PWGen 1.40: cоздаем пароль

Введение

Продолжаем серию публикаций, направленных на повышение общего уровня защиты информационной системы пользователя. Сегодня вниманию читателя предлагается обзор утилиты PWGen 1.40, создающей "правильные" пароли, а именно:

Вероятность случайного запоминания равна нулю (пароль представляет собой отнюдь не имя cобаки из трех букв).

Использование нескольких наборов символов максимизирует время, необходимое для подбора пароля с помощью специальных программных продуктов.

Необходимость создания такого пароля может показаться несколько надуманной, так как правильный пароль - лишь одна из составляющих всей системы защиты. Более того, рядовой пользователь, хранящий на компьютере данные, не представляющие интересы для широкого круга людей, очень часто успокаивает себя мыслью, что когда им займутся всерьез, то никакой пароль не спасет. Если речь идет о единичном случае - бесспорно, любые данные могут быть получены путем, к примеру, зажимания в тисках различных частей тела до появления необходимого результата. Однако когда идет речь о сохранении конфиденциальности информации, такой заурядной, но зачастую просто необходимой вещью, как хороший пароль, пренебрегать нельзя.


Разработчик - Кристиан Соинг (Christian Thoeing) представил свою программу PWGen 1.40 (сокр. от PassWord Generator) на специализированном сервере SourceForge.net, предназначенном для бесплатного размещения программ c открытым исходным кодом (Open Source). Данный программный продукт, по словам разработчика, предназначен для создания паролей c использованием алгоритма AES. Основным отличием от аналогов, автор указывает относительно высокую криптографическую стойкость созданного пароля. Дабы не вдаваться в дебри криптологии, протестируем заявленную работоспособность программы.

Этапы cоздания пароля

Создание пароля происходит в три этапа...

1. На первом этапе задается уровень криптостойкости пароля - путем выбора количества бит размера пароля. Диапазон значений находится в пределах от 32 до 2048. Приведен ряд характерных значений. Также предоставлена возможность, вводить произвольные значения с одним лишь условием - они должны быть кратны 4, 6 или 13. Такие требования продиктованы формой вывода пароля - в шестнадцатеричной форме (Hexadecimal), латинский алфавит (base64) - большие и маленькие буквы, цифры, символы "+" и "/" и в словесной форме - пароль в виде нескольких слов. Присутствует опция "Быстрое Создание Пароля" (Quick generation), активировав которую, можно пропустить дальнейшие шаги создания пароля.
   
   
   
   
   
2. На втором этапе производится увеличение показателя случайности исходных данных для генерирования пароля. Разработчиком предусмотрены режимы автоматической (только в случае активации "Быстрое Создание Пароля" на предыдущем этапе) и полуавтоматической системе набора случайных исходных данных.
   
   
   
   
   В последнем случае необходимо произвольным образом дополнить оставшееся количество бит пароля путем набора текста или нажатия на кнопки мыши. К примеру, была выбрана длина пароля в 512 бит. Программа автоматически сгенерировала 32 системной энтропии из 956 необходимых бит. (Автор программы вводит понятие BIPS - Bits of Iinformation Per bit derived from the entropy Source - количество информационных бит, выведенных из исходной энтропии. Именно этим объясняется появление 956 бит исходной энтропии, необходимых для создания пароля необходимой длины).
   
   
   
   
   Пользователю необходимо "доделать" 956-32=924 бит. Одно нажатие на клавишу, как не трудно догадаться, добавляет 8 бит. Нажатие на кнопку мыши также соответствует добавлению восьми бит. Когда необходимая длина достигнута, появляется сообщение "Спасибо. Достаточно. (That's enough, thank you)".
   
   
   
   
   
3. Собственно, создание пароля закончено - осталось лишь выбрать форму вывода пароля: в шестнадцатеричной форме, base64 или в виде фразы, слова для которой берутся из встроенного словаря (на английском и немецком языках). Для удобства запоминания предусмотрены опции сохранения в файл и в буфер обмена.
   
   
   
   
   Создать еще пароль с аналогичными параметрами, используя существующий набор исходных бит, можно одним нажатием на кнопку с красной стрелочкой.
   
   
   
   
   

В программе предусмотрены некоторые настройки, предназначенные для быстрой смены параметров генерации пароля. Например, количество бит, генерируемых системой, показатель BIPS и прочее. Также можно изменить глобальные настройки, такие как язык интерфейса (английский, французский и немецкий), значения по умолчанию - длины пароля и формы вывода.

Сопутствующие функции

Реализованы сопутствующие функции:

Clear Clipboard - Безопасное и гарантированное уничтожение информации из буфера обмена.

Create Random File - Создание файла случайных символов, с длиной зашифрованной последовательности в 2048 бит. Как вариант использования - при генерации паролей с такой длиной быстрое использование содержимого.

Get Password List - построение ненумерованного списка из ста произвольных значений. В зависимости от выбора формы вывода изменяется длина бит пароля. Decimal - в десятичной форме - 32 бита, Hexadecimal - шестнадцатеричной форме - 32 бита, Base64 - 30 бит, Words - в словесной форме - 13 бит, Phonetic - в форме для звукового воспроизведения - не более 4 бит.

Clipboard Encryption - шифрование буфера обмена - соответственно зашифровывает и расшифровывает данные буфера по алгоритму AES c длиной ключа в 256 бит. Разработчик крайне не рекомендует зашифровывать фрагменты более 64 Кб.

Permutation/Lottery - перестановка/лотерея - программа произвольным образом переставляет числовой ряд в указанном диапазоне.

Несколько рекомендаций по параметрам и работе с паролями

Длина пароля - для "домашнего" применения - достаточно 64 бит. Для того, чтобы подобрать пароль с помощью специальной программы, необходимо 256 дней беспрерывной работы. Пароль с длиной ключа в 72 бита будет подбираться 179.6 лет, 78 бит - 11491.2 лет и т.д.

Использование паролей - необходимо запомнить одну вещь - никогда не записывать пароль. Можно временно, на стадии запоминания, записывать пароль, однако когда пароль уже в памяти, необходимо уничтожить все записи. Никогда никому не сообщайте свой пароль, даже близким родственникам и начальству. В противном случае пароль становится бесполезен...

Запоминание паролей - большинству пользователей очень непросто быстро запомнить созданный пароль. Приведем один (не самый быстрый) из вариантов запоминания. К примеру, был создан 72 битный пароль P8qu6tCVk0Zf. Можно разбить его на несколько троек - P8q-u6t-CVk-0Zf. В таком виде можно записать его на бумаге (ненадолго!) - зрительная память поможет найти путь в память мозга. Далее - составляем предложение из слов, начинающихся с символов пароля (например, с помощью словаря PWGen) - "Peter (8 years old) quoted using 6 topics..." . При использовании таких нехитрых уловок, пароль прочно засядет в памяти. (Разработчик рекомендует после запоминания сжечь (а не выбросить в корзину!) бумагу, на которой были сделаны записи частей пароля). Известны случаи запоминания 90-битного пароля.

Безопасность паролей - разработчик рекомендует зашифровывать созданные пароли с помощью других программных продуктов (бесплатные Password Safe или KeePass). Достаточно использовать 64-битное шифрование.

Очистка жесткого диска - концепция ОС Windows позволяет не вводить пароли каждый раз, а вызывать их при повторной авторизации. Пароли хранятся в "безопасном", по утверждению разработчиков Windows, месте. Настоятельно рекомендуется использовать специальные программы (бесплатные Eraser или Blowfish Advanced CS), которые отыскивают все сохраненные в "безопасном" месте пароли и уничтожают их.

Заключение и ссылка

Вот таким образом обернулось довольно простое дело - создание "правильного" пароля. Использование программы рекомендуется хотя бы в ознакомительных целях.

PWGen 1.40 (около 380 Кбайт), ссылка на страничку закачки: ссылка