Компания Microsoft опубликовала статистику взлома паролей, собранные с FTP-сервера "приманки", которая показала, что попытки подобрать пароль взломщики начинают с перебора распространенных паролей. Пароли, состоящие из 8 символов, пароли "password" и "123456" являются наиболее популярными.

Полученные данные являются частью проекта по мониторингу кражи паролей, с которыми могут столкнуться постоянные пользователи. Большинство попыток зайти в чужую учетную запись на английских и французских компьютерах было совершено с помощью логинов "Administrator" and "Administrateur" с различными вариантами паролей.

"Необходимо серьезно подходить к выбору своего логина и пароля", говорят исследователи компании Майкрософт. "Если ваша учетная запись не имеет ограничений по количеству попыток залогиниться при введении неправильного пароля, то знание вашего логина наполовину облегчает задачу злоумышленника."


Был случай, когда хакер предпринял более 400 000 попыток угадать комбинацию логина и пароля.

Наиболее распространенными паролями оказались password, 123456, #!comment:, changeme.


Все это говорит только об одном - далеко не все пользователи прислушиваются к рекомендациям специалистов по защите информации и используют простые правила, которые значительно увеличивают шансы на безопасность их данных. Вот эти правила: пароль должен состоять из букв, цифр и специальных символов, чередуя в произвольной последовательности верхний и нижний регистр. Средняя длина пароля, которую используют взломщики - 8 символов, а значит пользователи должны использовать более длинные пароли. Кроме того, нужно использовать разные пароли для разные учетных записей, поскольку, в обратном случае, взломщик, однажды узнав пароль получает доступ ко всем учетным записям и документам этого пользователя.

Как выбрать правильный пароль? Часть 2.

Есть довольно легкий способ придумывать самостоятельно легко запоминаемые и при этом достаточно стойкие пароли. Берем за основу некоторую фразу, это может быть строчка из песни, цитата, поговорка, что угодно, главное чтобы Вы ее не забыли, это будет основой Вашего пароля. На следующем шаге из каждого слова этой фразы берем, к примеру, по 1-3 буквы (в зависимости от длины фразы) от каждого слова и формируем пароль. В результате получается достаточно длинный набор символов, который, тем не менее, легко запомнить и повторить. Например, Вам легко было бы запомнить пароль вмнзнмнпе? Ну а если так: “В многом знании много печали”?

Для еще большего усиления пароля можно разделять буквы символом и/или придумать правило чередования верхнего/нижнего регистра. К сожалению, абсолютно криптостойким такой способ признать нельзя: если злоумышленник знает, что Вы им пользуется, он может воспользоваться этим знанием и вести перебор по распространенным фразам. Но в любом случае, это намного лучше, чем традиционные пароли, выбираемые обычными людьми.

Еще одна распространенная ошибка состоит в том, что многие люди имеют один-два-три любимых пароля, которые используют во всех случаях жизни. Здесь их могут поджидать неприятности. Например, указывая пароль в некоем веб-ресурсе Вы фактически отдаете его владельцу ресурса. В большинстве случаев Вы не знаете кто он, насколько ответственно относится к хранению паролей и как вообще организовано хранение паролей. Наиболее очевидный и часто используемый способ (хотя и небезопасный) – хранение логинов и паролей в базе данных в открытом виде (если веб-ресурс предлагает функцию восстановления забытого пароля, причем, просто спрашивает емэйл и присылает забытый пароль на этот адрес, то имеет место именно этот случай). В этом случае Ваш пароль оказывается доступным как минимум владельцу веб-ресурса, его сотрудникам, сотрудникам компании, предоставляющей услуги хостинга. Кроме того, владелец веб-ресурса может его попросту продать (разумеется вместе с информацией о пользователях и, в частности, Вашим паролем), и у Вас нет никакой гарантии что в конечном счете Ваш пароль не окажется в нечистоплотных руках. При правильном подходе сохраняются не сами пароли пользователей, а некая их производная (хэш), что позволяет проверить валидность введенного пароля, но не позволяет этот пароль заполучить.

Проблема эта весьма актуальна. Помимо веб-ресурсов, использование одного и того же пароля не желательно в и для парольной защиты документов. Например, Вы используете один и тот же пароль для защиты вордовских документов, причем некоторые документы сохранены в старом формате (Word 2003), а некоторые в новом. Поскольку парольная защита в старом формате намного слабее чем в Word 2007, то возможно найти пароль используя старый документ и открыть с его помощью новый документ, хотя сам пароль применительно к новому документу, может быть вполне надежным.

Выход здесь только один – использовать разные пароли для разных ресурсов. К сожалению, будет весьма затруднительным придумывать разный пароль к каждому веб-ресурсу. Полноценный выход из ситуации – использование менеджера паролей, например, Aurora Password Manager, который дает удобный плагин, позволяющий генерировать надежные пароли, а потом автоматически вписывать нужный пароль в форму логина. Вам придется запомнить один единственный мастер-пароль, которым будет защищена база паролей.

Можно так же использовать некое правило для формирования паролей. Например, для задания пароля к веб-ресурсу можно взять первую и последнюю буквы имени домена и добавить к ним свой любимый пароль. Строго говоря, такой способ не является безопасным (особенно если правило достаточно очевидное), но это гораздо лучше, чем повторять везде один и тот же пароль.

В заключении приведу несколько полезных ссылок:


www.LastBit.com/pswcalc.asp - Калькулятор Паролей для оценки времени необходимого для взлом пароля путем перебора символов в зависимости от заданных параметров


www.PasswordTools.com - Password Recovery Software для всех популярных программ.

www.Animabilis.com – удобный многопользовательский менеджер паролей