1.4.1. Парольная аутентификация

Можно выделить три основные угрозы протоколам парольной аутентификации: разглашение, прослушивание и угадывание пароля. Угрозы могут проявиться при осуществлении трех характерных ви-дов атак на парольные протоколы: при повторе паролей легальных пользователей злоумышленниками, полном переборе паролей и при словарной атаке на протокол.

На практике широко используются два типа протоколов пароль-ной аутентификации: протоколы с фиксированными и с одноразо-выми паролями.

Фиксированные пароли. Этот тип протоколов объединяет те из них, в которых пароль, предъявляемый претендентом системе, не меняется от одного сеанса выполнения протокола к другому. Пароль должен быть запоминаемым для человека (обычно не более 8-12 символов), время действия пароля ограничено разумными предела-ми, пароли должны периодически меняться. Для обеспечения доста-точной стойкости протоколов аутентификации с фиксированными паролями используется ряд приемов:

хранение в компьютерной системе файлов паролей в защищенном режиме (с защитой от чтения-записи);

хранение в системе не самих паролей, а их образов, полученных как результат вычисления однонаправленной функции от паро-ля, взятого в качестве аргумента;

задание правил выбора паролей (минимальное количество сим-волов, недопущение использования осмысленных слов, необхо-димость сочетания букв и цифр и т. п.), имеющих целью макси-мизировать энтропию пароля;

искусственное замедление процесса ввода пароля в систему с целью резкого увеличения времени на перебор паролей; выбор в качестве пароля осмысленного предложения (фразы) с последующим преобразованием посредством хеш-функции в короткое сообщение, которое обычно обладает большей энтро-пией, чем пароль такой же длины, выбираемый человеком;

добавление системой случайной величины к паролю перед обра-боткой его однонаправленной функцией -метод солтинга.

Все перечисленные методы лишь затрудняют или замедляют процесс доступа к паролю, его перебора или случайного угадывания.

Разновидностью фиксированных паролей являются PIN-коды (от английских слов - Personal Identification Number). Это числовые пароли длиной от 4 до 8 десятичных цифр. Чаще всего они исполь-зуются в соединении с методом «обладания чем-либо»: обычно мик-ропроцессорной пластиковой картой или картой с магнитной поло-сой. PIN-код обеспечивает второй уровень защиты на случай, если карта потеряна или украдена. Для защиты от полного перебора такого маленького ключевого пространства необходимы дополнительные меры: организационная и физическая защита. Например, банко-мат может забрать у пользователя пластиковую карту или блокиро-вать ее после нескольких подряд неудачных попыток ввода пароля.