Ang paggamit ng 'honeywords' ay maaaring maglantad ng mga cracker ng password

Ipinapanukala nila ang pagbubuga ng database ng password ng web site na may maraming mga maling password tinatawag na "honeywords." Ang mga password sa mga database ng password ay karaniwang "hashed" o scrambled upang protektahan ang kanilang pagiging lihim.

"Ang isang kaaway na pagnanakaw ng isang file ng mga hades na password at inverts ang hash function ay hindi maaaring sabihin kung siya ay natagpuan ang password o isang honeyword, "Ari Juels ng RSA Labs at MIT Propesor Ronald L. Rivest ay nagsulat sa papel na pinamagatang Honeywords: Paggawa ng Detalye sa Pag-crack ng Password na inilabas noong nakaraang linggo.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Wind

Ang isang pagtatangkang paggamit ng isang honeyword para sa pag-login ay nagtatakda ng isang alarma, "idinagdag nila.

Paano ito gagana

Ang isang database ng password na inasnan ng honeywords ay ikinabit sa isang server na nakatuon lamang sa tangi sa pagitan ng mga wastong password at honeywords. Kapag nakita nito ang isang honeyword na ginagamit upang mag-log in sa isang account, ito ay alertuhan ng isang site administrator ng kaganapan, na maaaring i-lock ang account down.

Paggamit ng honeywords ay hindi maiwasan ang mga hacker mula sa paglabag sa iyong website at pagnanakaw ng iyong mga password, ngunit "Ito ay napakahalaga," sinabi ni Ross Barrett, senior manager ng engineering ng seguridad sa Rapid7 sa PCWorld-lalo na sa liwanag kung gaano katagal ang pagkuha nito upang matuklasan ang marami sa mga ito "Ang average na oras para sa pagtuklas ng isang kompromiso ay anim na buwan," sabi niya, "at iyon ay nadagdagan mula sa nakaraang taon."

Gayunman, kung alam ng mga hacker na ang isang site ay gumagamit ng honeywords at mga account ay awtomatikong naka-lock down Kapag ginamit ang honeyword, ang mga honeywords ay maaaring magamit upang lumikha ng isang denial-of-service na pag-atake sa site.

Ang scheme ay nagbibigay din ng mga attackers ng isa pang potensyal na target: ang honeychecker. Kung ang mga komunikasyon sa pagitan ng checker at server ng web-site ay nasisira, ang web site ay maaaring bumagsak.

Gayunpaman, kahit na ang compromise ng honeychecker ay mas mahusay pa sa isang web-site na operator sa honeywords kaysa wala sa kanila, nakipagtalo si Barrett.

"Marahil ay mas mahirap para sa mga hacker na masira ang kanilang website kaysa kung hindi sila nagkaroon ng honeychecker," sabi niya.

Inirerekomenda ng Juels and Rivest sa kanilang papel na ang separator ng honeychecker ay nahiwalay sa computer

"Ang dalawang mga sistema ay maaaring ilagay sa iba't ibang mga administratibong mga domain, magpatakbo ng iba't ibang mga operating system, at iba pa," ang kanilang isinulat.

Ang honeychecker ay maaari ring dinisenyo upang hindi ito direktang interface sa pamamagitan ng Internet, na kung saan ay din mabawasan ang isang magsasalakay kakayahan upang tadtarin ito, Barrett nabanggit.

Hindi isang kabuuang ayusin

Paggamit ng honeywords ay hindi upang maiwasan ang mga hacker mula sa pagnanakaw database ng password at crack ang kanilang mga lihim, Juels at Rivest Kinikilala.

MIT Professor Ronal d L. Rivest

"Gayunpaman," idinagdag nila sa kanilang papel, "ang malaking kaibahan kapag ginamit ang honeywords ay ang isang matagumpay na break na password ng brute-force ay hindi nagbibigay ng kumpiyansa sa kalaban na matagumpay at hindi siya makapag-log in."

"Ang paggamit ng isang honeychecker," sinabi ng mga may-akda, "kaya pwersa ng isang kalaban sa alinman sa panganib na pag-log in gamit ang isang malaking pagkakataon na nagiging sanhi ng pagtuklas ng kompromiso ng password-hash … o iba pa upang subukang ikompromiso ang honeychecker bilang "Ang mga mananaliksik ay umamin na ang honeywords ay hindi isang ganap na kasiya-siyang solusyon sa pagpapatunay ng user sa Net dahil ang pamamaraan ay naglalaman ng maraming mga kilalang problema sa mga password at" isang bagay na alam mo "na pagpapatunay sa pangkalahatan.

" Sa kalaunan, "isinulat nila," ang mga password ay dapat dagdagan ng mas malakas at mas maginhawang paraan ng pagpapatunay … o magbigay daan upang mas mahusay na mga pamamaraan ng pagpapatunay. "