Сөз тіркесімен кіру құпиясы

Кіріспе

Кіру үшін қолданылатын сөз тізбегі

Пароль – компьютер жүйесіне, бағдарламаға немесе деректерге кіруді басқару үшін қолданылатын сөздер немесе басқа мәтін тізбегі. Ол қолданылуы жағынан құпия сөзбен ұқсас, бірақ пароль әдетте қауіпсіздікті арттыру үшін ұзақ болады. Парольдер криптографиялық бағдарламалар мен жүйелерге кіруді және олардың жұмысын басқару үшін жиі қолданылады, әсіресе парольден шифрлау кілтін тудыратын бағдарламалар мен жүйелерге. Терминнің шығу тегі құпия сөзбен салыстыру арқылы туындаған. Парольдер туралы қазіргі заманғы түсінік 1982 жылы Зигмунд Н. Портер тапқан деп саналады.

Үлгі әдістер

Құпия сөз тіркесін жасаудың бір жолы – тізімнен сөздерді кездейсоқ таңдау үшін текшелерді пайдалану, бұл техника көбінесе «текшелік сөздер» деп аталады. Мұндай сөздер жинағы «ешқандай сөздіктен алынбаған» қағидасын бұзуға көрінуі мүмкін, бірақ қауіпсіздік тізімнен сөздерді таңдаудың көптеген мүмкін жолдарына негізделген, ал сөздердің өзінде ешқандай құпиялық жоқ. Мысалы, тізімде 7776 сөз болса және алты сөз кездейсоқ таңдалса, онда 7776⁶ = 221,073,919,720,733,357,899,776 комбинация бар, бұл шамамен 78 бит энтропияны қамтамасыз етеді. (7776 саны бес текшені лақтыру арқылы сөздерді таңдауға мүмкіндік беру үшін таңдалды. 7776 = 6⁵) Кездейсоқ сөз тізбегін есте сақтау үшін «есте сақтау сарайы» сияқты әдістерді қолдануға болады. Тағы бір тәсіл – екі сөз тіркесін таңдап, бірін аббревиатураға айналдырып, екіншісіне енгізу арқылы соңғы құпия сөзді жасау. Мысалы, екі ағылшын тіліндегі теру жаттығуын пайдаланып, мынадай нәтижеге қол жеткізе аламыз. «Жылдам қоңыр түлкі жалқау иттің үстінен секірді» деген сөз тіркесі «жқтжүйс» болады. Оны «Қазір барлық жақсы адамдар өз елдеріне көмекке келу уақыты» деген сөз тіркесіне енгізу арқылы «Қазір барлық жақсы адамдар жқтжүйс өз елдеріне көмекке келу уақыты» деген құпия сөзді алуға болады. Мұнда бірнеше мәселеге назар аудару қажет, олардың барлығы осы мысалдың құпия сөзінің жақсы еместігіне байланысты. Ол бұрыннан таныс, сондықтан одан әркімнің аулақ болуы керек. Ол ұзын (теориялық тұрғыдан алғанда үлкен артықшылық) және жақсы терушіні қажет етеді, себебі ұзартылған сөздер үшін қателер жиі болады. Компьютерлік қауіпсіздікті бұзуға тырысатын адамдар мен ұйымдар ең көп таралған цитаталар, әндердің мәтіндері және т.б. арқылы жасалған құпия сөздердің тізімін жинастырды. PGP құпия сөздері жинағы теориялық қауіпсіздік пен қолданудың ыңғайлылығы арасында осы мысалдан гөрі жақсы тепе-теңдік ұсынатын процедураны ұсынады. Құпия сөзді таңдаудың барлық процедуралары қауіпсіздік пен қолданудың оңайлығы арасындағы компромисті қамтиды; қауіпсіздік кем дегенде «жеткілікті» болуы керек, бірақ пайдаланушыларды «тынышсыздандырмауы» керек. Екі критерийді де нақты жағдайларға сәйкес бағалау керек. Күшпен бұзу шабуылдарына қарсы тағы бір қосымша тәсіл – кілтті құпия сөзден әдейі баяу хэш функциясын пайдалану арқылы алу, мысалы, RFC 2898-де сипатталған PBKDF2.

One method to create a strong passphrase is to use dice to select words at random from a long list, a technique often referred to as diceware. While such a collection of words might appear to violate the "not from any dictionary" rule, the security is based entirely on the large number of possible ways to choose from the list of words and not from any secrecy about the words themselves. For example, if there are 7776 words in the list and six words are chosen randomly, then there are 7,7766 = 221,073,919,720,733,357,899,776 combinations, providing about 78 bits of entropy. (The number 7776 was chosen to allow words to be selected by throwing five dice. 7776 = 65) Random word sequences may then be memorized using techniques such as the memory palace. Another is to choose two phrases, turn one into an acronym, and include it in the second, making the final passphrase. For instance, using two English language typing exercises, we have the following. The quick brown fox jumps over the lazy dog, becomes tqbfjotld. Including it in, Now is the time for all good men to come to the aid of their country, might produce, Now is the time for all good tqbfjotld to come to the aid of their country as the passphrase. There are several points to note here, all relating to why this example passphrase is not a good one. It has appeared in public and so should be avoided by everyone. It is long (which is a considerable virtue in theory) and requires a good typist as typing errors are much more likely for extended phrases. Individuals and organizations serious about cracking computer security have compiled lists of passwords derived in this manner from the most common quotations, song lyrics, and so on. The PGP Passphrase FAQ suggests a procedure that attempts a better balance between theoretical security and practicality than this example. All procedures for picking a passphrase involve a tradeoff between security and ease of use; security should be at least "adequate" while not "too seriously" annoying users. Both criteria should be evaluated to match particular situations. Another supplementary approach to frustrating brute force attacks is to derive the key from the passphrase using a deliberately slow hash function, such as PBKDF2 as described in RFC 2898.

Windows-ты қолдау

Егер Microsoft LAN Manager-мен кері үйлесімділік қажет болмаса, Windows NT нұсқаларында (Windows 2000, Windows XP және одан кейінгілері қоса алғанда) Windows құпиясөзін алмастыру ретінде сөз тіркесін пайдалануға болады. Егер сөз тіркесі 14 таңбадан асса, бұл өте нашар LM хэшінің жасалуын болдырмайды.

Unix- ті қолдау

Unix-ке ұқсас операциялық жүйелердің, мысалы Linux, OpenBSD, NetBSD, Solaris және FreeBSD сияқты жаңа нұсқаларында 255 таңбаға дейін болатын құпиясөздерді пайдалануға болады.