בחירת ססמאות נכונה

כיצד פועל הפורץ?

כיצד פועל הפורץ? כיצד הוא משיג ססמאות של משתמשים?

בחלק זה של המסמך נציג מספר שיטות בהן הפורץ יכול להשתמש.

בשתי השיטות הראשונות שנציג, לפורץ יש מידה מסוימת של גישה למערכת.

הוא הצליח להשיג את קובץ הססמאות של המערכת. בUNIX קובץ זה הוא בד"כ

קובץ זה מכיל את ססמאות כל המשתמשים במערכת בצורה מוצפנת. (בגרסאות חדשות של UNIX מדובר בקובץ אחר, אך עדיין נניח שברשות התוקף קובץ הססמאות).

בנוסף לכך לפורץ יש את אלגוריתם ההצפנה בעזרתו הצפינו את הקובץ. האלגוריתמים בהם משתמשים להצפנת ססמאות ב-UNIX אינם סודיים וניתן להשיגם בקלות. יתרונם הוא שההצפנה היא חד כיוונית, כלומר, אם לפורץ יש את הססמא המוצפנת, הוא אינו יכול בעזרת אלגוריתם פשוט להשיג את הססמא המקורית.

על מנת לגלות מה היא הססמא שלך, על הפורץ לנסות להצפין מילים שונות לפי בחירתו בעזרת האלגוריתם של המערכת, ולהשוות את התוצאה אל הססמא המוצפנת שמצא. אם קיימת התאמה, הרי שהמילה שהוא הצפין היא המילה המקורית.

אילו מילים יבחר הפורץ להשוות לססמא?

קיימות שתי גישות עיקריות:

1. Brute Force- הפורץ משתמש באלגוריתם ההצפנה כדי לבדוק את כל האותיות והסימנים הקיימים, אחד אחרי השני, בכל צירוף אפשרי, ומחפש האם אחת מהססמאות התגלתה. באופן תיאורטי שיטה זו אמורה להצליח תמיד, אולם באופן מעשי, זו שיטה איטית יחסית לשיטות הבאות שנתאר, ואם המשתמש בחר ססמא בהתאם לקווים המנחים שיתוארו במסמך, סביר להניח שמבחינת זמן, פריצה בדרך זו לא תהיה מעשית עבור הפורץ.
2. השיטה השניה היא שימוש בקובץ מילון. גם בשיטה זו מנסה הפורץ להשוות ססמאות שונות מול קובץ הססמאות המוצפן, אולם בשיטה זו הססמאות אינן כל צירוף אותיות, אלא מילים ממילון, מילים בעלות משמעות. מילון יכול להכין מאות אלפי מילים מתחומים שונים.

גישה שלישית לא מחייבת שבידי הפורץ יהיה קובץ הססמאות. בגישה זו הפורץ מנסה בד"כ מספר קטן יותר של צירופים, ולעיתים הוא יכול להקלידם ישירות למערכת. אם זאת, לפורץ עם קובץ ססמאות יש יתרון להשתמש בו, ולא להקליד את הססמאות מול המערכת מכיוון שיתכן שניסיונות התחברות כושלים למערכת נשמרים בה, וכך מנהל המערכת יוכל לדעת על ניסיון הפריצה, וגם עבודה מול קובץ ססמאות תהיה בד"כ מהירה יותר.

בשיטה זו הפורץ הוא אדם בעל ידע על בעל החשבון. הפורץ מנסה להשתמש במילים, שמות, תאריכים ומספרים המתאימים לאותו אדם. שיטה זו פחות נפוצה מהקודמות עבור הפורץ המזדמן, המחפש למצוא ססמאות במהירות, אולם אם פורץ סימן אדם מסוים כמטרה, שיטה זו עשויה לעזור לו לפרוץ לחשבון המבוקש.

למשל, חשבונות הדוא"ל של באתר של וואלה (http://www.walla.co.il). בזמן האחרון רמת האבטחה של האתר עלתה, עקב החלטת וואלה להפוך את שירות הדואר שלהם לשירות בין לאומי. נציג את המצב שהיה עד לשנה האחרונה (כ-6 שנים, מ-1998 עד 2004). למרות שביכולתך לבחור כמעט כל צירוף בתור ססמא, היתה קיימת "ססמא" נוספת לדוא"ל וואלה. במקרה ששכחת את הססמא שלך, היה עליך להזין מספר בן 4 ספרות אותו בחרת במהלך ההרשמה, וכן את תאריך הלידה שלך. נניח שפורץ המגיע לפרוץ את החשבון שלך יודע מהו תאריך הלידה שלך, עליו לנסות רק 9999 צירופים שונים (ובמונחים של אבטחת ססמאות זה זניח. פורץ עם מודם 56K יכול לפרוץ לכל חשבון בוואלה בתוך פחות מ-10 דקות). בקטגוריה זו נכנס גם שם החשבון שלך. אם שם החשבון שלך הוא mcohen ושמך הוא Moshe Cohen,אזי ססמאות כגון:

Mcohen, moshe, Moshe, cohen, MOSHE, [moshe]

וכדומה, הן ססמאות גרועות.

כעת, לאחר שהצגנו את הבעיה, נסביר כיצד אתה, המשתמש, יכול לשפר את רמת האבטחה של הססמא שלך.