Светлые умы из Microsoft изобрели новый способ защиты от взломов и подбора паролей. Оказывается, эффективная защита корпоративных систем и компьютеров сотрудников крупных компаний может осуществляться путем ограничения количества одинаковых паролей внутри системы.
В августе два специалиста по сетевой безопасности — Стюарт Шехтер (Stuart Schechter) и Кормак Херли (Cormac Herley) — представлят свое исследование об этой технике на конференции по безопасности в Вашингтоне.
Как правило, для защиты компьютеров или сервисов от взломов пользователям предлагают придумать сложные пароли: с 14 символами, некоторые из которых должны быть буквами, другие — цифрами, с использованием как прописных, так и заглавных букв. Такие пароли, во-первых, сложно придумать, а ещё сложнее — запомнить, особенно в тех ситуациях, когда пользователи вынуждены регистрироваться в нескольких системах. Хотя, конечно, хакерам такие проблемы безусловно доставляют неудобства и вынуждают попотеть.
В ситуациях, когда система не требует от пользователей изобретения сложных комбинаций, люди используют примитивные пароли — например, большой процент пользователей социальных сетей не волнуется, используя пароль «123456». И, по-хорошему, стремление к простоте можно понять, если оно не доведено до абсурда.
Есть и такой способ защиты от взломов, как блокирование аккаунтов после того, как пользователь вводит пароль неправильно несколько раз подряд. Хакеры, конечно, научились обходить этот метод защиты, подбирая один пароль одновременно сразу к большому количеству (тысячам и миллионам) аккаунтов — попасть в цель таким способом гораздо проще.
Поэтому Microsoft советует: пусть система регистрации сама подсчитывает количество повторяющихся в ней паролей. Например, кто-то, не желающий оригинальничать, может использовать в качестве пароля слово «password», но таких аккаунтов не должны быть тысячи и десятки тысяч. Поэтому дублирование простых паролей должно ограничиваться самой системой. Когда число одинаковых паролей достигло критического — система должна предупретить пользователя, что такой пароль использовать нельзя.Однако такая схема уместна только для сервисов с большим, как минимум в несколько миллионов, количеством пользователей, отмечают эксперты. Да и в продукты Microsoft новые схемы внедряться пока не будут — их предполагается обсудить с другими специалистами по безопасности.