Хабрахабр

Необычный дуэт — фразы-пароли и мнемонические изображения

Система требует ваш пароль. Что от вас просит система, когда вы включаете свой компьютер или разблокируете телефон, или вставляете карту в банкомат, или входите на страничку в соц.сети? И чем сложнее пароль, тем сложнее его подобрать, а следовательно тем сложнее злоумышленнику заполучить ваши данные. Этот этап защиты данных, за который отвечаем по большей степени мы сами, встречается сплошь и рядом в наше время. Сегодня мы поговорим об исследовании фраз-паролей. Однако далеко не все пользователи подходят к созданию паролей со всей необходимой серьезностью. Это и многое другое мы и будем сегодня выяснять. Почему фразы-пароли для нас не являются константой, какие варианты таких систем были в прошлом, и как ученые предлагают популяризировать подобный вариант защиты? Поехали.

Предыстория

очень долго были самыми распространенными паролями, но уж точно не самыми сложными. Анекдотичные «дата рождения», «день свадьбы», «имя любимого книжного персонажа» и т.д.

Недавно я пересматривал фильм «Хранители» (2009 год). Небольшое лирическое отступление. Но доступ к компьютеру защищен паролем. Ближе к концу фильма главные герои пробираются в офис злодея, чтобы заполучить информацию. Развернуться и уйти? Что же делать? Нет уж, это ведь только пароль, что может быть проще.

Ремарка: офис этот находится в здании корпорации «Пирамида», а на столе злодея рядом со столь важным ПК стоят книги про Египет, местных богов и фараонов.


Тот самый момент из фильма «Хранители» (2009)

Потом смотрит на те самые книги и видит «Ramesses II». Так вот, герой начинает методом научного тыка подбирать пароль, но безрезультатно. Герои получают информацию, и сюжет движется дальше. Конечно же это и был пароль. Все это киношные условности, однако от этого мое недоумение меньше не становится. А теперь вопрос — неужели главный антагонист картины Адриан Вейдт, считающийся самым умным на планете, не мог придумать пароль посложнее и не оставлять его прямо на своем рабочем столе?

Хотя есть системы входа, которые «заставляют» пользователя создать пароль, соответствующий определенным требованиям: не менее 8 символов, минимум 1 заглавная буква, минимум 1 цифра и прочее. Прискорбно, но факт — у многих людей пароли именно такого уровня сложности. Есть и те пользователи, которые относятся к своим данным куда более серьезно, а потому их пароли могут быть на первый взгляд беспорядочным набором символов. Однако, согласитесь, watson и Watson99 не так уж сильно отличаются. У меня был коллега, чей пароль состоял из 15-20 символов, а набирал он его так, будто хотел сыграть на клавиатуре композицию «В пещере горного короля».

От лирики и забавных примеров перейдем к делу.

Подобные пароли гораздо лучше защищают данные, поскольку усложняют процесс взлома методом подбора, когда взломщик пробует все возможные варианты. Есть пароль «spwaop», запомнить который хоть и сложнее чем дату своего рождения, но не настолько. Допустим, пароль состоит из этих цифр, но в какой последовательности? Для упрощенного примера возьмем три цифры — 123. Всего 6 вариантов, следовательно, подобрать нужный не составит труда. Варианты: 123, 132, 213, 231, 312, 321. Если же добавить одну цифру — 1 2 3 4, то вариантов уже будет 24, что усложняет процесс подбора.

Исследователи выяснили, что распространения сложных паролей тормозится самими пользователями. Однако есть проблема — человеческий фактор. Если тебе важны твои данные, изволь запомнить каких-то 6-8 символов — скажите вы и будете правы. Многие считают, что такие пароли слишком сложны для запоминания. Посему ученые решили разработать методику, которая стала основой системы входа, позволяющую человеку создавать сложные пароли и, самое главное, помогающую этот пароль запомнить. Однако против мнения массы не попрешь.

Их можно счесть пустой тратой времени и ресурсов, однако любое исследование, любой эксперимент или опыт имеют право на существование. Я сам скептически настроен к подобного рода исследованиям. Тем более, отбросив свое неоднозначное отношение к проблеме «лень запомнить пароль», все же любопытно как работает сама система, разработанная исследователями.

До этой разработки было много предшественников, чьи системы фраз-паролей в той или иной степени были реализованы, однако не сыскали популярности среди пользователей ввиду сложности, низкого уровня безопасности, странности процесса создания пароля и т.д.

В словаре системы было 7776 слов, которые формировали фразу-пароль и не все были английские. К примеру, существовала система Diceware (1995 год). Вот пример с официального сайта Diceware: Принцип подбора был основан на использовании пользователем игральных костей.

Вам потребуется кинуть кости 6х5, т.е. Предположим вы хотите фразу-пароль из 6 слов, что мы и рекомендуем для большинства пользователей. Допустим выпали следующие цифры: 30 раз.

1, 6, 6, 6, 5, 1, 5, 6, 5, 3, 5, 6, 3, 2, 2, 3, 5, 6, 1, 6, 6, 5, 2, 2, 4, 6, 4, 3, 2, 6.

Теперь запишите все цифры в группы по 5 бросков:

1 6 6 6 5
1 5 6 5 3
5 6 3 2 2
3 5 6 1 6
6 5 2 2 4
6 4 3 2 6

Сопоставьте полученные 6 номеров с теми, что соответствуют слову в списке, и вы получите:

1 6 6 6 5 cleft
1 5 6 5 3 cam
5 6 3 2 2 synod
3 5 6 1 6 lacy
6 5 2 2 4 yr
6 4 3 2 6 wok

Ваша фраза-пароль: cleft cam synod lacy yr wok

Какие проблемы связаны с таким методом генерации паролей? Вполне очевидно, что мало будет желающих кидать кости, записывать, потом искать и сопоставлять цифры со словами, чтобы просто-напросто создать себе пароль. Второй проблемой были сами слова. Из примера выше вы можете понять, что это не фраза, а просто рандомный набор слов. Как следствие, запомнить подобное можно, но не без усилий. Даже проведенный спустя несколько лет после появления системы Diceware опрос показал, что пользователи оценили ее в 1.71 балла из 5 возможных.

Как говорится, если вам нужен аналог символу «C», то зачем вам для этого слово «counterclockwise», если подойдет и простое «cat». Другое исследование показало, что фразы-пароли легче запомнить не сократив количество слов в них, а сократив сами слова. Имеется ввиду, что пароль из 3 длинных слов и пароль из 6 коротких будут одинаковой степени сложности, но последний запомнить проще.

Несмотря на все недостатки, Diceware все таки приобрела популярность в определенных кругах и используется по сей день.

Главной же задачей исследователей современности является создание системы, которая будет совмещать в себе все достоинства предшественников, но стараться избежать их проблем и недостатков.

Основы системы

Для создания новой системы было решено совместить определенные особенности предшественников:

  • специализированный словарь и шаблон фраз;
  • создание пользователем мнемонической* картинки;
  • маскировка введенных данных.

Мнемоника* — различные методики и приемы для повышения степени запоминаемости той или иной информации.

Для начала был использован словарик VOA Special English Word List, который был создан еще в 1959 году. Он был нацелен на людей, для которых английский не является родным языком.

Однако давать возможность бесконечно генерировать фразы значит понижать степень защищенности. Простота слов не гарантирует, что пользователю эти слова понравятся. Потому программа просто дает пользователю 4 случайные фразы, из которых он может выбрать одну, что ему по душе.


Изображение №1: программа выдает пользователю фразу, первые буквы каждого слова соответствуют символам в пароле пользователя.

Дабы быть уверенными в том, что пользователь полностью понимает значения слова в фразе-пароле, при наведении на него выдается толкование. Еще одним небольшим, но полезным внедрением стал толковый словарь.

Пользователь, основываясь на полученной им фразе-пароле, мог создать рисунок, который должен помочь ему запомнить пароль. Самым необычным, но весьма эффективным с точки зрения мнемоники, стало внедрение простейшего графического редактора. Однако любой процесс визуализации, особенно если визуализированный эквивалент фразы создается самим пользователем, позволят лучше запомнить пароль. Весьма нестандартно, согласен.

Согласитесь, если вам показать только картинку, то сам пароль вы вряд ли сможете воссоздать.
Изображение №2: графическое представление фразы-пароль. Это возможно только для того, кто знает пароль.


Изображение №3: маскировка пароля.

Самым распространенным способом являются «*» (астериски), которые появляются в поле ввода пароля вместо самих символов. Маскировка пароля необходима в первую очередь как защита от случайных свидетелей, которые могли увидеть как вы создаете пароль. Как видно из изображения №3 есть список паролей, только один из них верный, а остальные — фальшивки. В данном же исследовании в систему внедрили другой вариант маскировки, работающий по принципу «спрятать на видном месте». Такой метод, как показала статистика, ничем не хуже стандартного маскирования астерисками (****).

Пароли-фальшивки составляются из слов списка, которые не применяли в настоящем пароле. При этом есть небольшая особенность. Возникает вопрос — а если пользователь просто ошибся? Когда злоумышленник пытается наугад ввести пароль, система распознает попытку ввода «фальшивки» и блокируется, передавая логи и предупреждение о попытке взлома полноправному пользователю. К сожалению, более точных и аргументированных пояснений от исследователей нет. Дело в том, что ошибка ввода пароля и попытка ввести подставной пароль крайне маловероятно совпадут. Но это лишь мое предположение. Возможно система не блокируется при вводе начальных символов подставного пароля, а только при вводе всего пароля.

Поскольку словарь не особо большой, подобные исправления выполняются точно и не приводят к возникновению неточностей при вводе фразы-пароля. Также исследователи добавили в систему исправление ошибок. При этом скрипт исправления ошибок работает и с настоящим паролем, и с подставными, что позволяет сохранить уровень безопасности системы.

Требования к системе

Для повышения степени безопасности достаточно применить технику расширения ключа, когда оригинальный слабый пароль прогоняется через алгоритм, делающий размер пароля слишком большим для брутфорса (полного перебора вариантов). Степень сложности системы была установлена как 40 битов энтропии.

Информационная энтропия* — мера неопределенности или непредсказуемости систем.

Система фраз-паролей имеет 4 варианта. Ниже представлены скриншоты и описание каждого их них.

Вариант I:

Других требований нет. Фраза, сгенерированная пользователем, должна состоять минимум из 24 символов (с учетом пробелов). Мнемоника не используется, а маскирование пароля стандартное (******).

5 бита + 4 символа х 1 бит = 40. 24 символа = 1 символ х 4 бита + 7 символов х 2 бита + 12 символов х 1. 0 бит энтропии.

Вариант II:

Суммарное число слов 10326. Фраза генерируется системой и состоит из 3 слов, выбранных случайным образом из нескольких списков (Diceware8k, Beale’s alternate list и 1Password expanded English Diceware list). Мнемоника не используется, а маскирование пароля стандартное (******).

0 бит энтропии. 3 слова х log210326 вариантов слов = 40.

Вариант III:

В качестве базы слов использован Special English list, 1450 слов. Фраза выбирается из четырех предложенных системой вариантов, каждый из которых состоит из 4 слов. Есть возможность создавать мнемонические изображения в редакторе, которые показываются во время входа. Применено толкование слов. А маскирование пароля осуществляется методом фальшивок. Включено исправление ошибок.

0 бит энтропии. 4 слова х log21450 вариантов слов — log24 варианта фраз = 40.

Вариант IV:

Есть возможность создавать мнемонические изображения в редакторе, которые показываются во время входа. Фраза генерируется системой и состоит из 6 слов. А маскирование пароля осуществляется методом фальшивок. Включено исправление ошибок.

0 бит энтропии. log2(151 х 151 х 155 х 61 х 78 х 66) возможных комбинаций = 40.

Теперь необходимо ее проверить на практике. Итак, система теоретически готова.

Практические испытания

Для проведение испытания исследователи собрали группу людей — 52 человека (28 мужчин и 24 женщины), чей возраст варьировался от 20 до 61.

4 варианта системы были распределены между участниками посредством латинского квадрата*.

Латинский квадрат* — таблица, заполненная элементами множества так, что в каждом ряду и столбце элементы не повторяются.

После короткого ознакомления с целью исследования каждый из участников должен был в течение 5 минут создать фразу-пароль и мнемоническое изображение. После этого участник заполнял анкеты NASA-TLX и SUS.

<b>NASA-TLX</b> - NASA Task Load Index. (Пример анкеты)

<b>SUS</b> - System usability scale. (Пример анкеты)

Следующим этапом было использование созданных фраз-паролей. Участники должны были войти в 4 аккаунта (4 варианта системы входа), созданных ими ранее. Число попыток было ограничено пятью. После каждого входа участники опят заполняли анкеты NASA-TLX и SUS. Также они должны были оценить степень безопасности и общее качество того или иного варианта системы входа.

Спустя неделю участники, которым было запрещено записывать пароли, вернулись для повторного прохождения этапа с входом в аккаунты.

Им было разрешено подсмотреть друг за другом в процессе создания мнемонической картинки для фразы-пароля. Также участники вошли в роль подглядывающих. После чего они должны были попытаться угадать саму фразу-пароль.

Результаты испытаний и подведение итогов

82% испытуемых успешно справились с этапом повторного входа в аккаунты на базе Special English. Анализ результатов испытаний показал, что последние два варианта системы входа были самыми эффективными. Для Diceware10k показатель еще хуже — всего 34%. Для сравнения: лишь 50% прошли этот же этап успешно, когда использовалась система, где пользователь сам создавал фразы-пароли. Такой значительный скачок эффективности новых систем связан с использованием исправления опечаток и маскированием методом фальшивок.

Как мы видим, именно Special English и фразы-пароли как целостные предложения показали наилучший результат. На графике выше видно, как изменялись показатели эффективности той или иной системы: светло-синий — первый вход в систему после создания аккаунта, темно-синий — второй вход в аккаунт.

Исследователи утверждают, что намеренно завысили степень сложности выполнения заданий для испытуемых, тогда как в реальности все было бы проще. Однако показатель 82% это не предел мечтаний для нашего времени, учитывая что речь идет о системах, направленных на защиту данных. Записывать созданные пароли нельзя было, да и не нужно, поскольку испытуемые получали вознаграждение (подарочная карта на $20) не за лучший результат, а за само участие. Во-первых, испытуемым необходимо было создать 4 фразы-пароля подряд и запомнить их, с или без мнемонической помощи. Можно было конечно запереть всех участников в стеклянных комнатах без доступа к внешнему миру, а потом, спустя неделю, проверить как хорошо система помогает им вспомнить свои пароли. Согласен, что подобные меры не столь четкие и не могут гарантировать того, что кто-то из участников испытания не будет заучивать свои пароли лишь для того, чтобы показать наилучший результат. Но, естественно, это было бы не очень гуманно, даже ради чистоты эксперимента.

Настолько они уверены в своем детище. В любом случае ученые собираются провести в будущем испытания с учетом вышеописанных факторов погрешностей дабы подтвердить, что их «лабораторные» результаты только возрастут в реальных условиях.

Как и ожидалось, сокрытие пароля астерисками и использование фраз-фальшивок были одинаково эффективной мерой защиты от «посторонних глаз». Касательно «шпионажа» результаты всех вариантов систем не сильно отличались.

В среднем на взлом фразы-пароля ушло 224 попытки подбора, а это примерно на 1000 попыток меньше, чем у других вариантов системы. Измерения степени защищенности от машинного взлома показали, что хуже всех с этой задачей справляется система с пользовательскими фразами-паролями. А показатель энтропии, как сложности пароля, был на 10 бит меньше, чем у других вариантов.

В данном случае отстающий в предыдущих показателях вариант пользовательских фраз-паролей и Diceware10k оказались наиболее защищенными. Анализ защищенности от взломщиков (людей, а не программ) показал неожиданный результат. Картинки, созданные пользователями для улучшения запоминаемости пароля, помогали взломщикам подобрать нужный пароль и, как следствие, совершить несанкционированный вход в аккаунт. Тут всплывает негативная составляющая мнемонического помощника. 4 до . Однако коэффициент уязвимости был не так велик (от . Другими словами, если злоумышленник подсмотрит процесс создания пароля, защищенного при этом астерисками, ему будет гораздо проще взломать аккаунт, нежели если он будет отталкиваться только от мнемонического изображения. 6).

Самым лучшим стал вариант с логическими предложениями. Данный график показывает как испытуемые оценили 4 варианта системы входа. Это весьма примечательно, ведь можно было предположить, что создание фразы по своему вкусу должно увеличить степень запоминания, если можно так выразиться. Худшим же оказался вариант, когда сами испытуемые создавали свои фразы. Ожидалась совершенно противоположная оценка, ибо по статистическим данным, собранным ранее, большинство респондентов считало генерацию пароля самой системой чем-то сложным и раздражающим. Однако указания системы, в данном случае фразы ею сгенерированные, запомнились лучше. Исследователи считают, что их система смогла избежать подобных эпитетов благодаря мнемоническому помощнику и скрипту исправления орфографических ошибок.

Для более подробного ознакомления с деталями исследования рекомендую почитать доклад ученых.

Эпилог

По их словам, это связано по большей степени с технической реализацией подобных систем. Несмотря на все попытки разных групп исследователей и разработчиков, массовое внедрение фраз-паролей пока не намечается. Другими словами, многие пользователи продолжают создавать простые пароли и фразы-пароли страдают от этой тенденции не меньше. Они предполагают, что давать пользователю возможность самостоятельно создавать фразу-пароль значит жертвовать безопасностью, поскольку человеческий фактор сильно влияет на подбор слов и саму фразу в целом. Необходимо разрабатывать не только новые методики увеличения степени безопасности паролей, меняя их форму, внедряя новые условия для их создания и прочее, но и помогать пользователю этот пароль удержать у себя в голове. Если же система генерирует фразу-пароль и на этом ее взаимосвязь с пользователем на этапе создания защиты окончена, подобное также вызовет отрицание у большинства людей. С нее сняли все сбережения только потому, что он написал на ней свой пин-код. Утрированный пример: однажды в новостях был сюжет про неудачливого мужчину, чью кредитку украли. Да, запомнить 4 цифры и предложение из 6 слов это абсолютно разные вещи, но с общим началом.

Я лично рассматриваю его через призму людей с проблемной памятью, о чем, что удивительно, исследователи не упоминают в своей работе. Возможно вышеописанное исследование покажется вам абсурдным или просто неуместным, однако и оно имеет право на существование. Именно потому я считаю, что мнемонический помощник системы входа это, хоть и не верх желаемого, но тоже весьма интересный и даже забавный метод. Ведь многие люди страдают расстройством памяти, и некие методики для сохранения и воссоздания информации, сокрытой у них в сознании, должны быть.

Вам нравятся наши статьи? Спасибо, что остаётесь с нами. Поддержите нас оформив заказ или порекомендовав знакомым, 30% скидка для пользователей Хабра на уникальный аналог entry-level серверов, который был придуман нами для Вас: Вся правда о VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps от $20 или как правильно делить сервер? Хотите видеть больше интересных материалов? (доступны варианты с RAID1 и RAID10, до 24 ядер и до 40GB DDR4).

3 месяца бесплатно при оплате новых Dell R630 на срок от полугода — 2 х Intel Deca-Core Xeon E5-2630 v4 / 128GB DDR4 / 4х1TB HDD или 2х240GB SSD / 1Gbps 10 TB — от $99,33 месяц, только до конца августа, заказать можно тут.

класса c применением серверов Dell R730xd Е5-2650 v4 стоимостью 9000 евро за копейки? Dell R730xd в 2 раза дешевле? Только у нас 2 х Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 ТВ от $249 в Нидерландах и США! Читайте о том Как построить инфраструктуру корп.

Теги
Показать больше

Похожие статьи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»
Закрыть