20 Случаев пользователь вместо пароля вводит: свое имя, название

своей компании, свои инициалы, год рождения, номер служебного или

домашнего телефона, номер своей автомашины и прочую ерунду. У

ряда пользователей есть особенность набирать в виде пароля

славянское имя на английском регистре. Пользователи, имеющие

хобби, вводят пароли из интересующей их области - названия

вокальных групп, пород собак и спортивные термины. Пользователи

системы всегда будут предлагать пароли, которые легки для

запоминания. Например, если "Белый ветер" - название фирмы

пользователя, то хакер мог бы пробовать WHITE, WIND, WHITEWIND

или WWIND как пароли. Если хакеру известно. что бухгалтер в

"Белом ветре" Иван Углов, то он вводил бы IVAN, VANYA, UGLOV или

Ivanuglov как пароли. При анализе списка пароля наблюдались такие

общеизвестные факты: четверть паролей были женские или мужские

имена, страны, исторические лица, города или блюда (это в Италии)

и лишь каждый двадцатый пароль был такого характера, чтобы его

нелегко было разгадать. Вспомните заводской пароль BIOS фирмы AMI

конечно же AMI, а у Norton Utilites - бесспорно NORTON! Этот

список можно было и продолжать, но боюсь, что побьют

программисты, так как подобные пароли рассчитаны лишь на

неопытных пользователей.

Если ничто не помогает, хакер может воспользоваться 240

стандартными паролями, адаптированными к условиям России.

Обнаружив такое имя, администратор системы должен заставить

пользователя сменить его. Список этих паролей, которых любой

администратор систем должен избегать как СПИДа, дан в приложении.

Теперь сделаем выводы. Охрану коммуникаций обсудим позже, а вот

правила для выбора пароля должны быть следующие:

Пароль должен быть неожиданным, а лучше -

случайным.

Если пароль придумывает пользователь, то

пусть он хотя бы будет длинным - не менее 12

символов.

В больших организациях при уходе служащего

в отпуск не ленитесь блокировать его доступ в

систему до возвращения.

Когда чувствуют хоть малейшую опасность, из-

меняют все пароли, а не только пароли, вовле-

ченные в инцидент.

Убедите пользователей не использовать один и

тот же пароль в нескольких системах одновре-

менно! Хакеры могут коварно воспользоваться

этим.

Заводите пароли призраки, являющиеся запад-

нями для хакеров.

Считается, что алфавитно-цифровой ключ дол-

жен состоять как минимум из 7 знаков, то есть

около 20 бит информации, иначе вскрытие шифра

предельно просто. Класс символов, составляющих

ключ должен быть как можно более представи-

тельным, включая в себя буквы, цифры, знаки пре-

пинания и псевдографику. Так, если в ключ из 6

символов входят только прописные русские буквы,

образующие осмысленное слово, то вряд ли число

ключей будет больше 20000 и перебор прост. Если

же орфографическая правильность и постоянство

регистра не требуется, то, счет допустимых ключей

пойдет уже на миллионы. В принципе, можно ис-

пользовать отрывки из книг, беря каждую третью

букву, начиная с определенного места или комби-

нируя два слова как ГОРОДрапз.

Хорошие результаты дает использование двух типов ключей:

текущего, для входа в систему или шифрования текста, и основного,

для шифрования ключей и паролей. Основной ключ, которым шифруют

ключи, должен быть очень надежен и используется на протяжении

определенного времени - от одного месяца до года. Им шифруют

текущий ключ из 30-40 случайных байт. Текущим ключом шифруют

сообщение и посылают эту шифровку получателю вместе с шифровкой

текущего ключа, сделанной по основному ключу. Такая техника

длительное время употреблялась в отечественной криптографии. Она

также необходима при пересылке и хранении ключей, потому что даже

надежному курьеру или самой защищенной системе вряд ли стоит

доверять открытый текст ключей и паролей. Ключ для шифрования

ключей еще называют главным или master key. Основной ключ в

классических системах шифрования вскрыть из шифровки практически

невозможно, так как в сообщении отсутствует избыточность, которая

является основной помощницей криптоаналитика. Все рассказанное не

снимает вопроса о получении основных ключей - крайне желательно,

чтобы все символы в них были бы независимыми. Ключи лучше всего

получать с помощью той же системы засекречивания случайным

набором с клавиатуры сначала файла ASCII, а затем максимально

длинного ключа. Фрагмент шифровки и будет представлять собой

хороший ключ, если у нее выбросить стандартный заголовок,

специфичный для каждой системы.

Наиболее опасна атака на пароль супервизора. Большинство

сетевиков наслышано о программе, основанной на "дупле" в Novell