Blog

Érzékeny adatok védelme II. - Jelszavak, jelszómenedzsment

2007.10.02. 21:20:18, Gulyás Gábor

Cikksorozatunknak ezen részében a jelszóválasztással fogunk foglalkozni. A jelszavaink, ahogy szokták mondani, legyenek olyanok, mint a fogkefénk: cseréljük sűrűn és ne adjuk kölcsön senkinek. Ez valóban egy fontos alapelv, de még kevés. A jelszónak önmagában erősnek kell lennie, hogy a tapasztalt szakembereknek is nehezére essen megszerezni.

A jó jelszó főbb ismérvei

A jelszavakra jellemző például, hogy az ember valamilyen személyes dátumot, esetleg egy fontosabb nevet használ fel benne. Emellett sokszor előfordul, hogy értelmes szavakat, vagy azok kombinációját alkalmazzuk. A jelszótömegek ezen tulajdonságainak köszönhetően a legtöbb feltöréséhez a szótár alapú módszer elegendő. Ezen módszer esetében a szótár szavait csak meg kell próbálni néhány módosítással, és a próbálkozásokat hamar siker koronázza. Éppen ezért célszerű olyan jelszót választani, amely ellenáll a szótár alapú támadásoknak.

Ennek a kritériumnak megfelelő jelszó kiszámíthatatlan karaktereket tartalmaz, azaz megfelelően véletlenszerű. A véletlenszerűség jó, hogy ha nem csak az egymást követő karakterek változatosságában mutatkozik meg. Ugyanis az ilyen véletlenszerű jelszavaknál, ha brute force (~ nyers erő) módszerrel próbálják feltörni azokat, akkor csupán végigpróbálgatják az összes lehetséges kombinációt. Így, ha kis és nagybetűket is alkalmazunk, jelentősen meg tudjuk növelni a lehetséges kombinációk számát. Hogy még tovább növeljük a lehetőségeket, célszerű számokat és szimbólum karaktereket is alkalmazni, mint például az aláhúzás karakter (ez: _), kettőspont, pont, dollárjel, kötőjel, stb. Így az ún. jelszótér elég nagy lesz, és ha a jelszó elég hosszú, az efféle végigpróbálgatásos módszerrel kelleően sokáig fog tartani a visszafejtése.

Az elfogadhatónak minősíthető jelszó legalább nyolc karakter hosszú, és valamennyi karakterosztályból tartalmaz legalább egyet. Mint például:

tU!*r7LU4J"9S?U"P&C7

Amelyre egy jelszógenerátor program azt mondja, hogy 115 bit erősségű. Ez lényegében azt jelenti, hogy ha valaki az összes kombinációt végig akarná próbálni, az körülbelül 2115 próbálkozásába fog kerülni. Ez elég sok időt fog elvinni a támadó életéből. Néhány adat csupán érzékeltetésképpen:

  • A föld 255 másodperc életű.
  • Az univerzum kora 259 másdperc.
  • A föld 2170 atomot tartalmaz.
Ugye, hogy elég erősnek tűnik? Persze elég nagy szerencsével hamarabb is kitalálhatja, de ez nem tűl valószínű. Inkább keresni fog egy másik módot, hogy megszerezze, vagy megkerülje az azonosítást.

Hová is tettem a sárga cetlim?

Sok helyen a monitor szélére ragasztgatják a jelszavukat, de közkedvelt hely még a billentyűzet aljára ragasztani a nagy titkokat, vagy az asztallap nem látható oldalára. A szaknyelv ezt hívja "security through obscurity" -nak. Amikor a biztonságot arra alapozzuk, hogy a jelszavunkat megtalálni óhajtó fél bizonyos tudás hiányában nem lesz képes kitalálni. Sajnos az efféle módszerek elég közismertek, és egy szakember hamar megtalálja az efféle titkos helyekre dugott jelszavakat.

A jó jelszavakat is meg kell jegyeznünk. Persze - ahogy azt a történelem is már számtalanszor igazolta - ez nem lehetséges. No meg ugye célszerű valamennyi szolgáltatáshoz más-más jelszót használni, amit fejben tartani aztán végképp nem lehetséges. Főleg, hogy a korábban használt jelszavakat újra felhasználni szintén nem tanácsolt.

Mit lehet ilyenkor tenni? Jelszómenedzsert kell alkalmazni. Persze ezt is ellophatják, feltörhetik, lemásolhatják. Ezért cikksorozatunk további részeiben megnézünk és kipróbálunk néhány ingyenes, bárki számára elérhető megoldást, amelyet nyugodt szívvel javasolunk az Olvasóknak.

Nem rég hallottam a szivárványtáblákról. Veszélyben van a jelszavam?

A jelszavakat minden rendszerben tárolni kellene, ha a felhasználók ezzel azonosítják magukat. Viszont az ellen is védekezni kell, hogy ha lemásolják a jelszavakat, akkor ne kerüljenek rögtön a rosszindulatú fél birtokába. Ezért szokták a legtöbb esetben csupán a jelszavak lenyomatait tárolni; ezeket a lenyomatkészítési módszereket úgy alakították ki, hogy a lenyomatokat a jelszó ismeretében bármikor elő tudjuk állítani, de a lenyomatból a jelszó ne lehessen előállítható.

A szivárványtáblás módszer egy bizonyos lenyomat-típus ellen nyújt támadást, amely csak a Windows felhasználók jelszavait érinti, mivel az ún. NTHASH lenyomatokat leginkább ott alkalmazzák, más rendszerekben pedig jellemzően teljesen más algoritmusokat. Az Index írt egy jó cikket erről a témáról.

Zárszó: a jelszólopás néhány módszeréről

Az erős jelszavak mellett a legfontosabb, amit tudnunk kell: ha valakinek kell a jelszavunk, valószínűleg több másodlagos csatornát is megpróbál majd felhasználni erre a célra. A biztonság területére ez egyébként általánosságban is jellemző: a legtöbbször a kerülők és kiskapuk sokkal nagyobb sikert hoznak, mint a technikai jellegű támadások.

Ezt tartsuk észben, amikor valaki a jelszavunk iránt érdeklődik, például e-mailben. Az ún. phishing legtöbbször álcázott e-mailekket, vagy más formában kézbesített (például azonnali üzenetküldő szolgáltatáson keresztül) üzenetekkel próbálja egy valós szolgáltatáséhoz hasonló oldalra terelni a felhasználót, hogy megszerezze a jelszavát.

Vállalati környezetben ehhez hasonló, de nem tömeges mértékben alkalmazott módszer az ún. social engineering, amikor egy cégen kívüli támadó szeretne belsős jelszavakat megszerezni, és ezért másnak adja ki magát - akár személyesen, akár telefonon. Hasonló veszélyt hordoz, ha például kollégáknak adjuk meg a jelszavainkat: az elbocsátott munkatársak gyakran visszaélnek hozzáféréseikkel. Gondoljunk csak bele, mi van, ha még a mi hozzáférésünk is tudja...

Hozzászólások

Összesen 5 hozzászólás látható.

2009.07.03.

bukovinai [ e-mail | http://nethekk.blogspot.com ] 2009.07.03. 19:10:08
Jelszavakat csak egy helyen kell használni : A csipkártyán vagy az usb kulcsunkon. Ami 5 próba után zárolja az eszközt.
Máshol használt jelszó, szinte mindig törhető. Akármilyen bonyolult is. Elég az ürge mögé állni, vagy kamerával felvenni, mikor begépeli... Vagy keyloggert csempészni a gépére. Vagy....
Autentikációnál PKI-t kéne használni. Valamilyen védett eszközön lévő privát kulccsal. A jelszavakra legjobb úgy gondolni, hogy már fel is van törve. Amit tehát rejteni akarunk, azt ne a jelszavakra bízzuk...
pgp és más pki alapú kódolást használjunk. Én, ha nem muszáj nem bonyolítom túl a jelszót. Más viselkedésformákkal próbálom védeni a védendőt... (Törlés ellen mentéssel, kitudódás ellen lehetőleg kulcsos kódolással) autentikálásra pedig egyáltalán nem használnék jelszót, mert ahol nincs ssl-be vagy más kódolt közegbe csomagolva az infó, akkor nem nehéz lehallgatni és ellopni.
Beékelődés ellen meg a világ legbonyolultabb jelszava sem véd...

2009.05.30.

Földes Ádám Máté 2009.05.30. 13:05:25
Abucewicz Adrienn:
Hozzátenném, hogy mivel szintén sok adatbázis nincs biztosítva sql injection ellen, ezáltal egy kicsit is hozzáértő személy könnyedén lekérdezheti a felhasználó összes adatát (jelszavastul). És mivel az emberek ugyanazt a jelszót használják több helyre is, ezért a veszély többszörös.


Ez olyannyira igaz, hogy ~4 éve az a hír járta, hogy valakik az egyik VIK-es tanszék weboldalát sql beszúrással megnyomva hozzájutottak magas beosztású oktatók neptunos jelszavaihoz (sokan a tanszéki portálon és a Neptunban is ugyanazt használták).

2009.05.23.

cu2pym 2009.05.23. 05:44:57
A "security through obscurity" kifejezést általában arra használják, amikor egy egyébként nem túl biztonságos rendszert úgy akarnak biztonságossá tenni, hogy titokban tartják a felépítését, működési elvét, a használt algoritmust, stb. A valóságban ezek a részletek gyakran ismertek, vagy előbb-utóbb kiderülnek. Ez nem vonatkozik tehát a jelszavakra és kulcsokra, amelyek jellegüknél fogva titkosak kell hogy legyenek.

Gondoljunk csak például a Caesar féle titkosításra, amikor egy szöveg betűi helyett a ABC-ben valamennyivel utána következő betűt írjuk le. Első ránézésre értelmezhetetlen szöveget kapunk, de ha tudjuk az előbbi szabályt, amely szerint előállították, akkor mindössze 26 féle lehetséges ABC eltolást kell végigpróbálnunk az eredeti szöveg elolvasásához.

A mai rendszerek általában nem ilyen biztonságra törekszenek. Működési elvük, sőt néha a megvalósításuk is ismert, például a nyílt forráskódú szoftverek esetében. Biztonságukat annak köszönhetik, hogy egy kulcs vagy jelszó ismerete szükséges a használatukhoz, ebben összpontosul tehát minden titkos információ. Éppen ezért létfontosságú, hogy ezeket valóban úgy kezeljük, hogy senki más ne tudhassa meg.

2009.05.20.

Abucewicz Adrienn [ e-mail ] 2009.05.20. 19:44:04
A jelszavak védelme nagyban függ a webprogramozók/megrendelők hozzáállásától is, mivel a mai napig nagyon sok weblapnál igaz, hogy a felhasználók jelszavait plaintext formátumban tárolják, azaz nem védik titkosítással. Ezáltal hiába talál ki a felhasználó egy bombabiztos jelszót, ha ezt a másik fél nem védi megfelelően. Hozzátenném, hogy mivel szintén sok adatbázis nincs biztosítva sql injection ellen, ezáltal egy kicsit is hozzáértő személy könnyedén lekérdezheti a felhasználó összes adatát (jelszavastul). És mivel az emberek ugyanazt a jelszót használják több helyre is, ezért a veszély többszörös. Így tehát még ha nem is törik fel az oldalt, akkor is egy rendszergazda, vagy weboldalüzemeltető hozzáférhet a jelszavunkhoz, melyet az e-mail címmel együtt több oldalon is végigpróbálgathatnak.

2008.11.07.

petx [ e-mail ] 2008.11.07. 08:58:11
l33t $p34k 3l3663 el0ny0$...

A hozzászóláshoz be kell jelentkezni!

© PET Portál és Blog, 2008-2010 | Impresszum | Adatvédelmi nyilatkozat