використані такі підходи:

Прямий перебір.Перебір всіх можливих поєднань, допустимих у паролі символів. Наприклад, нерідко зламується пароль «qwerty», оскільки його дуже легко підібрати за першими клавішами на клавіатурі.

Підбір за словником.Метод заснований на припущенні, що у паролі використовуються існуючі слова будь-якої мови або їх поєднання.

Спосіб соціальної інженерії.Заснований на припущенні, що користувач використовував як пароль особисті відомості, такі як його ім'я або прізвище, дата народження тощо. Напр. Вася Пупкін, 31.12.1999 р.н. нерідко має пароль типу "vp31121999" або "vp991231". Для проведення атаки розроблено безліч інструментів, наприклад John the Ripper.

Критерії стійкості пароля

Виходячи з підходів до проведення атаки, можна сформулювати критерії стійкості пароля до неї. Пароль не повинен бути надто коротким, оскільки це спрощує його злом повним перебором. Найбільш поширена мінімальна довжина – вісім символів. З тієї ж причини не повинен складатися з одних цифр.

Пароль не повинен бути словниковим словом або простим поєднанням, це спрощує його підбір за словником.

Пароль не повинен складатися лише із загальнодоступної інформації про користувача.

Як рекомендація до складання пароля можна назвати використання поєднання слів з цифрами та спеціальними символами (#, $, * і т. д.), використання малопоширених або неіснуючих слів, дотримання мінімальної довжини.

Висновок

Паролі використовуються з перших днів їх створення до цього дня. Вони допомагають нам захищати інформацію від несанкціонованих доступів.

Які вимоги висуваються до організації парольного захисту інформації в освітній установі?

Організаційне та технічне забезпечення процесів використання, зміни та припинення дії паролів, а також контроль роботи з паролями в освітньому закладі доцільно доручити системному адміністратору.

Особисті паролібажано генерувати та розподіляти централізовано. Однак користувачі інформаційної системи можуть вибирати їх самостійно з урахуванням таких вимог:

1. довжина пароля має бути не менше 8 символів;
2. серед символів обов'язково повинні бути присутні літери (у верхньому та нижньому регістрах) та цифри;
3. пароль не повинен містити легко обчислювані поєднання символів (імена, прізвища, відомі назви, жаргонні слова тощо), послідовності символів та знаків, загальноприйняті скорочення, абревіатури, клички домашніх тварин, номери автомобілів, телефонів та інші поєднання літер та знаків, які можна вгадати, ґрунтуючись на інформації про користувача;
4. особистий пароль користувач не має права повідомляти нікому.

Якщо формування особистих паролів користувачів здійснюється централізовано, відповідальність за їх правильність покладається на системного адміністратора освітнього закладу.

За наявності технологічної необхідності використання пароля працівника за його відсутності, рекомендується за першої ж нагоди змінити пароль і передати його на зберігання особі, відповідальній за інформаційну безпеку, у запечатаному конверті. Опечатані конверти з паролями повинні зберігатися у сейфі.

У разі припинення повноважень користувача (звільнення, перехід на іншу роботу тощо) системний адміністраторповинен видалити його обліковий запис відразу після закінчення останнього сеансу роботи з інформаційною системою.

Термінова (позапланова) зміна паролів повинна проводитись у разі припинення повноважень адміністраторів інформаційної системи та інших працівників, яким були надані повноваження щодо управління парольним захистом.

В освітньому закладі рекомендується розробити інструкцію з організації парольного захисту інформації, з якою власники паролів мають бути ознайомлені під розпис. В інструкції необхідно визначити заходи безпеки, дотримання яких дозволить не допустити витоку інформації. Наведемо можливе формулювання.
Забороняється записувати паролі на папері, файлі та інших носіях інформації. Під час введення пароля користувач не повинен вимовляти його вголос.

Забороняється повідомляти іншим користувачам особистий пароль та реєструвати їх у системі під своїм паролем.
Зберігання пароля на паперовому носії допускається лише у сейфі.

Власники паролів повинні бути попереджені про відповідальність за використання паролів, які не відповідають встановленим в установі вимогам, а також за розголошення парольної інформації.

Офіційне джерело

Як здійснюється моніторинг інформаційної безпеки автоматизованих систем, що обробляють персональні дані в освітній установі?Моніторинг працездатності апаратних компонентів автоматизованих систем, що обробляють персональні дані, здійснюється в процесі їх адміністрування та при проведенні робіт з технічного обслуговування обладнання. Найбільш суттєві компоненти системи (сервери, активне мережеве обладнання) повинні контролюватись постійно в рамках роботи адміністраторів відповідних систем.

Моніторинг парольного захисту передбачає: - встановлення строків дії паролів (не більше 3 місяців); періодичну (не рідше 1 разу на місяць) перевірку користувацьких паролів на кількість символів та очевидність з метою виявлення слабких паролів, які легко вгадати або дешифрувати за допомогою спеціалізованих паролів програмних засобів(зломників паролів).

Моніторинг цілісності програмного забезпеченнявключає наступні дії:

1. перевірку контрольних сумі цифрових підписівкаталогів та файлів сертифікованих програмних засобів під час завантаження операційної системи;
2. виявлення дублікатів ідентифікаторів користувачів;
3. відновлення системних файлівадміністраторами систем з резервних копійпри розбіжності контрольних сум.

Попередження та своєчасне виявлення спроб несанкціонованого доступу здійснюється з використанням засобів операційної системи та спеціальних програмних засобів та передбачає:

1. фіксацію невдалих спробвходу до системи у системному журналі;
2. протоколювання роботи мережевих сервісів;
3. виявлення фактів сканування певного діапазону мережевих портів у короткі проміжки часу з метою виявлення мережевих аналізаторів, що вивчають систему та виявляють її вразливості

Моніторинг продуктивності автоматизованих систем, що обробляють персональні дані, проводиться за зверненнями користувачів, під час адміністрування систем та проведення профілактичних робіт для виявлення спроб несанкціонованого доступу, що спричинило суттєве зменшення продуктивності систем.

Системний аудитвиробляється щоквартально та у особливих ситуаціях. Він включає проведення оглядів безпеки, тестування системи, контроль за внесення змін до системного програмного забезпечення.

Офіційне джерело

• Федеральний закон від 27.07.2006 № 152-ФЗ "Про персональні дані" (ред. від 25.07.2011)
• Положення про забезпечення безпеки персональних даних при їх обробці інформаційних системахперсональних даних, утв. постановою Уряду РФ від 17.11.2007 № 781
• Положення про методи та засоби захисту інформації в інформаційних системах персональних даних, утв. наказом ФСТЕК від 05.02.2010 № 58

В сучасному світідедалі більше особистих даних потрапляє до інтернету. У тому числі різні фінансові послуги та додатки. Ці дані повинні бути під надійним захистом.

Захист власних даних забезпечуєте Ви самі, використовуючи різні паролі, від яких залежить безпека різноманітних облікових записів. Отже, як зробити Ваш пароль таким, щоб він легко запам'ятовувався і був важкодоступним для злому?

Поширені помилки

Багато користувачів по всьому світу не приділяють особливої ​​уваги при підборі безпечного пароля, завдяки чому виявляються жертвами інтернет-шахраїв, які з 5-6 спроб зламують їхні облікові записи. Багато років користувачі використовують найпростіші комбінації – 1234567, 12345554321, 1q2w3e4r5t6y: тим самим наражаючи себе на загрозу злому.

Більшість експертів кібер-безпеки відзначають два головні критерії безпечного пароля – складність та довжина. На їхню думку, при створенні пароля потрібно використовувати довгу комбінацію з використанням різних знаків – цифри, літери, символи, розділові знаки.

Як правильно створювати паролі

• Використовуйте більше 8 знаків
• Для кожної облікового записувикористовуйте свій унікальний пароль, тому що при використанні одного і того ж пароля на всіх облікових записах, при зломі одного з них, шахрай зможе також відкрити й інші облікові записи
• Слід періодично змінювати паролі – хоча б раз на 3 місяці. Для цього встановіть автоматичне нагадування, щоб не забути про таку важливу процедуру
• Різноманітність символів у паролі – запорука надійності. Але не використовуйте поширені в Останнім часомзаміни букв на цифри або символи, наприклад, "FOR" на "4".
• Використовуйте весь спектр символів, який має клавіатура

Також не забувайте – паролі потрібно зберігати в місці, до якого доступ є лише у Вас.

Якнайбільше уникайте використовувати у створенні паролів:

• Словникових слів будь-якою мовою
• Повторення або символи, розміщені послідовно один за одним. Наприклад: 1234567, 55555, абвгде і т.п.
• Паролей з використанням особистих даних: ПІБ, дата народження, серійні номеридокументів тощо.

Загалом, ставтеся до створення пароля з серйозністю, тому що від того, що вони захищають, може залежати ваше фінансове благополуччя або репутація.

Вітаю всіх, хто дивиться це відео!
Це не перша моя стаття, але в області навчання користувачів не робити нісенітниці перша.

У даному відео та тексті статті я розповім і покажу, що слід робити а чого не слід, при введенні пароля, або його виборі.

Паролі бувають різні, хтось зберігає їх у голові, хтось записує на папірці, хтось у текстові документи.
Зберігати паролі в голові означає наступне:
паролі будуть:
1. невелика довжина;
2. на різних ресурсах однакові,
а отже якщо ви реєструєтеся на пошті, а потім у чаті, то людина після злому чату отримає доступ до вашої пошти, що не є гуд…

зберігати паролі на папірці, те ж не варіант, хоча він і кращий за перший, але так як навіть від книг на паперових носіяхми йдемо убік,

електронних носіїв інформації, пропоную зберігати паролі в текстовому вигляді.

Цей метод теж має недолік як і плюси.
Недолік: зловмисник, отримавши доступ до вашого файлу з паролями, дізнається всі ресурси і може отримати доступ від вашого імені.

Переваги: ​​отримати дотуп до ресурсів (стороннім складніше), тому що можна створювати складні паролі і не боятися забути їх
Можна покращити даний метод, запам'ятавши 1 складний 10 значний пароль або більше,
і просто використовувати його для розшифровки запароленого архіву з паролями.
Покажу пізніше…

А тепер покажу наскільки складно можливо розшифрувати нормальний пароль.

В даний час придумано багато алгоритмів для шифрування. Найпопулярнішим на мій погляд є MD5 та його модифікації.

Візьмемо для прикладу різні паролі та їх хеші, спробуємо розшифрувати, і наочно подивимося, скільки на це піде часу.

І так, тепер розшифровуватимемо і дивитимемося на час.

спочатку використовуватимемо лише цифри, а потім збільшуватимемо складність…

Частки секунди…
Теж саме…
Те ж саме, але ми знаємо що пароль містить лише цифри, а якби він містив і знаки, то пішло б куди більше часу.
Наступний пароль…
Пароль за цифрами не знайшли… підключимо символи… нижній регістр…
додали 1 символ (не цифру і як це уклало процес)
На досить-таки не слабкій машині, пароль у 8 символів з використанням букв верхнього і нижнього регістру буде розшифровуватися дуже і дуже довго, і це за умови, що МД5 не модифікований.
Жаль не на кожному сайті/сервісі/сервері можна використовувати додаткові символи.

Увага на екран, як вони їх використання ускладнило б процес прямого перебору…
З їх використанням пароль практично не вразливий, якщо, звичайно, для його розшифровки не використовують суперкомп'ютери.

І як обіцяв показую як можна зберігати паролі для доступу до ресурсів знаючи один пароль:

Такий пароль звичайно складно запам'ятати, тому трохи спростимо його… трохи пізніше
w1W4W5a$4PYi

При використанні такого пароля ваші паролі будуть у безпеці.
Можна скоротити як я і говорив до 10 символів… Ну чи так…
Запам'ятати легше, що як і зламати, але не думаю що спеціально ваші паролі будуть зламуватися
Так, і ім'я файлу «Паролі» приверне увагу, тому зміните ім'я на якесь менш помітне…

Ось, власне, і все!

Мережева безпека