Читать книгу "Камень ломает ножницы. Как перехитрить кого угодно: практическое руководство - Уильям Паундстоун"

Случайно созданный пароль легко преобразовать в бессмысленную фразу. РВМ8т4kа может превратиться в «революций в минуту, 8 тележек для Кати». Я не знаю, что бы это могло значить, но запомнить довольно просто.

Пароль, фраза, мнемокод – какая разница? Пароль со случайным набором символов считается «золотым стандартом» безопасности. Он лучше любого, какой только может придумать человек. И надежность его нисколько не уменьшается оттого, что указанной схемой пользуется весь мир.

При современном уровне техники достаточно длинный пароль из случайно выбранных символов разгадать практически невозможно. Он никогда не появится в списке популярных паролей. Массовая атака позволит взломать случайный пароль только методом прямого перебора. Если использовать прописные и строчные буквы латинского алфавита, а также цифры, то всего получится 62 символа (я не считаю знаки препинания, поскольку не все сайты допускают их применение). Это значит, что нужно сделать 628 попыток, чтобы угадать слово из восьми символов. Получается более 218 триллионов комбинаций.

Это практически исключает массированную атаку через интернет и замедлит прицельную атаку. Если поверить, что криминалистическое программное обеспечение способно проверять 2,8 миллиарда вариантов в секунду, на полный перебор потребуется около 22 часов. Для большинства людей это достаточно надежно – если вам так не кажется, можете добавить еще несколько символов.

Все это вовсе не означает, что случайный пароль неуязвим. Его невозможно угадать, но можно украсть. Один из примеров – мошенничество с клингонским именем. Многие осторожные люди попадаются на эту уловку. Существует высокотехнологичные вирусы, запоминающие все ваши нажатия на клавиши, а также чрезмерно любопытные люди, заглядывающие вам через плечо, когда вы печатаете. Хакеры могут использовать недостатки внутренней безопасности сайта, чтобы получить доступ к паролям.

Я сторонник философии «одного надежного пароля». С учетом того, какое важное значение приобрели пароли в нашей жизни, есть смысл запомнить один, но состоящий из случайных символов. Вы же помните свой номер телефона?

Получив надежный пароль, «сделайте все возможное, чтобы его защитить», – призывает специалист по компьютерной безопасности Ник Берри. Постарайтесь защитить свой компьютер от вирусов и используйте данный пароль только на сайтах, которые для вас важны и которым вы доверяете. Для игр и сайтов, не имеющих особого значения, я использую более простые пароли, их надежность несравнима с главным.

Способов кражи пароля так много, что вполне разумно использовать для каждого сайта свой пароль. Один из методов адаптации пароля под конкретный сайт – взять последнюю букву названия сайта и поставить ее в начало обычного пароля. Например, для Facebook вы добавляете букву k к стандартному случайному паролю, в результате чего получается kРВМ8т 4ка. Такая адаптация не обеспечивает абсолютную безопасность, но ее может оказаться достаточно. Любопытный коллега или родственник, видящий, как вы вводите kРВМ8т 4ка, чтобы открыть страничку в Facebook, не догадается, какой пароль вы используете для доступа к банковскому счету. Организатор массированной атаки соберет тысячи паролей и обнаружит, что значительная часть из них безо всяких изменений работает на других сайтах. Возможно, он не обратит внимания на остальные.

В моем надежном пароле нет знаков препинания или символов, не входящих в кодировку ASCII. В редких случаях, когда сайт требует такие символы, я добавляю один из них, легко запоминающийся, в конец пароля.

Некоторые похитители персональных данных вообще не взламывают пароли, а притворяются пользователем, забывшим пароль, и отвечают на контрольные вопросы. Угадав ответ, они получают возможность сменить пароль по собственному усмотрению. Такой мошенник не только получает доступ к персональным данным, которые можно продать, но и перекрывает законному пользователю доступ к учетной записи.

В 2008 г. кто-то взломал учетную запись Сары Пейлин, угадав, где она познакомилась со своим мужем (Уасилла Хай). Четыре года спустя учетные записи Митта Ромни взломал неизвестный хакер, угадав кличку домашнего питомца. Беспокоиться нужно не только публичным людям. Любой ваш хороший знакомый способен отгадать ответы на многие контрольные вопросы. Хакеры, которые совсем вас не знают, могут использовать списки самых популярных кличек животных, марок автомобилей, названий команд и так далее.

В последнее время часто упоминается такая стратегия противодействия угадыванию, как бессмысленные ответы. Идея состоит в том, что нужно отвечать на каждый контрольный вопрос на «поросячьей латыни» [14]или давать на все вопросы один и тот же бессмысленный ответ. Например, девичья фамилия вашей матери – Джимбоб. Животное-талисман, приносящее удачу – Джимбоб.

Вероятно, какое-то время такая стратегия будет эффективна. Но только до тех пор, пока ее не используют многие. Бессмысленные ответы так же шаблонны, как все остальные.

Я всегда отвечаю правду. Контрольные вопросы встречаются не так часто. Если по прошествии многих лет вам придется подтверждать свою личность, то вряд ли вам захочется оказаться в ситуации, когда вы не помните собственных ответов. Многие сайты предлагают самому выбрать контрольные вопросы. Я выбираю те, честные ответы на которые нетипичны: их нелегко угадать.

Личный идентификационный номер (PIN) – простой замок на нашем персональном банкомате. Никто не прилагает особых усилий, чтобы придумать надежный PIN. Большинство банкоматов все равно ограничивают их четырьмя десятичными цифрами. Я уверен, что вы способны угадать самый распространенный номер. А сможете сказать, сколько людей его используют?

По оценке Ника Берри 11 процентов людей выбирают код 1234. Массовые взломы PIN случаются не часто. Хакерам это не интересно, поскольку без самой банковской карты код бесполезен. Поэтому Берри взял список опубликованных PIN и отфильтровал их, так что остались только четырехзначные номера, без букв. Он выяснил, что у человека, использующего 1967 в качестве пароля, с этим числом связаны какие-то особые ассоциации, и он с большой вероятностью воспользуется им, если понадобится придумать PIN из четырех цифр.

Вторым по популярности в списке Берри был код 1111 (его выбрали около 6 процентов), а третьим 0000 (почти 2 процента). На практике это означает, что хорошо информированный мошенник, нашедший вашу банковскую карту, может за три попытки угадать ваш PIN с вероятностью 19 процентов. После трех неудачных попыток банкомат обычно проглатывает карту.

Вот двадцать наиболее распространенных PIN из списка Берри:

1234 9999

1111 3333

0000 5555

1212 6666

7777 1122

1004 1313

2000 8888

4444 4321

2222 2001