Практическая работа 1

Парольные системы защиты

Целью работы является изучение структуры, характеристик, сильных и

слабых сторон парольных систем защиты операционных систем, офисных
пакетов, архиваторов, получение практических навыков по работе с
парольными системами.

Описание работы
Характеристики парольных систем защиты. Парольная система
защиты является «первым рубежом» на пути злоумышленника к защищаемой
информации. Поэтому во многом от стойкости парольной системы защиты
зависит успешность реализации злоумышленником своих замыслов.
Существует множество реализаций парольных систем, в структуре которых
можно выделить несколько наиболее важных компонентов:
− интерфейс пользователя;
− интерфейс администратора;
− база учетных записей пользователей;
− модуль сопряжения с другими подсистемами безопасности.
Несмотря на то, что существуют характерные угрозы, направленные на
каждый из элементов парольной системы защиты, основные злоумышленные
действия направлены на базу учетных записей, т.к. завладев и раскрыв эту
базу, злоумышленник может зарегистрироваться в системе от имени любого
санкционированного пользователя и скрытно выполнить любые действия.
Поэтому информация, хранимая в базе учетных записей, должна быть надежно
защищена.
В большинстве систем пользователи имеют возможность
самостоятельно выбирать пароли или получают их от системных
администраторов. При этом для уменьшения деструктивного влияния
описанного выше человеческого фактора необходимо реализовать ряд
требований к выбору и использованию паролей:
1. Установление минимальной длины пароля.
2. Использование в пароле различных групп символов.
3. Проверка и отбраковка пароля по словарю.
4. Установление максимального срока действия пароля.
5. Ведение журнала истории паролей. Применение эвристического
алгоритма, бракующего пароли на основании данных журнала истории.
6. Ограничение числа попыток ввода пароля.
7. Поддержка режима принудительной смены пароля пользователя.
8. Использование задержки при вводе неправильного пароля.
9. Запрет на выбор пароля самими пользователями и автоматическая
генерация паролей.
10.Принудительная смена пароля при первой регистрации пользователя
в системе.
 Злоумышленник может реализовывать угрозы парольной системы
защиты в двух режимах – интерактивном, т.е. с применением штатных средств
парольной системы (интерфейса пользователя), и неинтерактивном
(например, он может завладеть базой учетных записей и применить программу
для определения паролей в этой базе). Наиболее опасным является
неинтерактивный вариант, т.к. злоумышленник может скрытно и с большой
скоростью «подбирать» пароли.
Для численной оценки параметров парольной системы защиты
используются следующие показатели:
A – мощность алфавита паролей, т. е. то множество знаков, которое
может применяться при вводе пароля.
L – длина пароля (в знаках). Может изменяться для обеспечения
заданной стойкости парольной системы.
S – мощность пространства паролей, т. е. множество всех возможных
паролей в системе.
Мощность пространства паролей связана с мощностью алфавита
паролей и длиной паролей следующим выражением:

S=AL.

V – скорость подбора пароля (соответственно различают скорость

подбора пароля для интерактивного (1-2 паролей / минуту) и не
интерактивного (10 и более паролей / секунду) подбора паролей).
T – срок действия (жизни) пароля (обычно задается в днях).
P – вероятность подбора пароля в течение срока его действия.
Вероятность подбора пароля можно определить следующим образом:

P=V*T/S.

В конкретной ситуации задают некоторые желательные значения для

одних параметров (например, очень маленькое значение вероятности подбора
пароля) и высчитывают остальные параметры.
Очевидно, что с увеличением длины пароля и/или мощности алфавита
паролей вероятность подбора пароля уменьшается. А при увеличении срока
жизни пароля, вероятность его подбора увеличивается.

Пример 1.
Задание: определить время перебора всех паролей, состоящих из 6
цифр.
Решение: алфавит составляют цифры (A=10). Длина пароля 6 символов
(L=6). Таким образом, получаем количество вариантов: S=AL=106 (паролей).
Примем скорость перебора паролей V=10 паролей/секунду. Получаем
время перебора всех паролей T = S / V = 105 секунд  1667минут  28часов 
1,2 дня.
 Примем, что после каждого из m = 3 неправильно введенных паролей
идет пауза в v = 5 секунд. Получаем продолжительность всех пауз при
переборе всех паролей
T пауза = (S * v) / m = (106 * 5) / 3 = 1666667 секунд  27778 минут  463
часа  19,3 дня.
Т итог = T + Tпауза = 1,2 + 19,3 = 20,5 дня
Таким образом, за счет введения пауз при неправильном вводе пароля
мы можем существенно увеличить время интерактивного подбора пароля.

Пример 2.
Определить минимальную длину пароля, алфавит которого состоит из
10 символов, время перебора которого было не меньше 10 лет.
Алфавит составляют символы A = 10.
Длина пароля рассчитывается: L = logA S = lg S.
Определим количество вариантов S = T * V = 10 лет * 10 паролей/сек. =
10 * 365 * 24 * 60 * 60 * 10 3,15 * 109 вариантов.
Таким образом, получаем длину пароля: L=lg (3,15*109) = 9,5.
Очевидно, что длина пароля должна быть не менее 10 символов.

Задание к работе
1. Определить время перебора всех словарных паролей (объем словаря
равен 1 000 000 слов), если скорость перебора составляет 100 паролей/сек.
2. Определить время перебора всех паролей со следующими
параметрами:
- алфавит состоит из A символов;
- длина пароля символов L;
- скорость перебора V паролей в секунду.
После каждого из m неправильно введенных паролей идет пауза в v
секунд.
Вариант A L V m v
1 33 10 100 0 0
2 26 12 13 3 2
3 52 6 30 5 10
4 66 7 20 10 3
5 59 5 200 0 0
6 118 9 50 7 12
7 128 10 500 0 0
8 150 3 200 5 3
9 250 8 600 7 3
10 500 5 1000 10 10

3. Определить минимальную длину пароля, алфавит которого состоит из

A символов, время перебора которого было не меньше T лет. Скорость
перебора V паролей в секунду.
 Вариант A T V
1 33 100 100
2 26 120 13
3 52 60 30
4 66 70 20
5 59 50 200
6 118 90 50
7 128 100 500
8 150 30 200
9 250 80 600
10 500 50 1000

4. Определить количество символов алфавита, пароль состоит из L

символов, время перебора которого было не меньше T лет. Скорость перебора
V паролей в секунду.

Вариант L T V
1 5 100 100
2 6 120 13
3 10 60 30
4 7 70 20
5 9 50 200
6 11 90 50
7 12 100 500
8 6 30 200
9 8 80 600
10 50 50 1000

5. Исследовать парольные системы защиты архиваторов и офисных

программ (Word, Excel, PowerPoint и т.д.).
6. Определить стойкость парольных систем защиты архиваторов и
офисных программ с помощью приложений для взлома пароля (Advanced
Office Password Recovery, Archive Password Recovery и подобных).

Контрольные вопросы
1. Перечислите основные компоненты парольных систем защиты;
2. Перечислите основные численные характеристики парольных систем
защиты и их взаимосвязь между собой;
3. Какова зависимость между вероятностью подбора пароля и мощностью
алфавита паролей при прочих равных характеристиках;
4. Перечислите особенности реализации парольных систем защиты, которые
позволяют увеличить время подбора пароля методом тотального перебора;
5. В чем состоит различие между интерактивным и не интерактивным
способами подбора пароля.