Файл: Лабораторная работа 1 Цель работы.docx

Скачать файл
Заказать решение

ВУЗ: Не указан

Категория: Не указан

Дисциплина: Не указана

Добавлен: 07.11.2023

Просмотров: 163

Скачиваний: 2

ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.

СОДЕРЖАНИЕ

Количественная оценка стойкости парольной защиты

Задание.

Варианты на лабораторную работу

ПРОЦЕСС СДАЧИ ЛАБОРАТОРНОЙ РАБОТЫ

ПРИЛОЖЕНИЕ 1. ШАБЛОН ОТЧЕТА

ПРИЛОЖЕНИЕ 2. ТРЕБОВАНИЯ К ОФОРМЛЕНИЮ ОТЧЕТА

ЛАБОРАТОРНАЯ РАБОТА №1

Цель работы:


исследовать парольные подсистемы аутентификации пользователей; реализовать простейший генератор паролей, обладающий требуемой стойкостью ко взлому.

Теоретическая часть:


Идентификацияпользователя– присвоение ему некоторого несекретного идентификатора, который он должен предъявить СЗИ при осуществлении доступа к объекту. В качестве идентификатора может быть использован, например, логин, физическое устройство, и т.д.

Аутентификация– подтверждение пользователем своего идентификатора, проверка его подлинности. Данный этап необходим для

устранения фальсификации
идентификатора,
предотвращения

несанкционированного доступа
в случае утери
пользователем

идентификатора.






Подсистемы идентификации и аутентификации играют очень важную роль для систем защиты информации.

Стойкость подсистемы идентификации и аутентификации пользователя в системе защиты информации (СЗИ) во многом определяет устойчивость к взлому самой СЗИ. Данная стойкость определяется гарантией того, что злоумышленник не сможет пройти аутентификацию, присвоив чужой идентификатор или украв его.

Парольные системы идентификации/аутентификации является одними из основных и наиболее распространенных в СЗИ методами пользовательской аутентификации в силу их простоты и прозрачности. В данном случае, информацией, аутентифицирующей пользователя, является некоторый секретный пароль, известный только легальному пользователю.

Парольная аутентификация пользователя является, как правило, передним краем обороны СЗИ. В связи с этим, модуль аутентификации по паролю наиболее часто подвергается атакам со стороны злоумышленника.

Цель злоумышленника в данном случае – подобрать аутентифицирующую информацию (пароль) легального пользователя.

Методы парольной аутентификации пользователя являются наиболее простыми методами аутентификации и при несоблюдении определенных требований к выбору пароля являются достаточно уязвимыми.

Основными минимальными требованиями к выбору пароля являются следующие требования:

  1. Минимальная длина пароля – не менее 8 символов.

  2. Пароль должен состоять из различных групп символов (строчные и заглавные буквы алфавита, цифры, различные специальные символы).

  3. В качестве пароля не должны использоваться реальные слова, фразы, устойчивые выражения и наборы символов, которые легко подобрать, например, 12345678, qwertyui, passwordи т.п.

  4. Пароль не должен содержать личную информацию, которую легко узнать – дату рождения, имя, фамилию и т.д.

Основными минимальными требованиями к подсистеме парольной аутентификации пользователя являются следующие требования:

  1. Администратор СЗИ должен устанавливать максимальный срок действия пароля, после чего его необходимо менять. Рекомендуемый срок действия паролей – 3 месяца.

  2. В подсистеме парольной аутентификации должно быть установлено ограничение числа попыток ввода пароля (как правило, не более 3).

  3. В подсистеме парольной аутентификации должна быть установлена временная задержка при вводе неправильного пароля.

Как правило, для помощи администратору безопасности в формировании паролей подчиненных ему пользователей, удовлетворяющих перечисленным требованиям к паролям, используются особые программы - автоматические генераторы паролей пользователей.

При выполнении перечисленных требований к паролям и к подсистеме
парольной аутентификации, единственно возможным методом взлома данной

подсистемы злоумышленником является прямой перебор паролей (brute forcing). В данном случае, количественная оценка стойкости парольной защиты осуществляется следующим образом.

Количественная оценка стойкости парольной защиты


Пусть A – мощность алфавита паролей (количество символов, которые могут быть использованы при составлении пароля. Например, если пароль состоит только из строчных латинских букв, то A= 26).

L– длина пароля.

S=AL– число всевозможных паролей длины L, которые можно составить из символов алфавита A.

V– скорость перебора паролей злоумышленником.

T– максимальный срок действия пароля.

Тогда, вероятность Pподбора пароля злоумышленником в течении срока его действия Vопределяется по следующей формуле:

???? =

???? ∗ ????

???? =

???? ∗ ????


????????

Эту формулу можно использовать в обратную сторону для решения

следующейзадачи:

Определить минимальные мощность алфавита паролей Aи длину паролей L, обеспечивающих вероятность подбора пароля злоумышленником не более заданной P, при скорости подбора паролей V, максимальном сроке действия пароля T.

Данная задача имеет неоднозначное решение. При исходных данных V,T,Pоднозначно можно определить лишь нижнюю границу S*числа всевозможных паролей. Целочисленное значение нижней границы вычисляется по следующей формуле:

????∗ = [????∗????] (1)

????

где [ ] – целая часть числа, взятая с округлением вверх.

После нахождения нижней границы S*необходимо выбрать такие Aи L

для формирования S=AL, чтобы выполнялось неравенство (2):

????∗ ≤ ???? = ???????? (2)

При выборе S, удовлетворяющего неравенству (2), вероятность подбора пароля злоумышленника (при заданных V и T) будет меньше, чем заданная P.Необходимо отметить, что при осуществлении вычислений по формулам (1) и (2), величины должны быть приведены к одним размерностям.

Например,пустьимеютсяследующиеисходныеданные:

P = 10-6, T = 7 дней = 1 неделя, V = 10 паролей / минуту = 10*60*24*7 = 100800 паролей в неделю.

Тогда, ????∗ = [100800∗1] = 1008 ∗ 108.

10−16

Условию ????∗ ≤ ???????? удовлетворяют, например, такие комбинации A и L, как A= 26, L= 8 (пароль состоит из 8 строчных символов латинского алфавита), A = 36, L = 6 (пароль состоит из 6 символов, среди которых могут быть строчные латинские буквы и произвольные цифры).

Задание.


  1. В таблице 1 найти для вашего варианта значения характеристик P, V,T, а также группы символов, используемых при формировании пароля.

  2. Вычислить мощность алфавита паролей A, соответствующую Вашему варианту.

  3. Вычислить по формуле (1) нижнюю границу S*для заданных P,V,T.

  4. Зная мощность алфавита паролей A, вычислить минимальную длину пароля L, при котором выполняется условие (2).

  5. Используя программу SimplePasswordsзадать исходные и вычисленные характеристики парольного генератора, соответствующие Вашему варианту. Построенный генератор будет обладать стойкостью ко взлому не менее заданной P.

  6. Сформировать в парольном генераторе Simple Passwords 20 паролей, которые внести в отчет (требования к оформлению отчета приведены в конце методических указаний к лабораторной работе).

  7. Реализовать на языке программирования программу, реализующую генератор паролей с характеристиками, соответствующими Вашему варианту.

Программа, аналогично Simple Passwords, должна формировать случайную последовательность символов длины L, должны использоваться символы из тех групп, которые выданы Вашему варианту.

  1. Доработать созданную программу таким образом, чтобы можно было формировать пароли не менее длины Lи использовать при этом дополнительные группы символов.

  2. Оформить отчет по лабораторной работе.

Варианты на лабораторную работу





Вариант
P
V
T
Используемыегруппысимволовпароля

1
10-4
15 паролей/мин
2 недели

  1. Цифры (0-9)

  2. Латинские строчные буквы (a-z)

2
10-5
3 паролей/мин
10 дней

  1. Латинские прописные буквы (A-Z)

  2. Русские строчные буквы (а-я)

3
10-6
10 паролей/мин
5 дней

  1. Русские прописные буквы (А-Я)

  2. Специальные символы.

4
10-7
11 паролей/мин
6 дней

  1. Цифры (0-9)

  2. Латинские прописные буквы (A-Z)

5
10-4
100 паролей/день
12 дней

  1. Русские прописные буквы (А-Я)

  2. Латинские строчные буквы (a-z)

6
10-5
10 паролей/день
1 месяц

  1. Русские строчные буквы (а-я)

  2. Специальные символы.

7
10-6
20 паролей/мин
3 недели

  1. Цифры (0-9)

  2. Русские строчные буквы (а-я)

8
10-7
15 паролей/мин
20 дней

  1. Латинские строчные буквы (a-z)

  2. Латинские прописные буквы (A-Z)

9
10-4
3 паролей/мин
15 дней

  1. Русские прописные буквы (А-Я)

  2. Русские строчные буквы (а-я)

10
10-5
10 паролей/мин
1 неделя

  1. Цифры (0-9)

  2. Специальные символы.

11
10-6
11 паролей/мин
2 недели

  1. Цифры (0-9)

  2. Русские прописные буквы (А-Я)

12
10-7
100 паролей/день
10 дней

  1. Латинские строчные буквы (a-z)

  2. Русские прописные буквы (А-Я)

13
10-4
10 паролей/день
5 дней

  1. Цифры (0-9)

  2. Латинские строчные буквы (a-z)

14
10-5
20 паролей/мин
6 дней

  1. Латинские прописные буквы (A-Z)

  2. Русские строчные буквы (а-я)

15
10-6
15 паролей/мин
12 дней

  1. Русские прописные буквы (А-Я)

  2. Специальные символы.

16
10-7
3 паролей/мин
1 месяц

  1. Цифры (0-9)

  2. Латинские прописные буквы (A-Z)

17
10-4
10 паролей/мин
3 недели

  1. Русские прописные буквы (А-Я)

  2. Латинские строчные буквы (a-z)

18
10-5
11 паролей/мин
20 дней

  1. Русские строчные буквы (а-я)

  2. Специальные символы.

19
10-6
100 паролей/день
15 дней

  1. Цифры (0-9)

  2. Русские строчные буквы (а-я)

20
10-7
10 паролей/день
1 неделя

  1. Латинские строчные буквы (a-z)

  2. Латинские прописные буквы (A-Z)

21
10-4
20 паролей/мин
2 недели

  1. Русские прописные буквы (А-Я)

  2. Русские строчные буквы (а-я)

22
10-5
15 паролей/мин
10 дней

  1. Цифры (0-9)

  2. Специальные символы.

23
10-6
3 паролей/мин
5 дней

  1. Цифры (0-9)

  2. Русские прописные буквы (А-Я)

24
10-7
10 паролей/мин
6 дней

  1. Латинские строчные буквы (a-z)

  2. Русские прописные буквы (А-Я)

Смотрите также файлы