Tag Archives: passwords

Nedrošas paroles #2009 prologs

Ja tu esi “apgrābstījis” ap 500 000 (skaitlis izdomāts) paroļu hešu, tad tas ne vienmēr nozīmē, ka esi “apgrābstījis” 500 K lietotāju 🙂

Zemāk mēģināšu, no sava skatu punkta, izklāstīt, kā tas tā ir.

Pieņemsim, mums ir M$ pofig lietotājs Jānis.

Ir mums arī paviršs lietotājs Pēteris.

Un ir mums arī lietotāja Anna.

Visi viņi ir piereģistrējušies 10 vienādos brīnumos, kuros pieprasa paroli.

Lietotājs Jānis, būdams kaislīgs antivīrusa programmu fans, izvēlas neko neizvēlēties.

Jānis piereģistrējās 10 resursos ar paroli 1.

Tai pat laikā, paviršais lietotājs Pēteris, M$ sabrīnīts un iebaidīts, piereģistrējās augstāk minētos resursos ar dažādām parolēm:

4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Anna, kā jau parasts lietotājs, lieto drošākās paroles:

10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Un tagad – kā rodas tas 500 K, kas ir gandrīz visi LV interneta lietotāji?

Viss noslēpums slēpjas stulbumā!

Tātad, mums ir 3 (trīs) lietotāji, kas katrs piereģistrējies 10 nevajadzīgos brīnumos, kur pieprasa paroles.

Kopā “iztērētas” 30 paroles.

Zīmējums:

Jāņa paroles – 1

Pētera paroles – 4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Annas paroles – 10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Kā redzams “zīmējumā un grafikos”, dažu un dažas paroles sakrīt.

Sakrīt divas Pētera paroles ar Jāņa parolēm.

Tātad faktiski “paroles” ir tikai 19 gabalas.

Bija labi domāts, ka tās būs 30?

Šajā vietā veidojās pirmais 500 K pārpalikums – “pazūd” 11 paroles.

Paliek – 19.

Nesatraucies, lasītāj, pa 10 gadiem ir izdomātas X metodes, kas nav tik primitīvas, kā es te muldu 😉

Otrs variants

10 Lietotāji un viņu 5 paroles!

A = 12345

B = abc1d

C = a6789

D = defgh

E = i1jhl

F = mn11o

G = ba123

H = prstu

I = vz12a

J = qwert

Nezīmēju grafikus, jo tas būtu jāsaprot, ka “kliedēti viņi ar savam parolēm agri vai vēlu satiksies”.

Nekad nebūs tā, ka visiem un visur būs unikālas paroles, ņemot vērā, ka ir qwerty tastatūra utml.

Rezumē

Līdz ar to, 500 K heši nav 500 K paroles.

Labākajā gadījumā tās ir 316 K.

Labākajā!

Bez tam, daudzi lietotāji veido vairākus paralēlus kontus ar vai bez vienādām parolēm.

Tieši šī iemesla dēļ ir grūti iegūstama populārāko paroļu statistika.

Var mērīt pēc unikālajiem hešiem.
Var mērīt pec visiem hešiem.

Ar 500 K hešu arsenālu ir vieglak piemeklēt vienu konkrētu hešu nekā ar to 1 hešu mocīties atsevišķi.

Par nepielasītām parolēm utml. – citreiz, nākamreiz 😉

Šis bija biedrības “Par drošām parolēm” un Mērkaķkunga izlūkraksts, jo mēs visi taču esam izlūki!

NEdrošas paroles #1

Latviešu nedrošās paroles.

Ievads. Pamparam, ievada nebūs. Kam vajadzēs, tas sapratīs.

Kā var noprast pēc šī bloga dažiem pēdējiem ierakstiem, mums te bija akcija, kuras laikā MD5 hešu nospiedumiem tika pielasīti attiecīgi normālteksti.

Kopumā tika iegūti 11111 (vienpadsmit tūkstoši simtu vienpadsmit) normālteksti (tikai ~87% no 12805). Turpmāk tekstā — paroles.
Varētu jau izkūkot 90% (easy), 95% (supermax), bet 11111 ir pietiekami maģisks skaitlis.

Visas šīs paroles ir uzskatāmas kā nedrošas (jo tika samērā vienkārši piemeklētas). Punkts!

Tad nu te būs tā kripatiņa informācijas.

Nedrošu paroļu analīze

Pēc garuma

1 simbols = 2
2 simboli = 1
3 simboli = 8
4 simboli = 31
5 simboli = 99
6 simboli = 3966
7 simboli = 3097
8 simboli = 2174
9 simboli = 1033
10 simboli = 433
11 simboli = 178
12 simboli = 60
13 simboli = 14
14 simboli = 7
15 simboli = 6
16 simboli = 2

Kopā: 11111.
Vidējais paroles garums: 7.22 simboli.
Vairāk par 16 simboliem netika mēģināts piemeklēt, jo ņestoit.

Secinājumi

Līdz 5 simboli paroles nav pat vērts pieminēt, jo to piemeklēšanas laiks ir minimāls. Tās pat nevar nosaukt par parolēm, bet tikai par paroles butaforiju.

Taču varbūtība sekmīgi piemeklēt paroli, kā redzams, lielāka ir apmēram 6 līdz 9 simbolu garu paroļu robežās.

Kā redzams, iespējams, ne vienmēr ir vērts tērēt datoru resursus piemeklējot 1 – 5 un 11 – x, ja populārākie paroļu garumi ir 6 – 9 simboli paroles garuma robežās. Nu, var ja piemest klāt līdz 10 simboli, bet tas jau prasīs papildus datorresursus.

Kā zināms, jo īsāka parole, jo vieglāk un ātrāk notiek tās piemeklēšana.

(Brute-force (Полный перебор) attack mixalpha-numeric-all:

)

Varbūtības attiecības starp 5 simbolu garu paroli un 6 simbolu paroli ir tik būtiska, ka 6 simbolu garas paroles piemeklēšanas efektivitāte ir acīmredzama.

Piemēram, ja ir izvēle piemeklēt paroli ar simbolu garumu no 1 līdz 10 vai 6 līdz 10, tad varbūtība, ka tiks sekmīgi piemeklēta parole ir par labu otrajam variantam. Laiks, resursi.

Populārākie simboli

a = 7643
s = 6458
i = 5674
e = 4763
r = 3708
n = 3383
1 = 3317
o = 2913
l = 2907
t = 2746
k = 2593
2 = 2492
d = 2223
m = 2211
u = 2158
0 = 1997
9 = 1854
3 = 1772
6 = 1762
8 = 1609
5 = 1584
p = 1489
4 = 1445
7 = 1317
b = 1155
c = 1141
g = 1089
z = 952
v = 932
j = 890
h = 790
x = 575
w = 552
f = 499
y = 408
q = 275

Secinājumi

Līdzīgi ir arī ar simbolu lietojumu.
Ne vienmēr efektīvākais būs pilna mixalpha-numeric-all pilna pārlase, ja daudzi simboli tiek lietoti minimāli vai vispār netiek lietoti.

[abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_+=~`[]{}|\:;”‘<>,.?/]

(1 – 10)

vai

[asiern1oltk2dmu093685p47bcgzvjhxwfyq]

(1 – 10)

?

Kā redzams no grafikiem un skaitļiem, tad iespējams, otrā varianta varbūtības panākumi ir daudz lielāki.

Bet šodien pilnu pārlasi praktiski vairs nelieto neviens lauzējs. Tam ir maskas, tie paši populārakie simboli utml. Nez, kā manā sarakstā gadījās 16 simbolu gara parole, m?
Pačukstēšu — vārdu atkārtošana (piemēram janisjanisjanis).

Tieši šeit, saprašanai, var arī iederēties Monty Hall problem, kas tika pieminēta Mind.toBlog(); blogā. Tas tā par varbūtību.

Pēc simbolu lietojuma, stila, ieradumiem, stereotipiem — nākamajā daļā.

Ieteikumi?
a lietotājam lietot paroli a. Šutka.

http://ru.wikipedia.org/wiki/Brute_force
http://en.wikipedia.org/wiki/Brute_force_attack
http://en.wikipedia.org/wiki/MD5
http://en.wikipedia.org/wiki/Password
http://en.wikipedia.org/wiki/Password_strength