CC BY
62
УДК 004; 004.02; 004.05; 004.4; 004.6; 004.9; 005
А. А. Балабанов
Новосибирский государственный университет ул. Пирогова, 2, Новосибирск, 630090, Россия
E-mail: baatob@gmail.com
РАЗРАБОТКА ОПЕРАТИВНОЙ ОЦЕНКИ ЗАЩИЩЕННОСТИ ПАРОЛЬНОЙ ПОДСИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
Разрабатывается метод оперативной оценки защищенности. Проводится исследование стойкости парольной системы. Отмечаются слабые места системы защиты паролем. Предлагается метод для оценки стойкости системы в процессе атаки нарушителя.
Ключевые слова: информационная безопасность, оперативная оценка стойкости, безопасность паролей, хакер, время взлома, модель нарушителя.
Введение
Одним из элементов информационной безопасности является создание модели поведения возможного нарушителя, которая включает предположения о квалификации нарушителя, его инструментарии, цели и степени осведомленности об объекте защиты. И одной из важных характеристик нарушителя является степень его проникновения в систему. В настоящее время эффективный способ получения данного параметра не выявлен. Проблема корректного определения текущей степени защищенности информационной системы определяется большим количеством параметров объекта защиты с различными метриками, анализируемых в режиме реального времени. В силу того, что одновременный анализ этих параметров человеком затруднителен, очевидна необходимость определения интегральной характеристики текущей защищенности.
Под текущей защищенностью информационной системы мы будем понимать количественную характеристику, описывающую вероятность соответствия гипотезы о том, что система защищена, реальному положению дел. Система считается незащищенной, если нарушитель получил достаточно знаний о системе, позволяющих ему выполнить любую команду, не соответствующую принятой политике безопасности \ В рамках данной работы мы предполагаем, что в ходе атаки нарушитель получает знания, снимая неопределенность относительно объекта защиты в серии экспериментов. Для количественного определения характеристик этого процесса предлагается использование понятия энтропии.
Понятие «энтропия» существует во многих областях науки, но можно выделить общее свойство энтропии, определяющее количественную меру хаотичности системы. В контексте информационных технологий энтропия есть мера неопределенности информации. В нашем исследовании мы понимаем энтропию как меру неопределенности информации о системе.
1 ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».
Балабанов А. А. Разработка оперативной оценки защищенности парольной подсистемы защиты информации // Вестн. Новосиб. гос. ун-та. Серия: Информационные технологии. 2014. Т. 12, вып. 2. С. 14-24.
ISSN 1818-7900. Вестник НГУ. Серия: Информационные технологии. 2014. Том 12, выпуск 2 © А. А. Балабанов, 2014
Клод Шеннон предположил, что прирост информации равен утраченной неопределенности, и задал требования к измерению данной неопределенности:
1) мера должна быть непрерывной, т. е. изменение значения величины вероятности на малую величину должно вызывать малое результирующее изменение функции;
2) в случае, когда все варианты равновероятны, увеличение количества вариантов должно всегда увеличивать значение функции;
3) должна быть возможность сделать выбор в два шага, в которых значение функции конечного результата должно являться суммой функций промежуточных результатов.
В ходе исследования мы утверждаем, что процесс снятия неопределенности есть процесс понимания конфигурации системы. Максимальная неопределенность означает, что нарушитель не владеет точной информацией о внутреннем устройстве системы. Минимальная энтропия говорит о том, что нарушитель знает устройство системы на достаточно детальном уровне и может произвольно изменять ее внутреннее состояние. Состояние, когда возможны данные действия, фактически означает, что система была взломана. Однако минимальное значение энтропии не означает полное знание о системе вследствие ее высокой сложности. Оставшаяся неопределенность позволяет по действия нарушителя выявить его присутствие в системе.
В процессе исследования мы пришли к выводу, что для наших целей недостаточно подхода, связанного с энтропией, как единственного количественного критерия неопределенности. Для улучшения оценки состояния защищенности системы и определения возможностей нарушителя мы применили вероятностный подход, позволяющий нам оценить вероятность того, что система будет взломана нарушителем. Вероятность взлома системы нарушителем зависит от успешности его действий. Оценки вероятностей успешности действий нарушителя мы получаем из анализа инцидентов информационной безопасности 2. В процессе оценки мы создаем модели атак нарушителя безопасности, гипотезы об оценке защищенности системы и остаточных рисках в виде функций распределения вероятностей. Полученные оценки мы используем в формуле Байеса для проверки параметров безопасности. Данный подход позволил нам корректировать гипотезы о защищенности системы при обновлении данных о действиях нарушителя.
Разнообразие подсистем защиты информации и разница в их принципах построений повышают сложность применения данного подхода. Для оценки вероятности успешности действий нарушителя необходимо провести тщательное исследование каждого вида подсистем защиты информации. В данной статье представлено исследование одной из таких подсистем.
Основной целью является создание системы оценки защищенности для любой подсистемы информационной безопасности. В оценку защищенности входит определение порогового значения проникновения нарушителя, для которого можно сказать, что система взломана или безопасна с некоторым, заранее определенным, уровнем доверия. Развитием данной идеи является объединение оценки защищенности подсистем в общую оценку системы.
Теоритическая часть. Предпосылки
Сложность оценки защищенности объекта во многом определяется большим количеством разнородных компонентов системы защиты информации. Каждая подсистема обладает своими особенностями и своей устойчивостью к атаке нарушителя. Нарушитель ищет определенный набор подсистем, каждая из которых имеет известное ему слабое место. Данный набор позволит ему добиться своих целей.
Целью нарушителя являются вычислительные ресурсы, конфиденциальность, доступность или целостность информации. В общем случае любой инцидент информационной безопасности можно разбить на несколько элементарных действий нарушителя. Разбиение на элементарные шаги зависит от квалификации нарушителя. Традиционно предположения о квалификации нарушителя мы фиксируем в соответствующем разделе политики безопасности.
Для оценки действий нарушителя безопасности было принято решение использовать вероятностный подход. В процессе эксплуатации нашей информационной системы мы получаем экспериментальные данные в ходе наблюдения за действиями нарушителя. Анализируя
2 ГОСТ Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».
эти данные, мы можем сформулировать гипотезу о текущей защищенности информационной системы (ИС). Имея гипотезу и обновляющиеся данные, можно использовать аппарат Байеса для итерационной оценки верности данной гипотезы. В формуле (1) применяется вероятность успешности действий нарушителя.
Используется следующее представление формулы Байеса:
Р( = рщетв),
Р(В)
где:
• В - событие, означающее совершение нарушителем успешного элементарного действия;
• 0 - событие, означающее, что система была скомпрометирована в текущем инциденте безопасности;
• Р(0) - априорная вероятность защищенности системы;
• Р(0|В) - оценка стойкости системы перед действием нарушителя;
• Р(В|0) - оценка остаточных рисков подсистемы защиты информации;
• Р(В) - вероятность успеха действия нарушителя, эксперимент.
Вероятностный подход позволил нам оценить защищенность системы при различных атаках нарушителя. С учетом итерационности процесса защиты информации алгоритм оценки защищенности выглядит следующим образом.
Шаг 0: Определить 0О и В0.
Шаг 1: Р(01) = Р(0О | В0) = Р( Во|°о)* Р(0о)
P( Во)
Шаг N: P(0w+1) = P(0N\BN ) = ?
P(Bn\0N )* P(0N )
Р( Вы)
Следует отметить, что 00 и В0 может быть определено в ходе экспертной оценки или анализа баз уязвимостей 3.
Исследование парольной системы
Для проверки верности подхода в качестве объекта исследования была выбрана система парольной защиты, как наиболее изученная и имеющая развитый математический аппарат. В открытых источниках информации упоминается о минимальном требовании в 8 цифро-буквенных символов. При исследовании использовались тематические статьи от специалистов по информационной безопасности и экспертов во взломах, а также источники от ведущих информационных компаний, таких как Microsoft, Google, Yandex и т. д.
Компании, имеющие доступ к крупным информационным базам реальных паролей пользователей, периодически обновляют список самых часто используемых комбинаций. Данный список практически не меняется с течением времени и имеет множество совпадающих элементов у различных информационных ресурсов. Существование множественных перекрытий в этом списке говорит о некоторых закономерностях в выборе пароля.
В настоящее время сложилась практика проверять стойкость нового пароля по следующим параметрам:
• длина;
• наличие строчных и прописных букв;
• наличие цифр и специальных символов (например, '\' или 'А');
• отсутствие в словарях и базах распространенных паролей;
• несоответствие шаблонам паролей.
Пароли, которые подходят под вышеописанные правила, будут стойки ко взлому. Однако их очень трудно запомнить неподготовленному человеку.
Следует отметить, что специалисты в своих независимых исследованиях выделяют следующие способы запоминания пароля пользователем.
3 Информационный портал по безопасности, сборник уязвимостей. URL: http://www.securitylab.ru/vulnerability/
1. Названия домена вместе с логином. Часто используется людьми на сайтах, для которых нужна регистрация, но нет необходимости частого использования. Есть вариация, когда используется данная комбинация после операции хеширования.
2. Определенный шаблон, который использует домен. Имеется в виду некоторая особо построенная фраза, например «pass + 'сайт' + ' домен'» («passgooglecom», «passyandexru»).
3. Распространенное слово вместе с цифрами и другими знаками. Здесь замены чаще всего осуществляются по схожести написания, например, «о» и «0» (буква «о» и цифра «0») или «i» и «1».
4. Русские слова (или других языков) в английской раскладке.
5. Перестановка букв в словах.
6. Использование единого логина и пароля для многих сайтов (иногда действительно длинного и стойкого).
Также эксперты выделяют следующие способы взлома паролей.
1. Метод логического угадывания. Работает в системах с большим количеством пользователей. Злоумышленник пытается понять логику пользователя при составлении пароля (логин + 2 символа, логин наоборот, самые распространенные пароли и т. п.) и применяет эту логику ко всем пользователям. При достаточном количестве пользователей найдется совпадение и пароль будет угадан.
2. Перебор по словарю. Может сочетаться с заменой букв (опечатки или замены) или с подстановкой цифр / слов в начало или конец слова в качестве приставки или суффикса (правила для вывода новых слов, составление таких правил заслуживает отдельного исследования). Также используются словари, набранные в неверной раскладке клавиатуры (например, русские слова в английской раскладке).
3. Перебор по таблице хешированных паролей. Работает очень быстро даже на слабых машинах и не оставляет никаких шансов владельцам коротких паролей.
4. Другие методы: социотехника и социальный инжиниринг, использование вредоносных программ и т. п.
Интересен подход, опубликованный в исследовании под названием «Visualizing Keyboard Pattern Passwords» [1], где автор исследует шаблоны при составлении паролей на стандартной клавиатуре. На основе проведенных исследований был создан набор элементарных шаблонов, разделенных на несколько категорий, таких как двойное нажатие, тройное нажатие, змейка, пара, тройка, и т. д. (рис. 1).
Рис. 1. Примеры визуализированных шаблонов
В результате для эксперимента был создан сравнительно небольшой словарь паролей (500 тыс. шт.) с длиной от 8 до 12 символов. Этот словарь был использован при попытке взлома 11 паролей, применяемых в одной из корпоративных сетей. При проверке по этому словарю было получено 2 пароля менее чем за 1 секунду (18 %). При взломе программой «John the
Ripper» 4 методом полного перебора за 18 часов не было вскрыто ни одного пароля. Данный результат является примером хорошего словаря для осуществления реальной атаки.
Важно отметить исследование Троя Ханта [2] по особенностям паролей пользователей «Sony Pictures» в 2011 г., которое послужило толчком ко многим практическим исследованиям дальнейших утечек базы паролей пользователей. График частот символов в паролях представлен на рис. 2.
1. Основное количество паролей с длиной от 6 до 10 символов. При этом у половины он менее 8 символов.
2. 1 % - только буквы верхнего регистра; 4 - только цифры; 45 - только буквы нижнего регистра; 50 % - другие варианты.
3. 36 % - словарный пароль; 64 % - пароль не из словаря (использовался словарь на 1,7 млн слов).
4. 8 % - уникальный пароль; 92 % - повторно используемый пароль.
5. 18 % - сложно взламываемый; 82 % - легко взламываемый через радужные таблицы.
Также мы рассмотрели исследования университета Карнеги - Меллон 2013 г. В своей работе они рассматривали пароли 25 000 студентов университета и 17 000 пользователей из других источников. Исследования классификации паролей проводились по многим критериям. Вкратце выделим следующее:
1) средняя длина паролей - 9,5-11,5 символов;
2) среднее содержание цифр - 2,3-3;
3) среднее содержание специальных символов - 1-1,5;
4) среднее содержание верхнего регистра - 1,1-1,7.
Мы сравнили все исследования и выявили следующую тенденцию: пароли пользователей становятся более сложными. Длина увеличивается и алфавит, используемый в паролях, становится более разнообразным. Но увеличение сложности паролей идет медленнее, чем улучшаются методики взлома. Текущие вычислительные мощности совместно с теоретическими исследованиями делают подобный рост сложности неэффективным перед вторжением нарушителя.
Собственные исследования базы паролей и проверка гипотез
Эксперимент состоял в исследовании базы паролей LinkedIn 2012 г. Данная база паролей попала в открытый доступ в середине 2012 г. База паролей содержит хеши 6,4 млн паролей, из которых в 3,521,180 паролях первые пять чисел были заменены на «00000». Исследования касались оставшейся части паролей, так как часть паролей с замененным началом совпадала с другими паролями базы, а некоторые не являлись хешами алгоритма SHA1, который использовался для большей части базы.
Для взлома хешей паролей мы использовали программу «hashcat» для начальных исследований и малых объемов и «oclHashcat» для более детальных. Начальные исследования проводились на процессоре Intel® core™ i5-2500 cpu @ 3.30ghz, детальные - на облачном веб-сервисе Amazon Elastic Compute Cloud с 20 ядрами CPU. После взлома паролей был проведен их анализ.
На рис. 2 отображено сравнение получившегося анализа частот символов базы LinkedIn, частотного анализа, проведенного Троем Хантом (Troy Hunt) на основе базы паролей Sony и естественного английского языка.
На графике видно сходство частотных характеристик распределения символов в исследуемых базах и естественном языке. Мы можем сделать вывод, что при выборе пароля на различных ресурсах пользователи действуют, в целом, по одинаковой стратегии, отталкиваясь от естественного языка. Мы убедились, что символы в базе LinkedIn были более разнообразны и ближе к случайному. Учитывая, что утечкам крупных баз паролей в это время начало уделяться существенно больше внимания, данный факт говорит о повышении уровня технической грамотности пользователей и сдвиг в сторону более стойких паролей. Данное замечание частично подтвердилось исследованием Института Карнеги - Меллон.
4 John The Ripper - свободно распространяемая программа, предназначенная для восстановления паролей по их хешам. Основное назначение программы - аудит слабых паролей в UNIX-системах. Существуют реализации под различные ОС.
0,00 -I............................................................................................
easi nr|oitCfhCY0bghpu3k94S678fwjAEWFSvxzBCI LNOIDUH J PqYKZ -&" / / UJX !■#$., ?@[_FC№ "96 ( ).\]Л ' {I "<=>
Символы пароля
Рис. 2. Частотный анализ символов баз паролей LinkedIn и Sony
Далее под конфигурацией атаки мы будем понимать совокупность следующих параметров:
• тип атаки - метод полного перебора (далее - BF), атака по словарю (WA), BF с учетом статистик (BF для выбранных по статистическим показателям символов);
• алфавит пароля;
• местоположение спецсимволов.
В таблице представлены результаты атаки на семисимвольные (в большинстве) пароли.
Результаты эксперимента
Конфигурация атаки Тип атаки Мощность множества и алфавит Время перебора, мин Получено паролей
1 ББ (ЬгйеАэгсе) «а-2» + «0-9» Мощность множества - 78 млрд 50 70 692 (32 %)
2 BF «а^» + «0-9» + «[;'/$_-#.*@!,= %» Мощность множества - 897 млрд 566 193 148 (90 %)
3 Атака по словарю Мощность множества - 131 160 + правила вывода = 6 млн (не только 7-символьные пароли) 4 95 692 (7 %)
4 ББ с учетом статистик «ae1inorlst20mudh3ckgpby48975w» Мощность множества - 23 млрд 16 23 451 (10 %)
5 ББ с учетом статистик «a1srmel2nti3op0cd4bk758hgu69j@wfyvxz» Мощность множества - 78 млрд 50 74 744 (35 %)
6 BF с учетом статистик «a1srmel2nti3op0cd4bk758hgu69j@wfyvxz!» Мощность множества - 95 млрд 60 98 571 (46 %)
7 ББ с учетом статистик «a1srmel2nti3op0cd4bk758hgu69j@wfy .$*-» Мощность множества - 95 млрд 60 87 380 (40 %)
8 ББ с учетом статистик «a1srmel2nti3op0cd4bk758hgu69j@wf!.$*-» Мощность множества - 95 млрд 60 84 632 (39 %)
9 BF с учетом статистик «а1 srmel2nti3op0cd4bk758hgu69jwfyvxz» + «[;'/$_-#.*@!,= %» - 7 (седьмая позиция) Мощность множества - 27 млрд 17 23 514 (11 %)
10 ББ с учетом статистик «a1srmel2nti3op0cd4bk758hgu69jwfyvxz» + «[;'/$_-#.*@!,= %» - 4 (четвертая позиция) Мощность множества - 27 млрд 17 12 480 (6 %)
Целью атаки было выявить все семизначные пароли, состоящие из латиницы нижнего регистра, цифр и специальных символов. По статистике Троя Ханта, это около 49 % всех семизначных паролей. Во второй колонке таблицы описаны алфавиты для каждой из вариаций атак. Полный алфавит из 897 млрд слов покрыл около 90 % всех паролей (были взяты специальные символы, с самыми высокими частотными показателями). Дальнейшие атаки имели перед собой цель выявить слабые зоны в множестве возможных паролей.
Особый интерес вызывает атака в конфигурации 6. При атаке была проверена только 1/9 часть всего множества из конфигурации 2 и выявлено больше половины всех паролей. Также интересны варианты 9 и 10. Здесь мы умышленно отделили специальные символы от остального алфавита и подставили его в различные позиции. Из результатов ясно видно, что пользователи предпочитают ставить специальный символ в конце слова или в начале.
Важно отметить время, которое понадобилось нам на перебор множества. Здесь мы использовали процессор, доступный большинству пользователей мира. Нарушители в своих атаках обычно применяют распределенную сетевую структуру зараженных ЭВМ, называемых ЬоШй, из 100-200 тысяч устройств. Если принять, что каждое устройство обладает подобными вычислительными мощностями и для своих целей нарушитель использует 30 % мощности, то получается, используя ЬоШе!, мы имеем ускорение порядка 30-60 тысяч раз. На примере конфигурации 2 в случае использования одного компьютера требуется около 10 часов, в то время как рассматриваемый нами ЬоШе1 выдаст результат менее чем за минуту.
Рассмотрим вероятность встречаемости определенного символа в пароле. График представлен на рис. 3. Отметим два факта. Первый: алфавит, отделенный чертой при полном переборе, дает 50 % всех паролей. Второй: символы «а» и «1» встречаются в 25 % паролей на каких-либо местах. Зафиксировав один из этих символов на каждом месте получаем набор из 15 млрд паролей (36*36*36*36*36*36*7, перебор на шести местах полностью свободный, один символ фиксированный, семь вариантов фиксированного места), который вскроет около 25 % всех паролей.
0,50 0,45 0,40 0,35 0,30 0,25 0,20 0,15 0,10 0,05 0,00
Рис. 3. Вероятность встречаемости символа в пароле
После исследования на малых объемах мы осуществили взлом оставшейся базы на системе ЕС2. В итоге было вскрыто более 2,5 миллионов паролей из 2,9 миллионов. Итоги:
1) было вскрыто более 86 % паролей;
2) 21 % паролей был 6-символьным, 15 - 7- и 9-символьные, 32 - 8-символьные, 9 -10-символьные, 3 % - 11-символьные и менее % приходится на остальные. Также встретилось два 40-символьных пароля;
3) 30 % паролей состояло из строчных букв латинского алфавита;
4) 45 % всех паролей состояло только из строчных букв латинского алфавита и чисел.
Оценка стойкости
Рассмотрим пример. В политике безопасности задана верхняя и нижняя границы длины пароля. Все m пользователей взяли себе уникальный пароль.
Нарушитель знает, что все пароли в организации внутри этой области, и он хочет преодолеть парольную систему защиты. Для полного перебора ему понадобится около T часов (для примера, на 7 символов ему понадобится около 10 ч на процессоре мощностью 3,3 GHz). За это время администратор безопасности может заметить попытку перебора множества и ликвидировать угрозу. В итоге нарушитель будет обнаружен уже на ранней стадии своей атаки.
Теперь добавим условие, что нарушителю безопасности не нужно полное преодоление системы, достаточно определенной ее части или пользователя из особой группы. Пусть таких пользователей у нас k. Если нарушитель не знает ничего о выборе паролей пользователями,
T
то все возможные пароли для него равновероятны и ему потребуется около - (за это вре-
2*k
мя, при равномерном распределении, с вероятностью 0,5 будет найден искомый пароль). Это вполне достаточное время и для обнаружения внешней угрозы. Но нарушителя это не устраивает, и он создает гипотезу, что пароли пользователи выбирают не случайно, а согласно некоторым закономерностям.
Например, он реализует атаку по маске, где проверяет только те пароли, которые состоят из прописной латиницы с двумя цифрами на конце. Такая маска существенно сокращает время для перебора, оставляя примерно 30 % пользователей, которые выбирают себе пароль по данной схеме. Проведенное исследование баз паролей говорит о чрезвычайной эффективности подобной атаки.
Оценим опасность подобной атаки по маске. Мы формируем гипотезу, что пароли пользователей внутри алфавита располагаются равномерно. Результат проверки представлен на рис. 4.
Оценка количества паролей, которые будут взломаны
Количество паролей в наборе 7 символов бсимволов А гака по словарю
опто^мпйо^ммйочммйо'аигчйочв^юо со ■ : т о и*1 ш- гы г^ ?Ч1 со гп ел ьп о кс —^ цэ гмк [х- т гп о_
О" ^ тН Ш СМ 1Л О* Г^ Ш О! <*П Щ О ОП -ч}- 00
Просмотренно слов из алфавита, %
Рис. 4. Предсказание количества взломанных паролей
Видно, что предположение ошибочно - распределение паролей не линейно, но стремится к линейному при больших объемах просмотренного множества слов из алфавита.
Атаки, изображенные на графике, являлись перебором неструктурированных алфавитов большой мощности и атакой по словарю. Теперь выделим из этих множеств структуриро-
ванные подмножества и проверим гипотезу на них. Возьмем уже упомянутую маску из прописной латиницы и двух цифр на конце для восьмисимвольных паролей и алфавит из первых 25-30 символов из частотного анализа для попытки взлома семисимвольных. Данные алфавиты позволяют вскрыть около 30 % пользователей из более общих алфавитов восьми- и семизначных паролей (рис. 5).
Рис. 5. Предсказание количества паролей в подмножествах, определенных по некоторому признаку
Из графика видно, что предсказания имеют более низкую величину ошибки. Перебрав около 10 % из конкретного подмножества, мы можем уточнить предсказание общего числа паролей в данном подмножестве.
Данный эксперимент формирует гипотезу, согласно которой пароли пользователей внутри одного подмножества, заданного некоторым признаком, распределяются равномерно (назовем данные подмножества «кластерами»). Однако подходит не каждый признак. Например, критерий «пароли из п символов» - слишком общий, данное множество делится на меньшие подмножества, на которых предсказание более достоверно.
Эта гипотеза была проверена практически и подтвердилась на примере различных кластеров базы данных ЬткеШп. На основе этой гипотезы можно оценить наполнение отдельных кластеров для получения общей картины опасных скоплений паролей.
Вероятностный подход к оценке стойкости. Оценка атаки нарушителя безопасности
Составим оценку защищенности для парольной системы защиты через вероятностный подход. При построении оценки мы возьмем гипотезу из предыдущей части. Считаем, что пароли внутри кластера распределяются равномерно. Атака нарушителя на парольную систему есть, по сути, просмотр такого алфавита. Тогда если он за время Д^ получит п паролей,
п
то за время Д^2 он получит -* 1г паролей. Данные выкладки, исходя из гипотезы, если за
А^
время Д^ было просмотрено не менее 10 % алфавита, что даст хорошую оценку.
Мы можем предположить, что цель нарушителя при взломе парольной системы - получить права привилегированного пользователя, одного из строго определенной группы пользователей, которые обладают нужными характеристиками, например правами администратора системы или доступ к закрытой части информации. Данные пользователи не отличаются от всех остальных (если для них нет особой политики безопасности), следовательно, они будут распределяться равномерно в множестве всех пользователей. Тогда мы выделим критическое время - время, за которое с 50 % вероятностью будет выявлен пароль одного из привилегированных пользователей. Если всего у нас т пользователей, из которых к
привилегированных, за время Дt было выявлено п паролей, тогда критическое время
т ^ к 2 • к • п
B(t) - нарушитель получил пароль пользователя за время t. к
Р(0) = —, где N - число слов, разрешенное политикой безопасности; к - количество при-
N
вилегированных пользователей, начальная оценка.
л/п/ чч ! т"гN(í) N — к — а
Р(В^)) = 1 — П =1-N-, где N(0 - предполагаемое количество слов, просмотренных
нарушителем за время t.
Р(В^) | 0) = ^ , если на привилегированных пользователей нет дополнительных ограничений; где к - общее количество привилегированных пользователей; т - общее количество пользователей в системе; п{() - прогноз количества паролей, взломанных нарушителем на момент времени t.
Р(ВI 0) • Р(0)
Р(02) = Р(01 В) =-р(в)--оценка защищенности системы с помощью формулы (1).
Таким образом, мы можем дать оценку устойчивости исследуемого кластера к текущей атаке нарушителя за время t, если нам известно количество пользователей, взломанное за время А^
Вероятностный подход к оценке стойкости. Оценка взлома системы
Составим оценку защищенности для парольной системы защиты через вероятностный подход для иной ситуации. Здесь мы рассмотрим утечку хешированной базы паролей пользователей нашей системы. Известно время утечки. Запущена процедура смены паролей для пользователей. Задача - определить момент, когда риск, что вместо пользователя пароль захочет сменить нарушитель, будет достаточно высок.
Рассмотрим типичный сценарий взлома парольной системы. Нарушитель каким-либо образом получает базу с паролями пользователей и начинает подбирать хеши паролей. Администратор запускает процедуру смены паролей, но не все пользователи могут это сделать сразу. Задача для администратора безопасности - выявить момент, когда можно сказать, что все пароли, которые не были изменены до этого времени, взломаны с высокой степенью вероятности.
Для решения данной задачи применим рассматриваемый метод. Обозначим возможность использовать учетную запись пользователей, которые не сменили пароль, м>(?). ^(0) - состояние, когда можно применять пароль любого пользователя системы. Количество пользователей уменьшается со временем по некоторому закону. Характеристики процесса смены скомпрометированных паролей зависят от количества пользователей ИС. Для малого количества пользователей количество неизмененных паролей близко подойдет к нулю за 6-8 часов. Для крупных баз паролей данный срок может вырасти до недели. п{() - хеши, проверенные нарушителем на предмет соответствия паролям за время t. Всего у нас N вариантов хешей.
Нарушитель ищет пользователя, который есть в базе, и, найдя такого пользователя, пытается войти в систему. Если пароль не был изменен, то атака скорее всего закончилась успешно. Если пароль не подошел, то ищется следующий вариант.
Оценим вероятности, чтобы применить формулу Байеса.
л/ / чч
Р(м>^)) =- - вероятность найти верный пароль для входа в систему.
N
л/л/ чч , ттп«N — ^(0) — а „
Р( В^)) =1 — П а=1-N--вероятность, что нарушитель найдет пароль из базы данных за время t.
| В^)) = ^^)— вероятность, что найденный пароль еще не изменен пользователем.
Когда вероятность взлома системы достигнет некоторого, заранее определенного, порога, нужно останавливать ИС. Порог определяется требованиями к безопасности системы.
Заключение
Проблема корректной оценки защищенности системы к атакам нарушителя на сегодняшний день является актуальной. В работе мы попытались отойти от экспертных оценок к анализу успешности атак нарушителя безопасности.
В данном исследовании предложен метод оценки защищенности парольной подсистемы защиты информации, который может быть адаптирован к различным атакам нарушителя. Одной из главных особенностей метода является переоценка защищенности подсистемы после появления новых данных. Новые данные мы можем получать либо в ходе работы системы защиты информации, либо при анализе инцидентов безопасности на других объектах защиты.
Список литературы
1. Schweitzer D., Boleng J., Hughes C., Murphy L. Visualizing Keyboard Pattern Passwords // Visualization for Cyber Security: 6th International Workshop on Visualization for Cyber Security (VizSec). 2009. 11 Oct. P. 69-73.
Материал поступил в редколлегию 23.05.2014
A. A. Balabanov
DEVELOPMENT OF RAPID ASSESSMENT OF THE SECURITY OF PASSWORD PROTECTION SUBSYSTEM INFORMATION
Developed a method for rapid assessment of security. We study the stability of the system of password. Overview of weaknesses points of password protection system. We propose a method to estimate the resistance of the system in the process of intruders attack.
Keywords: Information security, Rapid assessment of resistance, password security, hacker, Time to crack, intruder model.
References
1. Schweitzer D., Boleng J., Hughes C., Murphy L. Visualizing Keyboard Pattern Passwords.
Visualization for Cyber Security: 6th International Workshop on Visualization for Cyber Security (VizSec), 2009, 11 Oct, p. 69-73.
