Старший брат следит за тобой. Как защитить себя в цифровом мире. Михаил Райтман

задачи злоумышленника используется такой метод, как «растяжение пароля». Суть его в рекурсивном алгоритме хеширования: раз за разом, десятки тысяч раз вычисляется хеш самого хеша. Количество итераций (вычислений хеша) должно быть таким, чтобы вычисление шло не менее секунды (чем больше, тем дольше взламывать). Для взлома хакеру нужно точно знать количество итераций (иначе получится другой хеш) и ждать не менее секунды после каждой попытки. Таким образом, атака получается очень длительной и поэтому маловероятной – но не невозможной. Чтобы справиться с задержкой, злоумышленнику понадобится более мощный компьютер, чем тот, на котором производилось хеширование[36].

      Но, учитывая, что для ведения атак (перебора паролей) злоумышленники могут привлекать распределенные компьютерные системы любых масштабов (т. е. состоящие из компьютеров, совместно работающих над одной задачей), взлом всегда принципиально возможен; вопрос только в том, сколько времени займет атака. Мощные хакерские инструменты, использующие ресурсы графического процессора типа OclHashCat, позволяют взломать даже длинные пароли, просто для взлома потребуется больше времени.

      ■ Прочие методы. Социальная инженерия, фишинг (использование подложных сайтов и приложений), использование специального аппаратного и программного обеспечения: кейлогеров (программ, которые регистрируют нажатие клавиш и действия мыши), снифферов (программ для перехвата трафика), троянов и т. п.[37] Все эти способы будут описаны далее в книге, в соответствующих главах.

      Обобщая всю информацию, можно выделить несколько основных правил, о которых речь пойдет далее.

      Как выбрать надежный пароль

      Хотя для аутентификации на сайтах и в пользовательских приложениях все чаще применяются биометрические технологии и прочие методы, реализуемые с помощью электронных устройств, а IT-компании призывают к отказу от паролей[38], вопрос надежности паролей не теряет актуальности. Существует программное обеспечение, сайты и электронные девайсы, для доступа к которым требуется старый добрый пароль, и, если он будет достаточно сложным, злоумышленник не сможет его подобрать.

      Для обеспечения надежной парольной защиты нужно запомнить несколько основных правил:

      1. Пароль должен быть относительно длинным и стойким к взлому.

      2. Пароль следует хранить в безопасном месте и защищать от компрометации.

      3. Разные сервисы – разные пароли.

      4. Пароль нужно периодически менять.

      5. Информация для восстановления пароля должна быть сложна и тщательно защищена.

      6. Если поддерживается многофакторная аутентификация – она должна быть включена.

      7. Вынос мусора, или удаление своих следов. Это правило не связано с надежностью паролей, но очень важно.

      КЕЙС В ночь с 4 на 5 мая 2018 г. в Копенгагене злоумышленники взломали компанию Bycyklen, управляющую городской системой велопроката, и стерли все данные,

36

https://habr.com/company/mailru/blog/271245/.

37

https://habr.com/post/118499/.

38

https://xakep.ru/2020/05/08/passwordless-stats/.