Добро пожаловать на сайт, Гость! Регистрация RSS

Понедельник, 20.05.2024
Главная » ИТ
« 1 2

Почему хакеры так легко и просто взламывают наши пароли?

Автор: Олег Нечай

Взлом пользовательских паролей — одно из самых распространённых преступлений в Сети, оставляющее далеко позади DoS-атаки и создание бот-сетей. Почему же хакерам так легко удаётся вскрывать пароли? А всё дело в пресловутом человеческом факторе.

Самая главная причина — мы подсознательно выбираем такие пароли, которые очень сложно угадать и запомнить посторонним людям, но с которыми «на раз» справляется обычный персональный компьютер. Поговорим о том, как на самом деле хакеры вскрывают пароли, и как с этим бороться.

В марте 2013 года известный американский интернет-журнал Ars Technica провёл любопытный эксперимент: его редактор Нэйт Андерсон, никогда раньше не занимавшийся взломом паролей, вооружился свободно доступным в интернете софтом, крупнейшей за последние годы базой хэшей паролей сайта RockYou, также за секунды найденной в Сети, и за какие-то несколько часов взломал чуть меньше половины из загруженного на специализированном форуме списка с 16449 MD5-хэшей, получив порядка восьми тысяч пользовательских паролей в обычной текстовой форме.

hackers-passes-1

Повторим, Андерсон до этого вообще никогда в жизни не занимался вломом паролей. Поэтому, впечатлившись его успехами, в мае 2013 года редакция Ars Technica решила повторить эксперимент с тем же самым списком MD5-хэшей, но уже с участием трёх профессиональных взломщиков. На сей раз результаты оказались ещё более сокрушительными.

hackers-passes-2

Больше всего паролей удалось раскрыть эксперту Stricture Consulting Group Джереми Госни. Используя обычный серийный компьютер на процессоре AMD с видеокартой Radeon 7970, он за двадцать часов взломал 14734 паролей, то есть 90% списка. Второе место занял Йенс Штойбе, ведущий разработчик бесплатного ПО oclHashcat-plus, предназначенного, конечно же, для взлома паролей: используя чуть более мощную машину с двумя видеокартами Radeon 6990, он всего лишь за час с небольшим расшифровал 13486 хэшей, то есть 82% из списка. Ещё один хакер, скрывшийся за псевдонимом radiх, за тот же час вскрыл 62% паролей, но при этом он ещё и подробно комментировал свои действия.

Как же действуют специалисты по взлому, и почему пользовательские пароли так легко расшифровать? 

Прежде всего, взламываются «простые» пароли, на что уходит меньше всего времени, а затем, как в любой компьютерной игре, хакер переходит на более высокие уровни, требующие значительно большего времени и особых навыков.

hackers-passes-5

Для начала, запускается подбор по принципу «грубой силы», позволяющий расшифровать более половины паролей длиной от одного до шести символов включительно, в число которых входят по 26 латинских букв нижнего и верхнего регистров, 10 цифр и 33 прочих символов, в сумме — 95. В результате мы имеем весьма скромное число комбинаций, которое среднестатистический десктоп способен рассчитать за считанные минуты.

hackers-passes-6

Удлинение пароля всего на один-два символа радикально увеличивает число вариантов, и полный перебор всех комбинаций будет занимать уже несколько дней. Поэтому специалисты обычно выбирают, к примеру, пароли, состоящие только из букв нижнего регистра, длиной до 8 символов, а также пароли из чисел длиной до 12 символов. Метод «грубой силы» с такими параметрами позволяет расшифровать значительный процент длинных паролей.

hackers-passes-4

Использование метода подбора для более сложных паролей нерационально, поскольку оно может затянуться на годы, и здесь взломщик уже переходит к использованию специальным образом составленных словарных списков, которые подготовлены на основе реальных пользовательских паролей, «засветившихся» при различных утечках. К примеру, самую большую базу англоязычных паролей за последние годы «предоставил» в распоряжение хакеров сайт RockYou в декабре 2009 года. В результате банальной SQL-инъекции хакерам удалось завладеть базой данных более 32 миллионов пользователей, включая логины, пароли и прочую информацию в простой текстовой форме. База RockYou немедленно была включена во все хакерские «словари», которые с тех пор неоднократно пополнялись в результате всё новых утечек, в том числе после взлома социальной сети LinkedIn в 2012 году, когда «утекло» ещё 6,5 миллиона парольных кэшей.

Базы, подобные RockYou или LinkedIn, представляют особую ценность, поскольку содержат реальные пользовательские пароли, а не просто произвольные комбинации. Для расчёта вариантов существуют специальные правила замены и подбора, что даёт ещё больше потенциальных паролей. А если проанализировать тематику сайта, интересы и профессии его пользователей, то можно добавить ещё более тонкие алгоритмы расчёта со специфическими шаблонами и масками.

Самые популярные пользовательские пароли из базы RockYou

Самые популярные пользовательские пароли из базы RockYou

Любопытно, что пользователи крупных общедоступных сайтов, прежде всего, всевозможных социальных сетей, редко утруждают себя придумыванием сложных паролей, наивно полагая, что размещаемая там информация не представляет особого интереса для злоумышленников. Более того, из 32 миллионов паролей RockYou 290 тысяч представляли собой до боли знакомую комбинацию «123456», а ещё несколько десятков тысяч — похожие сочетания с разным количеством цифр. Наконец, многие пользовали используют одинаковые пароли на разных сервисах, а при взломе паролей на одном сайте, далеко не каждый станет менять его и на всех остальных сайтах. Поэтому словарный подбор остаётся одной из самых мощных и эффективных технологий взлома, позволяющий, по разным оценкам, расшифровать до 60-70% пользовательских паролей на любом общедоступном сайте.

Для взлома оставшегося массива паролей используются гибридные атаки, сочетающие элементы «грубой силы» со словарным подбором. Например, при задании паролей некоторые предпочитают добавлять к одному из своих старых паролей длиной 7-8 символов по одной-две цифре в начало или в конец. Понятно, что с точки зрения безопасности, такие пароли уже не выдерживают никакой критики. Подобные «привычные» способы «улучшения» старых паролей отлично известны специалистам, поэтому такие шаблоны нисколько не повышают их устойчивость.

hackers-passes-3

Ещё один тип гибридных атак сочетает «грубую силу» со статистическим методом на основе цепей Маркова, что позволяет использовать уже полученные данные о характерных особенностях расшифрованных паролей для конкретного сайта, чтобы предсказать возможные пароли других пользователей. 

Гибридные атаки в разных вариантах, а также «индивидуальные» настройки масок и шаблонов могут занимать существенное время, но в результате они способны раскрыть до всех 100% паролей для отдельно взятого сайта (среднестатистиски — от 60 до 90%). А если учесть, что более двух третей пользова ... Читать дальше »

Категория: ИТ | Просмотров: 390 | Добавил: Mirra_Sun | Дата: 16.10.2013 | Комментарии (0)


Миф о дешевизне облачных решений

Автор: Игорь Емельянов

Как облачные провайдеры в своих маркетинговых речах и материалах аргументируют необходимость выбирать именно их? Ключевыми аргументами обычно являются скорость развёртывания и, что наиболее важно для целевой аудитории облачных сервисов, невысокая стоимость внедрения. И если с первым аргументом поспорить трудно, то бюджетные вопросы в облачной сфере всё ещё остаются не вполне прояснёнными.

cloud computing



Скоростью распространения облачные сервисы обязаны модели дистрибуции, сложившейся эволюционным путём, как нечто само собой разумеющееся. Зачем ехать на другой конец страны и подписывать контракт на пять лет с крупной компанией, если клиент может, поставив галочку «Согласен с условиями оказания услуг», оплатить подписку на месяц и попробовать продукт уже сегодня? Хотя клиенту даже не обязательно платить: можно ведь и пробную версию организовать. Таким образом, решение о переходе в облака не вызывает вообще никакого сопротивления. Не хотите заключать долгосрочный контракт — попробуйте в течение месяца, не хотите платить — попробуйте бесплатно. Главное — не нужно закупать железо, оговаривать сроки поставки, проводить десятки совещаний и подписывать всевозможные согласования. Облака, по сути, молниеносно устраняют проблемы, долго стоявшие на пути между традиционными вендорами и компаниями-клиентами. Провайдеры легких облачных инструментов не только уравняли малый бизнес и корпорации за счёт предоставления одних и тех же инструментов для тех и других за разумные деньги. Они подорвали саму модель поставки софта в корпоративном мире. Но эта классическая прорывная инновация (disruptive innovation) вовсе не стала золотым билетом для тех, кто продаёт облачные продукты. Хотя бы потому, что у крупного бизнеса находятся причины отказываться от них — и, как ни странно, дело не всегда в деньгах.

Да, кстати, о деньгах. Крупные традиционные вендоры сейчас оказались в такой ситуации, когда они не могут конкурировать с облачными провайдерами по цене. У крупных клиентов рано или поздно наступает такой момент, когда надо менять существующее решение в связи с тем, что бизнес растёт и потребности увеличиваются. Тут и наступает критический момент для традиционных вендоров: над их клиентами начинают сгущаться тучи и нависать облака. Новые провайдеры предлагают едва ли не избавиться от старой инфраструктуры, развернуть новую за один день, обеспечить цену владения ниже, чем у обычного вендора, — и всё это за деньги куда меньшие, чем требует поставщик инсталлируемого софта. Надо ли говорить о том, что многие, очень многие компании соблазняются и идут навстречу облачным провайдерам? Да что там многие — идут практически все. Кроме самых крупных и рассудительных.

Последние — это те, кто уже прожил долгую по мерками бизнеса жизнь и знает, что стоимость владения продуктом со временем может не только не снизиться, но и значительно вырасти. Следовательно, принимая решения, они учитывают параметры, до которых малому бизнесу нет дела.

cloud3



То, что стоимость владения облачным продуктом может не только сравняться со стоимостью продукта предустановленного, но и превзойти её, доказал аналитик компании Cowen & Co Питер Голдмахер (Peter Goldmacher). Он опубликовал исследование, где сравнил стоимость решений Oracle и Microsoft с облачными продуктами, такими как Workday и Salesforce, а также базы данных от Oracle с Hadoop и NoSQL. Полученные выводы послужили чрезвычайно интересным поводом для того, чтобы в очередной раз погрузиться в вопросы оценки облачных продуктов.

Один из основных выводов, который неизбежно вытекает из исследования господина Голдмахера, заключается в том, что облачные продукты действительно могут быть дороже традиционного софта, хотя в начале сотрудничества с вендором трудно это спрогнозировать. Так, выяснилось, что после трёх лет использования стоимость владения Salesforce практически сравнивается с CRM от Oracle. Workday по сравнению с Oracle HCM только в первый год использования экономит 76%, а после трёх лет экономия падает до 47% и продолжает уменьшаться куда более быстрыми темпами, поскольку стоимость внедрения продукта Oracle к этому моменту, как правило, окупается.
Другие выводы, которые напрашиваются при изучении материалов исследования, могут показаться не менее любопытными. В частности, модель SaaS обладает большей вариативностью в вопросе экономии средств, поскольку исключает этап закупки оборудования и его инсталляции. Однако, как видно из итоговой таблицы, если клиенту требуется SaaS, кастомизированная под его нужды, то облачное решение может оказаться дороже предустановленного. Некоторые инсталлируемые решения по-умолчанию оказываются доступнее своих облачных аналогов: Microsoft Sharepoint дешевле в использовании, чем облачный продукт Box. В инструментах работы с базами данных другая ситуация: Hadoop и NoSQL обеспечивают экономию от 70% до 80% и способны поддерживать этот уровень в течение нескольких лет, поэтому для продуктов типа Oracle Terradata и Exadata могут наступить нелёгкие времена.

Однако крупные вендоры могут не беспокоиться хотя бы потому, что у них есть определённая клиентская база, состоящая из больших компаний. Эти компании понимают, что, несмотря на немалые затраты на старте, стоимость владения сравняется через несколько лет. И за этот срок компания получает надёжное решение от именитого вендора, которое не подвержено таким рискам, как облачный продукт. Поэтому для большого бизнеса облака всё ещё не совсем подходят. И облачным провайдерам остается лишь перетягивать на себя одеяло малого бизнеса, где клиентов значительно больше, но средний чек с одной сделки мизерный в сравнении с большими контрактами, которые могут обеспечить корпоративные заказчики. А то, что стоимость владения облачным продуктом выравнивается со стоимостью традиционного, оказывается даже на руку облачным провайдерам, поскольку большая часть малого бизнеса не доживает до отметки в три года. Дальше бизнес либо влачит полудоходное и полуживое существование, либо становится средним — и тогда встаёт вопрос о переходе на решения от традиционных вендоров. Так что рынок остаётся раздробленным и неоднородным. Традиционным вендорам — корпоративные клиенты, облачным провайдерам — малый бизнес.
В защиту облачных провайдеров, для которых я нарисовал не вполне радужный прогноз, скажу, что цена зачастую оказывается далеко не решающим фактором при выборе между облачным и предустановленным решением. Директор облачного направления IBM Джастин Гатлин (Justin Gatlin), выступая на конференции InterConnect 2013, заявил, что сокращение издержек не всегда является главным приоритетом для клиентов компании. Приведя в пример вьетнамский TienPhong Bank, который установил SmartCloud для офлайн- и онлайн-банкинга, Джастин объяснил, что клиентам IBM куда важнее инновации, скорость внедрения и установление отношений с клиентами. Облачные продукты подходят для этого куда лучше традиционных решений, поскольку те требуют сложного внедрения и не развиваются так быстро. Для работы с предустановленными решениями нужно обучать персонал, а облачные изначально берут курс на консьюмеризированные технологии.

В итоге получается, что традиционный и облачный софт взаимодействует как слаженная экосистема. Или по крайне мере станет взаимодействовать, если рынок продолжит развиваться в существующем векторе. Малый и средний бизнес будет с большей охотой адаптироваться к облачным технологиям до того момента, пока не поймет, что стоимость облачных и традиционных продуктов сравнялась. Затем решение будет приниматься в зависимости от бюджетов и прогнозируемого роста. Не исключено, что уже в пользу предустановленного софта. А крупные клиенты с большей вероятностью выберут традиционные решения, если только облачные провайдеры не убедят их в абсолютной защищённости своих продуктов.
Категория: ИТ | Просмотров: 381 | Добавил: Mirra_Sun | Дата: 16.10.2013 | Комментарии (0)


Шесть лучших и абсолютно законных способов использования торрентов

Автор: Олег Нечай 


У многих из нас торренты ассоциируются исключительно с загрузкой пиратских фильмов и музыки и с нелегальным файлообменом. Между тем у самой технологии BitTorrent есть масса абсолютно законных применений, и с некоторыми из них мы вас познакомим в этой статье.

Для работы с торрентами во многих случаях требуется специальная программа-клиент, которая устанавливается на персональный компьютер и занимается раздачей и скачиванием фрагментов файлов из разных источников, представляющих собой точно такие же ПК.

torrents-legal-14



Существует множество бесплатных торрент-клиентов, которые мало чем различаются функционально, и выбор во многом зависит исключительно от личных предпочтений. Можно, к примеру, скачать официальный клиент BitTorrent непосредственно с сайта разработчика технологии, а можно и любой из альтернативных, самыми популярными среди которых являются µTorrent, Vuze и Transmission.
1. Скачиваем официальные игры и обновления

Возможно, вы удивитесь, но главный способ распространения крупнейших многопользовательских сетевых компьютерных игр — это именно торренты. В популярнейших ролевых играх Diablo III, Starcraft II и World of Warcraft, выпущенных компанией Blizzard Enterntainment, есть встроенный торрент-клиент, непосредственно участвующий как в скачивании необходимых файлов в процессе установки, так и в последующей загрузке всех обновлений и патчей. Фактически при покупке такой игры вы получаете просто специализированный торрент-клиент, который затем скачивает все игровые данные.

torrents-legal-16

Главное достоинство такого подхода заключается в том, что вам не нужно самостоятельно разыскивать отдельные файлы и обновления и по одному их загружать: всё будет делаться автоматически. Кроме того, это позволяет производителю оптимизировать свои каналы для обеспечения максимально возможной скорости для большинства игроков, поскольку при использовании торрент-технологии радикально снижается нагрузка на серверы самой Blizzard Enterntainment, ведь игроки скачивают фрагменты файлов друг у друга.

torrents-legal-02

Впрочем, если у вашего канала ограниченная пропускная способность или вы просто не хотите, чтобы его занимали фоновые загрузки, встроенный торрент-клиент можно отключить. Для этого нужно открыть Launcher, зайти в «Настройки» и в пункте «Настройки соединения» снять отметку перед строкой «Включить пиринговую передачу».

torrents-legal-03


2. Скачиваем фильмы из Internet Archive

B «Интернет-Архиве», поддерживаемом одноимённой некоммерческой организацией из Сан-Франциско, хранятся не только копии содержания различных веб-страниц, в нём есть и огромная библиотека звуковых и видеофайлов, время действия авторских прав на которые в соответствии с американским законодательством закончилось. При этом среди них попадаются далеко не только фильмы до сороковых годов прошлого века, но и вполне современные ленты, авторы которых допускают их свободное распространение.

torrents-legal-04



В результате здесь можно найти множество как художественных, так и документальных фильмов, в том числе и на русском языке. При этом создатели Internet Archive рекомендуют использовать для загрузки именно торрент-файлы, что сэкономит средства «Архива» и позволит пустить их на поиск и оцифровку новых материалов.

torrents-legal-05


3. Скачиваем Linux

torrents-legal-07



Наверное, самым популярным способом легального использования технологии BitTorrent была и остаётся загрузка дистрибутивов различных вариантов операционной системы Linux, включая популярнейшие Fedora, Debian и Ubuntu. Некоммерческие версии таких дистрибутивов абсолютно бесплатны, а их объём превышает один гигабайт, поэтому раздачу их через торренты можно считать оптимальным путём распространения.



Дистрибутивы разных версий Linux можно найти на официальных сайтах их разработчиков или, например, на специализированном «Линукс-трекере».


4. Скачиваем и распространяем музыку и видео

Технология BitTorrent — один из лучших способов быстрого бесплатного распространения музыки или видео; если вы разместите такие файлы на собственном сервере, вам придётся изрядно потратиться на оплату канала, особенно если ваши материалы большой длительности и (или) высокого разрешения.

На официальном сайте BitTorrent есть специальный раздел BitTorrent Bundle, на котором продюсеры и издатели размещают видеоклипы, песни и разнообразные дополнительные материалы, доступные для свободной загрузки. Расчёт на то, что подобная реклама привлечёт интерес к исполнителям, повысит продажи их новых записей и билетов на концерты.

Но никто не мешает вам начать раздавать музыку и видео непосредственно с вашего собственного компьютера: способ создания торрент-файла в разных клиентах различен, но обычно сводится к простому перетаскиванию ссылки в окно и заполнению служебной информации. Получившийся торрент-файл объёмом в несколько десятков килобайт можно разместить, например, на вашей личной странице или сайте вашего коллектива. После того как у файлов появится достаточно большое число раздающих-«сидов», вы просто можете уйти с раздачи и сэкономить свой трафик.

5. Скачиваем легальные «живые» концерты

Если вас интересуют аудио- и видеозаписи «живых» концертов как малоизвестных, так и некоторых знаменитых исполнителей, вам стоит заглянуть на сайт BT.ETREE.ORG, представляющий собой специализированный торрент-трекер.

На этом сайте с официального разрешения разных исполнителей собраны ссылки на «живые» записи самого различного качества. Из поддерживающих проект известных групп на трекере больше всего контента Grateful Dead и Phish, но и среди не самых знаменитых имён тоже попадаются весьма интересные коллективы.
6. Обмениваемся файлами объёмом до терабайта

Весной 2013 года мы писали о том, что компания BitTorrent открыла новый бесплатный сервис BitTorrent Sync, предназначенный для онлайновой синхронизации данных между разными машинами. Главное отличие этого сервиса от обычных «облачных» служб синхронизации заключается в использовании протокола BitTorrent, благодаря чему файлы копируются напрямую между соединёнными компьютерами, и не проходят через промежуточные серверы, где их можно перехватить.
А вот другая «вариация на тему» от той же компании BitTorrent — сервис SoShare, позволяющий не синхронизировать целые папки и разделы компьютеров, а просто обмениваться файлами — всё так же бесплатно. При этом объём «расшаренного» через протокол BitTorrent файла или файлов может составлять до 1 000 Гбайт, что не может не впечатлять на фоне облачных файлообменных сервисов, которые к тому же нередко требует ежемесячной абонентской платы для загрузки на высоких скоростях.
Для использования SoShare нужно скачать и установить специальный плагин, затем ввести адреса электронной почты адресата и отправителя и перенести в специальное окно нужные файлы. Максимальный объём «отправляемых» за один раз файлов не может превышать 1 000 Гбайт, но само количество таких отправок не ограничено. В результате адресат получает письмо с торрент-файлом и просто скачивает его непосредственно с вашей машины, так что скорость передачи зависит от канала.
Интересно, что в рамках сервиса SoShare уже существуют и своеобразные «каналы». Например, известная группа Public Enemy использовала SoShare для организации конкурса, предложив присылать напрямую ремиксы на их композиции, которые должны были принять в нём участие.

* * *

Технология BitTorrent сегодня используется в самых неожиданных местах, где увидеть её вовсе не ожидаешь. Например, Facebook и Twitter применяют её для служебного перемещения больших файлов между серверами в целях оптимизации использования каналов и ускорения процесса. Британское правительство в 2010 году начало распространять некоторую официальную информацию в рамках базы данных COINS через торрент-файлы. NASA предла ... Читать дальше »
Категория: ИТ | Просмотров: 364 | Добавил: Mirra_Sun | Дата: 16.10.2013 | Комментарии (0)

Новый процессор Qualcomm работает, как человеческий мозг


Qualcomm хочет получить по-настоящему думающий процессор, который будет функционировать подобно человеческому мозгу. Такой архитектуре не понадобится код, она сможет понимать команды без написания программ. Эти процессоры называются Qualcomm Zeroth, и для них уже есть программные инструменты, которые могут научить компьютер плохому или хорошему поведению без программирования.

В демонстрации компания показывает робота, который учится посещать только белые квадраты на разлинованном полу. Сначала машина исследует пространство, после чего на каждой белой клетке она получает положительную стимуляцию. Робот понимает это и начинает посещать только белые клетки. Он учится понимать это благодаря команде «хороший робот», а не сложному алгоритму.

Архитектура компьютер смоделирована по образу и подобию нейронов. Это позволяет процессору пассивно реагировать на стимуляции, ожидая всплеска активности нейронов, который принесёт информацию и позволит выстроить эффективную структуру общения. К следующему года платформа Qualcomm будет доступна для исследователей и стартапов.

Категория: ИТ | Просмотров: 325 | Добавил: Mirra_Sun | Дата: 15.10.2013 | Комментарии (0)