搜索

[8462] 2014-12-02_微软：暴力破解面前，增强密码复杂性基本没用

文档创建者：s7ckTeam
浏览次数：100
最后更新：2025-01-17
2014-12-02_微软：暴力破解面前，增强密码复杂性基本没用 微 软 ： 暴 力 破 解 面 前 ， 增 强 密 码 复 杂 性 基 本 没 用 d a w n e r   F r e e B u f   2 0 1 4 - 1 2 - 0 2 我 们 都 痛 恨 密 码 ， 然 而 不 幸 的 是 在 当 下 及 可 以 看 见 的 未 来 里 ， 账 户 登 录 等 在 线 认 证 操 作 的 主 要 方 法 还 是 需 要 使 用 密 码 的 。 密 码 认 证 有 时 确 实 比 较 烦 人 ， 尤 其 是 一 些 网 站 为 了 密 码 安 全 性 ， 要 求 我 们 在 设 置 密 码 时 必 须 包 含 大 小 写 字 母 、 数 字 或 特 殊 字 符 。 微 软 发 布 的 最 新 研 究 报 告 称 ： 增 强 密 码 复 杂 性 基 本 是 没 有 任 何 意 义 的 。 在 本 文 中 ， 我 将 简 要 分 析 一 下 微 软 的 理 论 ， 并 且 与 大 家 探 讨 下 两 个 新 的 密 码 安 全 解 决 方 案 。 什 么 是 暴 力 破 解 ？ 什 么 是 暴 力 破 解 ？ 暴 力 破 解 攻 击 是 指 攻 击 者 通 过 系 统 地 组 合 所 有 可 能 性 （ 例 如 登 录 时 用 到 的 账 户 名 、 密 码 ） ， 尝 试 所 有 的 可 能 性 破 解 用 户 的 账 户 名 、 密 码 等 敏 感 信 息 。 攻 击 者 会 经 常 使 用 自 动 化 脚 本 组 合 出 正 确 的 用 户 名 和 密 码 。 更 多 信 息 请 点 我 h t t p : / / w w w . f r e e b u f . c o m / n e w s / s p e c i a l / 5 2 3 6 1 . h t m l 增 强 密 码 复 杂 性 基 本 没 用 增 强 密 码 复 杂 性 基 本 没 用 在 密 码 能 强 大 到 无 视 社 工 字 典 的 攻 击 后 ， 采 取 的 那 种 攻 击 称 为 暴 力 破 解 。 这 类 暴 力 破 解 又 分 两 种 ： 在 线 破 解 和 离 线 破 解 。 在 密 码 能 强 大 到 无 视 社 工 字 典 的 攻 击 后 ， 采 取 的 那 种 攻 击 称 为 暴 力 破 解 。 这 类 暴 力 破 解 又 分 两 种 ： 在 线 破 解 和 离 线 破 解 。 在 线 破 解 时 ， 黑 客 通 常 使 用 与 用 户 正 常 操 作 时 相 同 的 应 用 接 口 （ 比 如 登 录 时 用 到 的 w e b 接 口 ） ， 因 而 可 能 被 某 些 安 全 防 控 规 则 限 制 。 然 而 由 于 离 线 破 解 的 必 要 条 件 是 黑 客 已 经 获 取 了 密 码 文 件 ， 因 而 黑 客 们 进 行 密 码 暴 力 猜 解 时 通 常 是 毫 无 忌 惮 、 无 所 限 制 的 。 微 软 安 全 研 究 人 员 微 软 安 全 研 究 人 员 发 现 发 现 ， 通 过 在 线 破 解 所 尝 试 直 至 成 功 的 次 数 最 高 约 为 ， 通 过 在 线 破 解 所 尝 试 直 至 成 功 的 次 数 最 高 约 为 1 0 0 万 次 ， 而 离 线 破 解 则 达 到 了 万 次 ， 而 离 线 破 解 则 达 到 了 1 0 亿 次 之 多 。 亿 次 之 多 。 因 此 一 个 不 太 复 杂 的 百 万 次 猜 解 级 别 的 密 码 “ t i n c a n 2 4 ” 与 一 个 1 0 亿 次 猜 解 级 别 的 密 码 “ 7 Q r & 2 M ” 相 比 ， 他 们 对 于 在 线 破 解 来 说 都 是 强 密 码 ， 而 通 过 离 线 破 解 则 都 不 堪 一 击 。 同 时 后 者 还 更 加 难 以 记 住 。 这 就 告 诉 我 们 ， 在 离 线 暴 力 破 解 攻 击 面 前 ， 增 强 密 码 复 杂 性 基 本 没 用 。
当 密 码 文 件 泄 露 后 当 密 码 文 件 泄 露 后 为 了 对 抗 密 码 文 件 泄 露 后 的 离 线 破 解 攻 击 ， 我 们 需 要 做 一 些 防 护 措 施 。 在 微 软 的 报 告 里 提 到 一 个 通 用 解 决 方 案 ： 将 每 个 密 码 进 行 加 密 ， 然 后 将 密 钥 储 存 在 硬 件 安 全 模 块 （ H S M ） 之 中 。 因 为 H S M 并 没 有 提 供 密 钥 的 外 部 访 问 接 口 ， 所 以 想 要 解 密 密 文 ， 只 能 通 过 应 用 程 序 走 正 常 流 程 ， 那 样 即 使 拿 到 了 密 文 也 没 有 太 大 用 处 。 两 个 创 新 性 防 护 方 案 两 个 创 新 性 防 护 方 案 对 于 防 密 码 文 件 泄 露 ， 国 外 安 全 研 究 者 提 出 两 个 创 新 性 的 解 决 方 案 ： 1 、 在 D e r b y c o n   2 0 1 4 大 会 上 ， B e n j a m i n   D o n n e l l y 和 T i m   T o m e s 提 出 了 他 们 的 “ 球 链 ” （ B A C ） 解 决 方 案 。 B A C 提 供 了 一 种 方 法 ， 可 以 人 工 填 充 密 码 文 件 从 而 增 加 文 件 大 小 。 当 然 ， 密 码 数 据 会 安 全 地 存 放 在 文 件 里 不 会 丢 失 ， 这 样 一 来 密 码 的 猜 解 难 度 增 大 了 许 多 。 打 个 比 方 ， 黑 客 想 要 在 线 猜 解 一 个 2 T B 大 小 的 密 码 文 件 ， 至 少 得 花 费 1 个 月 的 时 间 。 这 么 长 的 时 间 ， 再 加 上 如 此 大 的 数 据 发 送 量 ， 黑 客 的 攻 击 有 非 常 大 的 可 能 性 会 暴 露 。 2 、 以 色 列 某 新 兴 公 司 D y a d i c ， 向 公 众 展 示 了 它 的 分 布 式 安 全 模 块 （ D S M ） 。 D S M 运 用 了 最 先 进 的 分 布 式 计 算 （ M P C ） 加 密 技 术 ， 通 过 把 每 组 密 码 进 行 分 割 后 ， 分 布 式 存 储 在 多 个 服 务 器 上 。 黑 客 想 要 破 解 密 码 ， 需 要 遍 历 多 个 服 务 器 。 由 于 各 服 务 器 有 着 不 同 的 访 问 凭 证 ， 甚 至 操 作 系 统 也 可 能 不 一 样 ， 这 会 大 大 增 加 黑 客 的 破 解 难 度 。 F r e e B u f 结 语 结 语 把 密 码 保 护 的 重 任 压 在 用 户 身 上 是 不 科 学 的 ， 作 为 安 全 研 究 人 员 ， 我 们 显 然 不 能 一 味 地 要 求 用 户 增 加 密 码 复 杂 度 。 而 诸 如 使 用 对 称 / 非 对 称 算 法 存 储 密 码 、 加 盐 （ s a l t ） 、 加 密 机 的 使 用 似 乎 都 是 老 生 常 谈 ， 技 术 也 并 不 新 鲜 。 有 没 有 一 些 新 的 技 术 或 方 式 可 以 提 高 密 码 及 密 码 存 储 安 全 性 ？ 上 文 中 国 外 的 安 全 研 究 者 抛 出 了 两 种 方 法 ， 国 内 的 同 志 们 的 呢 ？ 欢 迎 在 本 文 评 论 中 讨 论 和 交 流 。 [ 参 考 来 源 s e c u r i t y w e e k ， 译 / F r e e B u f 小 编 d a w n e r ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理