1. Programowanie w sieci Zapobiegaj hakowaniu przy użyciu środków zaradczych polegających na łamaniu haseł

Kevin Beaver

Podjęcie pewnych ogólnych środków zaradczych może zapobiec włamaniu się do ważnych haseł. Hasło do jednego systemu zwykle jest równe hasłu do wielu innych systemów, ponieważ wiele osób używa tych samych haseł w każdym używanym systemie. Z tego powodu warto rozważyć poinstruowanie użytkowników o utworzeniu różnych haseł dla różnych systemów, zwłaszcza w systemach, które chronią bardziej wrażliwe informacje.

Jedynym minusem tego jest to, że użytkownicy muszą przechowywać wiele haseł, dlatego może być pokusa, aby je zapisać, co może negować wszelkie korzyści.

Przechowywanie haseł

Jeśli musisz wybierać między słabymi hasłami, które użytkownicy mogą zapamiętać, a silnymi, które użytkownicy muszą zapisać, poproś czytelników o zapisanie haseł i bezpieczne przechowywanie informacji. Przeszkol użytkowników do przechowywania zapisanych haseł w bezpiecznym miejscu - nie na klawiaturze ani w łatwych do złamania zabezpieczonych hasłem plikach komputerowych. Użytkownicy powinni przechowywać zapisane hasło w jednej z następujących lokalizacji:

  • Zamknięta szafka na dokumenty lub sejf biurowy Pełne (całe) szyfrowanie dysku, które może uniemożliwić intruzowi dostęp do systemu operacyjnego i haseł przechowywanych w systemie. Bezpieczne narzędzie do zarządzania hasłami, takie jak LastPass Password Safe, oprogramowanie open source pierwotnie opracowane przez Counterpane

Zasady dotyczące haseł

Jako etyczny haker powinieneś pokazać użytkownikom, jak ważne jest zabezpieczenie ich haseł. Oto kilka wskazówek, jak to zrobić:

  • Zademonstruj, jak tworzyć bezpieczne hasła. Nazywaj je hasłami, ponieważ ludzie często przyjmują hasła dosłownie i używają tylko słów, które mogą być mniej bezpieczne. Pokaż, co może się stać, gdy używane są słabe hasła lub hasła są udostępniane. Starannie buduj świadomość użytkowników na temat ataków socjotechniki.

Egzekwuj (lub przynajmniej zachęcaj do korzystania) silną politykę tworzenia haseł, która obejmuje następujące kryteria:

  • Używaj wielkich i małych liter, znaków specjalnych i cyfr. Nigdy nie używaj tylko cyfr. Takie hasła można szybko złamać. Błędnie wpisuj słowa lub twórz akronimy z cytatu lub zdania. Na przykład ASCII jest akronimem amerykańskiego standardowego kodu wymiany informacji, który może być również używany jako część hasła. Użyj znaków interpunkcyjnych, aby oddzielić słowa lub akronimy. Zmień hasła co 6 do 12 miesięcy lub natychmiast, jeśli podejrzewa się, że zostały naruszone. Coś częstszego wprowadza niedogodność, która służy jedynie tworzeniu większej liczby luk w zabezpieczeniach. Używaj różnych haseł dla każdego systemu. Jest to szczególnie ważne w przypadku hostów infrastruktury sieci, takich jak serwery, zapory ogniowe i routery. Można używać podobnych haseł - po prostu spraw, aby były nieco inne dla każdego typu systemu, takiego jak SummerInTheSouth-Win7 dla systemów Windows i Linux + SummerInTheSouth dla systemów Linux. Używaj haseł o zmiennej długości. Ta sztuczka może zrzucić atakujących, ponieważ nie znają wymaganej minimalnej lub maksymalnej długości haseł i muszą wypróbować wszystkie kombinacje długości haseł. Nie używaj typowych słów slangowych ani słów ze słownika. Nie polegaj całkowicie na podobnie wyglądających postaciach, takich jak 3 zamiast E, 5 zamiast S lub! zamiast 1. Programy do łamania haseł mogą to sprawdzić. Nie używaj tego samego hasła w ciągu co najmniej czterech do pięciu zmian hasła. Używaj wygaszaczy ekranu chronionych hasłem. Odblokowane ekrany to świetny sposób na złamanie zabezpieczeń systemów, nawet jeśli ich dyski twarde są zaszyfrowane. Nie udostępniaj haseł. Do każdego własnego! Unikaj przechowywania haseł użytkowników w niezabezpieczonym centralnym miejscu, takim jak niezabezpieczony arkusz kalkulacyjny na dysku twardym. To zaproszenie na katastrofę. Użyj Safe Safe lub podobnego programu do przechowywania haseł użytkowników.

Inne środki zaradcze

Oto kilka innych sposobów na hakowanie haseł:

  • Włącz kontrolę bezpieczeństwa, aby pomóc monitorować i śledzić ataki hasłem. Przetestuj swoje aplikacje, aby upewnić się, że nie przechowują haseł w pamięci w nieskończoność ani nie zapisują ich na dysku. Dobrym narzędziem do tego jest WinHex. Popraw swoje systemy. Hasła są resetowane lub naruszane podczas przepełnienia bufora lub innych warunków odmowy usługi (DoS). Poznaj swoje identyfikatory użytkowników. Jeśli konto nigdy nie było używane, usuń je lub wyłącz, dopóki nie będzie potrzebne. Możesz określić nieużywane konta poprzez ręczną kontrolę lub za pomocą narzędzia, takiego jak DumpSec, narzędzie, które może wyliczyć system operacyjny Windows i zebrać identyfikatory użytkowników i inne informacje.

Jako administrator bezpieczeństwa w organizacji możesz włączyć blokadę konta, aby zapobiec próbom złamania hasła. Blokada konta to możliwość blokowania kont użytkowników na określony czas po wystąpieniu określonej liczby nieudanych prób logowania. Większość systemów operacyjnych ma taką możliwość.

Nie ustawiaj go zbyt nisko i nie ustawiaj go zbyt wysoko, aby dać szkodliwemu użytkownikowi większą szansę na włamanie. Gdzieś pomiędzy 5 a 50 może Ci pomóc. Podczas konfigurowania blokady konta w systemach weź pod uwagę następujące kwestie:

  • Aby użyć blokady konta, aby zapobiec wszelkim warunkom DoS użytkownika, wymagaj dwóch różnych haseł i nie ustawiaj czasu blokady pierwszego, jeśli ta funkcja jest dostępna w systemie operacyjnym. Jeśli zezwolisz na automatyczne resetowanie konta po pewnym okresie - często nazywanym blokowaniem intruza - nie ustawiaj krótkiego okresu. Trzydzieści minut często działa dobrze.

Nieudany licznik logowania może zwiększyć bezpieczeństwo hasła i zminimalizować ogólne skutki blokady konta, jeśli konto zostanie zaatakowane automatycznie. Licznik logowania może wymusić zmianę hasła po kilku nieudanych próbach. Jeśli liczba nieudanych prób logowania jest wysoka i nastąpiła w krótkim okresie, konto prawdopodobnie doświadczyło automatycznego ataku hasłem.

Inne środki ochrony hasłem obejmują

  • Silniejsze metody uwierzytelniania. Przykładami są wyzwania / odpowiedzi, karty inteligentne, tokeny, dane biometryczne lub certyfikaty cyfrowe. Automatyczne resetowanie hasła. Ta funkcja pozwala użytkownikom zarządzać większością problemów z hasłami bez angażowania innych. W przeciwnym razie ten problem pomocy technicznej będzie kosztowny, szczególnie w przypadku większych organizacji. Chroń hasłem system BIOS. Jest to szczególnie ważne w przypadku serwerów i laptopów podatnych na zagrożenia bezpieczeństwa fizycznego i luki w zabezpieczeniach.