Защита от хакеров корпоративных сетей

Перед обсуждением применения специальных методов «грубой силы» следует кратко пояснить вопросы шифрования паролей. Большинство современных операционных систем в интересах безопасности применяют кэширование паролей. Безопасность систем усиливается в результате того, что пароли никогда не хранятся на сервере в открытом виде. Даже если неавторизованный пользователь получит доступ к списку паролей, то он не сможет немедленно воспользоваться им. Поэтому у администратора всегда будет возможность поменять важные пароли до того, как ими воспользуются в зловредных целях.

Обычно пароли хранятся в формате кэш-величин. После ввода пароля при помощи однонаправленных кэш-функций вычисляется его кэш-величина, например как это реализовано в алгоритме MD5 (Message Digest 5 – дайджест сообщения 5). Вычисленная кэш-величина запоминается. Функции кэширования однонаправлены в том смысле, что по кэш-величине практически невозможно восстановить данные, по которым она была вычислена. Серверу не обязательно знать пароли. Ему достаточно удостовериться, что пользователь знает свой пароль. При установлении подлинности пользователя вычисляется кэш-величина введенного им пароля, которая сравнивается с величиной, хранимой на сервере. При их совпадении подтверждается подлинность пользователя. В противном случае системой попытка подключения отвергается и в журнале регистрации сохраняются необходимые сведения.

Определение паролей методом «грубой силы» обычно сводится к следующему. Крадутся копии имен пользователей и список кэшированных значений паролей. А затем при помощи известной функции кэширования методично вычисляются кэш-величины всевозможных паролей. Пароль считается взломанным при совпадении украденной и вычисленной кэш-величины. Некоторые варианты метода грубой силы предполагают простой перебор всевозможных паролей при попытке подключения через удаленный доступ. Но такие случаи наблюдаются редко из-за предусмотренной в системе блокировки учетной записи и имеющихся в распоряжении системного администратора средств, позволяющих легко определить и отследить подобные попытки (блокировка учетной записи – элемент безопасности Windows NT, блокирующий учетную запись пользователя, если в течение определенного интервала времени было предпринято определенное число неудачных попыток входа в систему). К тому же они слишком медленны.

Правильный выбор пароля уменьшает его шансы оказаться взломанным, но не исключает их совсем. Выбор простых паролей, например осмысленных слов языка, облегчает подбор пароля в результате простой атаки со словарем. В этом типе атак применяются так называемые словарные файлы, в которых хранятся длинные списки слов. Во время атаки в них ищутся слова, совпадающие с паролем. Пароли из букв, цифр и специальных символов более защищены от взлома и требуют применения усовершенствованных методов «грубой силы», в которых предусмотрена проверка всех печатных символов. Их реализация займет значительно больше времени.

Наиболее часто для вскрытия паролей методом «грубой силы» используются программы L0phtcrack для Windows и Crack and John the Ripper для UNIX. Их применяют не только зловредные хакеры. Специалисты в области безопасности считают их полезными при аудите компьютерных систем. Ведь зная, сколько времени потребуется на взлом пароля специалисту в области безопасности, можно приблизительно оценить время, необходимое злоумышленнику для того, чтобы сделать то же самое. Далее будет кратко рассказано о каждой их этих программ. Но помните, что всегда следует получить письменное разрешение системного администратора на их использование до начала применения любой из этих программ.

Программа L0phtcrack

Организация L0pht выпустила в 1997 году программу L0phtCrack – инструментальное средство аудита паролей для Windows NT. В ней реализовано несколько способов восстановления паролей по их кэш-величинам, основанным главным образом на методе «грубой силы». Выбираемый набор символов определяет время и производительность, необходимые для перебора ключевого пространства. Очевидно, что чем больше символов в пароле, тем больше времени уйдет на атаку. Но атаки со словарем, которые для взлома паролей используют слова из базы данных паролей, обычно эффективны и не требуют много времени для вскрытия «слабых» паролей. В таблице 6.1 показана зависимость времени вскрытия паролей программой L0phtcrack 2.5 от выбранного набора символов.

Таблица 6.1.

Время взлома паролей программой L0phtcrack 2.5 в результате атаки методом «грубой силы» на процессоре Quad Xeon 400 МГц

Использовано с разрешения LOpht