Архив метки: пароли

АА+ИИ… и не нужно никаких паролей

(Июнь 2017)

То, что связка логин+пароль это слабое и неудачное решение для защиты доступа, хорошо понимали даже полвека назад, на заре компьютерной эпохи. Но вот что применять взамен – постигать начали совсем недавно…

Между прошлым и будущим

Случилось так, что в мае 2017 произошла весьма символичная встреча инфотехнологий прошлого и будущего – в той особенной области человеческой деятельности, что обычно принято именовать «контроль доступа и защита информации».

Если говорить о прошлом – и настоящем – этого дела, то в первых числах мая компьютерные пользователи всего мира отмечали довольно необычный праздник (о котором большинство людей, возможно, даже не в курсе). Международный праздник называется «День паролей» или World Password Day, отмечается 4 мая, а учрежден ради пропаганды грамотного использования этой важной меры безопасности среди широких народных масс.

Что же касается будущего, то в последних числах мая СМИ впервые сообщили о том, что корпорация Apple активно работает ныне над весьма необычным новым чипом – носящем название Neuro Engine или «нейродвижок» в более-менее адекватном переводе на русский. Грамотные обозреватели рынка в общем-то в курсе, что термин «нейро-» применительно к процессору означает аппаратное воплощение идеи нейросетей для систем искусственного интеллекта.

Однако сама компания Apple, знаменитая своей скрытностью, пока что категорически не желает ни комментировать слухи о новом чипе, ни – тем более – раскрывать цели его создания. Иначе говоря – пока это как бы загадка и «коммерческая тайна» фирмы.

Но с другой стороны, если хорошо представлять себе ту непростую ситуацию и проблемы, что давно характерны для роли паролей в сфере инфозащиты, то нынешняя инициатива Apple выглядит не только не загадочной, но и более того, совершенно естественной и своевременной. Если знать, конечно, каковы на сегодня важнейшие идеи и тенденции относительно ближайшего будущего в этой горячей области.

И поскольку просто так – в лоб – раскрывать «великую тайну» о новой разработке корпорации-гиганта было бы и неинтересно, и не особо убедительно, имеет смысл рассказать историю иначе. О том, что за беды и проблемы с этими паролями были всегда, какими способами их пытаются решать сегодня, почему это тоже не лучшее решение, и как, наконец, будет выглядеть действительно сильная защита доступа в нашем недалеком грядущем.

При такой подаче материала для понимания новой инициативы Apple уже не понадобится ни домыслов, ни дополнительной информации от инсайдеров. Но дабы картина эта выглядела действительно внятной и убедительной, прежде желательно иметь четкое представление о том, что же сегодня понимают под «сильными паролями». И почему эту силу так трудно обеспечить.

Читать далее АА+ИИ… и не нужно никаких паролей

Как избавиться от паролей

(Ноябрь 2011)

Красивая идея «активной аутентификации» сулит избавление компьютерных пользователей от обременительной возни со множеством разных и трудно запоминаемых паролей.

В области компьютерной безопасности случился на днях забавный казус.

Корпорация Google запустила большую рекламную кампанию вокруг их нового пособия «Хорошо бы это знать» –  посвященного проблемам онлайновой безопасности и приватности (Good To Know, http://www.google.com/goodtoknow/).

В частности, вполне конкретные советы Гугла относительно правильного создания сильных паролей появились на рекламных щитах в лондонской подземке и в виде полностраничной рекламы в респектабельном журнале The Economist. На этих афишах пример «очень сильного пароля» выглядит следующим образом – «2bon2btitq».  Как поясняет сопутствующая картинка, это буквосочетание построено на основе первых букв в словах знаменитой цитаты из шекспировского «Гамлета»: «Быть иль не быть, вот в чем вопрос» (To be or not to be, that is the question).

Далее случилось так, что на эту рекламу обратил внимание сотрудник Кембриджской лаборатории компьютерной безопаности Джозеф Бонно (Joseph Bonneau). И решил проверить данный пароль практически – на предмет «силы и стойкости».

Читать далее Как избавиться от паролей

Пароль для серой зоны

(Февраль 2012)

Важнейшее правило эффективной защиты информации – никогда не использовать один и тот же пароль для доступа в разные места. Но когда у человека много разных паролей, то некоторые из них теряются и забываются. Порой это чревато большими неприятностями.

В последнее время международная система борьбы с преступностью как-то все больше и больше приводит в недоумение своей, формулируя помягче, сомнительной полезностью.

То есть никто словно не замечает, что отнюдь не маломощные структуры Интерпола оказываются совершенно не в силах отловить ни одного из трех десятков установленных человек, организовавших тайное убийство палестинского деятеля в одном из отелей Дубаи и объявленных в международный розыск полицией ОАЭ (потому что все эти люди работали на израильскую разведку Моссад).

Разыскные и юридические возможности Интерпола тем более абсолютно бесполезны для того, чтобы арестовать и доставить в Италию для отсидки уже осужденных там заочно 25 преступников, устроивших тайное похищение человека и его вывоз из страны с последующими истязаниями, включая пытки электротоком (потому что все похитители работали на ЦРУ США).

Но при этом возможности Интерпола оказываются чрезвычайно эффективны в таких ситуациях, к примеру, что недавно имела место в Малайзии. Где был арестован и депортирован в Саудовскую Аравию арабский журналист, все «преступление» которого заключалось в двух или трех коротеньких записках в Твиттере, в которых он без должного почтения рассуждал об основателе ислама.

На взгляд постороннего человека, в этих словах вовсе нет ничего оскорбительного, лишь сомнения мыслящего человека относительно справедливости догм, вбиваемых людям в голову официальной религией. Однако по законам государства Саудовская Аравия публичное «оскорбление пророка» является тягчайшим преступлением, караемым смертью. А Интерпол, соответственно, выступил здесь в качестве инструмента, обеспечивающего такое вот «правосудие».

Дело тут, впрочем, не столько в Интерполе конкретно, сколько вообще в вопиюще огромной разнице, которая присуща международной правооохранительной системе в делах преследования отдельных людей или же больших корпораций, не говоря уже о спецслужбах.

Так, органы США и Великобритании положили немало следственных сил на установление и арест человека, англичанина, организовавшего веб-сайт для кинолюбителей, где коллекционировались ссылки на торрент-файлы для скачивания популярных в народе фильмов.

И вот теперь, по запросу американской стороны, вовсю кипит процедура по высылке этого британца в США – дабы предать его там суду по всей строгости американских законов, охраняющих национальные корпорации от расхитителей их интеллектуальной собственности. Почему эта же система не привлекает к суду Google и прочие поисковики, делающие по запросам пользователей фактически то же самое – такой вопрос уже давным-давно задавать «не положено».

Вся эта развернутая преамбула понадобилась здесь для того, чтобы подвести читателей к довольно любопытному ИТ-казусу, обозначившемуся ныне в американской судебно-правовой системе. Точнее говоря, обозначился-то этот казус уже довольно давно, однако актуальность его для граждан всех прочих стран становится вполне очевидна только сейчас.

Когда все чаще и чаще становится известно, как по запросам ФБР США в разных странах то и дело арестовывают иностранных граждан – дабы предавать их суду за дистанционное нарушение американских законов.

Такого рода «отрыжка глобализации», конечно же, сама по себе является большой и интересной для разбора темой, однако сейчас нас будет интересовать куда более узкий технический аспект происходящего, связанный с криптографией и ее применением в повседневно-бытовых нуждах.

Читать далее Пароль для серой зоны

Пароль — не нужен

(Сентябрь 2014)

История с разговорами вокруг фундаментальной небезопасности связки «логин+пароль» тянется настолько давно и при этом остается столь вопиюще неизменной, что вызывает сильнейшие подозрения в некоторой безумности происходящего…

take-password

«Кибер-вор» и просто жулики

В мире инфобезопасности все давно уже, к сожалению, привыкли, что каждый год — причем неоднократно и неизбежно — то тут, то там происходят гигантские хищения баз данных с реквизитами пользователей. Фактически, если накопленный массив данных о клиентуре хоть кому-нибудь интересен, то его непременно похищают.

Причем совсем уже не редкость, когда количество людей, потенциально пострадавших от украденной базы с их реквизитами, исчисляется миллионами и десятками миллионов душ. Но даже в этих условиях публику сильно впечатлила недавняя новость о том, что у криминальных хакеров обнаружилось воистину гигантское хранилище — примерно на 1,2 миллиарда записей с парами «логин+пароль», автоматически похищенных ботами из баз тысяч и тысяч разных интернет-сайтов.

Читать далее Пароль — не нужен