Как большинство пользователей социальных сетей, я периодически получаю от знакомых сообщения с просьбами поддержать то или иное начинание.
Пару лет назад именно это и произошло: девушка, с которой мы вместе работали, попросила проголосовать за нее на каком-то конкурсе фотографий. Обычно я в подобного рода услугах не отказываю, так что, потратив две минуты и использовав возможность авторизоваться на сайте конкурса с использованием аккаунтов в разных социальных сетях, я послал знакомой подтверждение:
— Проголосовал. Удачи в конкурсе.
— Спасибо, дружище, но теперь тебе нужно поменять все пароли. Ни в каком конкурсе я не участвую.
Как вы поняли, я стал жертвой фишинга.
Надо сказать, что такое со мной произошло впервые как правило, элементарной внимательности достаточно, чтобы не попасться на удочку:
- Следует избегать переходов по ссылкам в странных доменных зонах, с адресами из случайного набора букв, или похожими на адреса популярных сервисов или непристойные слова. Конечно, не стоит авторизоваться на этих сайтах.
- Следует избегать ссылок в сообщениях, написанных в нехарактерном для собеседника стиле, с массой [нетипичных] ошибок или рекламными предложениями — по какой-то причине большая часть жуликов неспособна изъясняться связно.
- Следует сторониться сайтов, содержание которых кардинально отличается от заявленного или перенасыщено агрессивной рекламой в стиле "Коня-Людоеда". Как правило, мошенники не заботятся ни о чем кроме собственной выгоды, получить от их действий хоть какую-нибудь пользу нельзя.
Однако, в этом случае фишеры подошли к делу с любовью и тщанием: во-первых, каким-то образом завладели паролем моей знакомой от социальной сети, во-вторых — разослали от ее имени сообщения, которые я не отнес в разряд подозрительных (достаточно грамотное, короткое и правдоподобное), и в-третьих — обеспечили правдоподобность самого фишингового сайта: он сделан слегка небрежно, но вполне на уровне обычного для такого мероприятия, кроме того, на нем действительно были настоящие фотографии и система голосования, работающая хотя бы номинально.
Раньше я считал себя, что называется, опытным пользователем, в известной степени защищенным от мошенничества, но как выяснилось — обмануть меня достаточно просто. Хотя среднему спамеру это и не под силу, но этот факт указывает только на низкий уровень интеллектуального развития мошенника, а не на высокий мой. Так что, пришлось пройти через раздражающую процедуру смены паролей.
Что в этом такого сложного?
Ну, во-первых, у активного пользователя сети может набраться больше десятка основных ресурсов, на которых он регулярно общается и хранит важную информацию, и под сотню таких, которыми пользуются изредка, но их важность высока (например, панели управления или сайты электронных валют). На каждом из этих сайтов нужно пройти длинную и часто запутанную процедуру смены пароля. Число же ресурсов, на которых мы регистрируемся ради нескольких визитов, вообще сложно сосчитать — к счастью, в основном, ими можно пренебречь. Но нужно учитывать, что каждый сайт устанавливает собственную процедуру и условия установки пароля. Многие валидируют пароли по длине, наличию тех или иных символов, регистров и алфавитов. На самом деле, даже один раз придумать пароль, который удовлетворит большинство часто используемых сайтов — проблема. А заменить его на другой аналогичный — вообще нетривиальная задача.
Конечно, соображения безопасности вообще предполагают использование уникальных паролей для каждого отдельно взятого продукта или ресурса, но в практическом плане для этого нужно располагать или паранойей или неограниченно большими запасами времени и памяти. На деле, все незапомненные пароли хранятся в каком-нибудь текстовом файле в папке, пароль от которой хранится в другом текстовом файле, пароль от которого человек уже хранит в голове. Дикие сложности!
Так или иначе, я понимал всю важность защиты информации, поэтому проделал все вышеперечисленное и, судя по всему, успешно сохранил доступ ко всем ключевым ресурсам в неприкосновенности. Вернее, ко всем, кроме одного.
ЖЖ для смены пароля требует наличие хотя бы одной цифры. Как на зло, в моем новом пароле цифр не было — только символы разных регистров и пунктуационные знаки. Заменить какую-нибудь букву на похожую визуально цифру можно было бы, если бы я так не утомился предыдущими действиями. Уже и без того приходится держать в уме минимум два пароля: новый и старый (на случай если внезапно понадобится войти куда-то, где пароль еще не заменен). Добавлять к ним третий — вариацию второго с цифрами — не было ни малейшего желания. Поэтому я просто наплевал на безопасность — ну кому нужен мой ЖЖ? — и оставил пароль прежним.
Тем не менее, все эти годы меня не оставляло легкое беспокойство. Скомпрометированный пароль — это как незакрытая форточка в доме. Конечно, вероятность, что ловкий субтильный воришка обчистит через нее мою квартиру пренебрежимо мала, но она существует, а не выносит таких раздражителей. Периодически, забывая предысторию, я пытался поменять пароль на новый, сталкивался с валидатором и забивал еще на полгода.
Но недавно случайно попавшаяся на глаза фраза из релиза Windows8 про "графические пароли" натолкнула меня на новую мысль: а для чего вообще нужны пароли? Какую функцию они выполняют?
Очевидно, что пароль — это маркер, отметка субъекта, имеющего доступ к определенной информации. Как правило, это создатель и владелец информации, но иногда и просто наделенное правом доступа лицо: близкий человек, сотрудник, провопреемник. В любом случае, идеальным паролем будет некая уникальная и не подлежащая копированию особенность личности, но так как делать «слепки ауры» или выделять и сканировать «душу», «естество» человека мы не умеем, традиционно в качестве пароля используется комбинация символов, хранимая в памяти человека.
К плюсам такого метода распознавания можно отнести достаточно высокую устойчивость к расшифровке (многообразие психических процессов гарантирует высокую степень случайности сгенерированного значения) и краже (материальное основание отдельных участков памяти чрезвычайно сложно или невозможно выделить).
К минусам — невысокую емкость (традиционно считается что кратковременная память хорошо удерживает не более 7 символов одновременно) и уязвимость интерфейса доступа к данным (пароль может быть получен от носителя обманом или принуждением). Кроме того, со временем данные подвержены повреждениям и утере вследствие свойств самого носителя. Возможными приемами против этого является кодирование эмоционально значимых данных: памятных дат, имен, названий. однако в этом случае снижается устойчивость пароля к расшифровке (масса фильмов про «хакеров», подбирающих пароль по фотокарточке на столе, например).
Тот же Windows8 или Хабр предлагают более интересные варианты определения правообладателя информации. В первом случае это жесты, которые нужно выполнить над изображением, во втором — комбинация изображения и его имени, которые предоставляются и проходят проверку только при определенных условиях. Такие варианты сложно подделать, за счет чего вряд ли кто-то будет этим заниматься, то есть, усложнением алгоритма авторизации мы, в известной степени, повышаем его надежность. И сложность для пользователя, кстати, так что, принять такой пароль в массовом и обязательном порядке — скорее всего означает потерять значительную часть пользователей. Поэтому в Windows графический пароль только дополняет, но не заменяет текстовый. А на Хабре неудобства регистрации компенсируются реальными (кастомизация ленты, возможность писать посты) и мнимыми (статус) преимуществами.
Но как насчет переходного варианта? Ведь мы в цифровом мире — здесь и изображение, и звук и видео могут быть представлены как символы. При этом, нам не нужно беспокоиться ни об эмоциональной значимости (мало кому удастся забыть фото своей девушки или любимую песню), ни о кодировании наших эмоций в символы пароля — пускай это делают роботы. Таким образом, с одной стороны мы используем наши сугубо личные, неподдельные предпочтения и воспоминания, а с другой — реализуем обратную совместимость с традиционными техниками предоставления доступа по текстовому ключу.
Для примера я сделал маленький сервис: www.cncbkn2pwd.info/
Алгоритм работы таков: выберите индивидуально значимое изображение (для теста сойдет фотокарточка вашей любимой звезды эротического жанра), загрузите в форму и получите уникальный пароль из 12 цифр и букв латинского алфавита. Этот набор символов не несет абсолютно никакого смысла, однако, за счет простого алгоритма шифрования (используются встроенные функции php), всегда соответствует вашей картинке. То есть, если вы забудете пароль, для восстановления достаточно будет загрузить ее еще раз. При этом, исходное изображение и пароль не сохраняются и не могут быть расшифрованы.
Похитить такой пароль также практически невозможно — на любом современном устройстве сотни тысяч графических файлов, и любой из них может быть ключом к информации. С другой стороны — не нужно запоминать множество бессмысленных символов — запоминайте осмысленные картинки.
Недостатком подходя является то, что как и обычный буквенно-цифровой пароль, его можно выведать обманом. Однако, насколько упростится процедура замены пароля! Ведь с предыдущим можно будет расстаться без всякого сожаления, потому что картинка останется с вами, утерян окажется только бессвязный набор знаков.
Автор: lutov
