Как взломать пароль: обзор самых распространенных способов. Сложные пароли

На днях весь инет облетела новость, что кто-то украл пароли и илогины юзеров Вконтакте, а потом заботливо выложил их вордовским файлом на всеобщее обозрение. Интересно, как webplanet.ru проанализировала эту информацию. Читаем и меняем свои пароли:)

Из статьи:
... Главным признаком угасания умственных способностей можно считать количество ненадёжных паролей. 1344 человека (или 3,36 процента от 40 тысяч уникальных пользователей) защищают свои персональные данные не только простыми, но и распространёнными паролями (к распространённым мы отнесли те, что встречаются более 10 раз).

Вот двадцатка наиболее популярных из них:
Пароль Кол-во Процент
123456 134 0,34%
123456789 85 0,21%
qwerty 85 0,21%
111111 51 0,13%
1234567890 41 0,10%
7777777 39 0,10%
123321 34 0,09%
666666 33 0,08%
1234567 31 0,08%
123123 29 0,07%
12345678 26 0,07%
qwertyuiop 26 0,07%
qazwsxedc 25 0,06%
000000 23 0,06%
любовь 23 0,06%
555555 22 0,06%
zxcvbnm 22 0,06%
654321 19 0,05%
gfhjkm 19 0,05%
1q2w3e4r 18 0,05%

Примечание 1: Если вдруг кто не догадался, "gfhjkm" - это слово "пароль", набранное в латинской раскладке клавиатуры. Многие считают такой приём очень хитрым.

Примечание 2: Бдительная администрация ресурса с некоторых пор запретила изменять пароли на чисто цифровые, однако создавать новые аккаунты с такими паролями по-прежнему допускается.

Несколько слов о главной болезни интернетозависимых - копипейстинге. Напомним, что в рассматриваемой нами социальной сети в качестве логинов используются электронные адреса. Так вот, у 343 пользователей (0,86%) пароль идентичен логину на почтовом сервисе (т.е. части почтового адреса до "собаки"), а ещё у 67 человек (0,17%) пароль полностью соответствует логину (т.е. всему адресу, включая "собаку" и то, что за ней следует).

Кто был тот умный мужик, который сказал, что святая простота хуже воровства?

Где у него кнопка?

Об одном из популярных паролей, не вошедших в ТОП-20, хотелось бы сказать особо.

На странице настроек, в разделе смены пользовательского пароля, администрация разместила следующую нехитрую инструкцию:

Убедитесь, что не включена кнопка CAPS-Lock
Пароль должен быть не менее 6 символов в длину
Ещё лучше - использовать и буквы, и цифры
"kNOpKA" и "knopka" - разные пароли

Как и следовало ожидать, 16 человек из 40 тысяч (0,04%) выбрали в качестве пароля слово, приведённое в последней строчке. Из них 12 использовали вариант "knopka", 2 - "кнопка" и 1 - "KNOPKA". Ещё одна продвинутая девушка завела себе пароль "ryjgrf", то есть "кнопка" в латинской раскладке.

Казалось бы, 0,04% - ничтожная цифра. Однако в масштабах всего сервиса это уже не 16, а 15600 аккаунтов. И этот ключ заботливо вложила в руки злоумышленникам сама администрация!

Позвони мне, позвони!

Семь с лишним тысяч паролей в рассматриваемой базе - это полностью цифровые последовательности (считающиеся несекьюрными), из которых никак не меньше тысячи (то есть более 2,5%) в той или иной степени напоминают номера телефонов. Стоит отметить, что мы обращали внимание только на семизначные и десятизначные номера, так что эта цифра может быть сильно занижена. Добавьте к ним 237 11-значных паролей, начинающихся на "80" (здоровенькі були, шановнi українські друзі!) и еще десяток телефонопаролей, начинающихся с "+". Если учесть, что вконтактёры с большой охотой публикуют на личных страницах номера телефонов, да и телефонные базы купить не так уж и сложно, считать такие пароли надёжными никак нельзя.

Неплохо? А ведь это мы пока ещё не сказали ни слова о любви.

Любовь откроет все засовы

"Любовь" в том или ином виде присутствует в 332 паролях (0,83%). Сюда вошли также слова "люблю", "любимый", "любимая" и их сочетания с именем собственным. Если цифра в 0,83% вас не впечатляет, приплюсуйте сюда не поддающееся учёту количество паролей с именами (в частности, никнеймами, фамилиями и инициалами) любимой девушки, любимого юноши, а также любимого себя.

Среди паролей с именами встречаются такие криптостойкие как "люблюсережу", "ФамилияИмя" и даже "пусенька" (при электронном адресе, начинающемся с "pusya"). Напомним, что имя любимой или любимого, не говоря уже об имени самого человека, можно без труда взять из анкетных данных непосредственно на сайте.

К сожаленью, день рожденья...

Ещё один тип массово используемых небезопасных паролей - это даты. Действительно, намного труднее забыть пароль, если он совпадает с чьей-нибудь датой рождения. В исследуемой базе мы насчитали по крайней мере 1200 паролей (3 процента от общего числа) в форматах типа ЧЧММГГГГ и ГГГГММЧЧ.

Информация же о дате рождения пользователя или его ближайшего окружения зачастую открыта для ознакомления. Более того, сервис за несколько дней предупреждает друзей пользователя о (грядущем взломе) приближении праздника. Если дата рождения будет всё-таки скрыта, её можно попытаться найти в тех же телефонных базах.

Справедливости ради заметим, что с датой или годом рождения вполне можно создавать и довольно сильные пароли. Достаточно добавить несколько букв до, после или между цифрами. По нашим оценкам, порядка 0,5 процента пользователей так и поступает, хотя некоторые из них портят всё дело, дописывая вместо случайных букв своё имя.

Подсчитали - прослезились

Итого имеем:
Распространённые пароли 1344 3,36%
Предполагаемые номера телефонов ~1300 ~3,25%
"Любовь" (за вычетом вошедшего в п.1) 309 0,77%
Совпадение с электронным адресом
(до "собаки" или полностью) 410 1,02%
Даты рождения (только XX век) ~1200 ~3%

Таким образом, в общей сложности мы имеем до 11,4 процента паролей, взломать которые сможет любой желающий, при условии что он знает электронный адрес пользователя, имеет доступ к его анкетным данным и готов потратить пять минут своего драгоценного времени.

Добавьте к этому пароли, совпадающие с именами собственными (подсчитывать которые нам было лень, но речь идёт процентах о десяти, не меньше) и цифровые пароли, оперативно взламываемые элементарным брутфорсом (их доля, за вычетом номеров телефонов и дат, составляет где-то 11 процентов) - и вы получите удручающую картину.

Ситуация усугубляется тем, что правила сервиса требуют от пользователя выкладывать о себе всю подноготную. Наличие такой массы личных сведений в открытом доступе - просто праздник для потенциального взломщика.

Дисклеймер

Безусловно, в процессе подсчёта нами был сделан целый ряд допущений. Да и исследуемую базу никак нельзя назвать абсолютно достоверной. Например, часть пользователей явно не могла вспомнить своих паролей и просто пыталась их подобрать. А немногочисленные сообразительные юзеры, надо отдать им должное, и вовсе воспользовались формой логина-пароля, чтобы послать фишеров в пешее эротическое путешествие.

Саму выборку, несмотря на её весьма приличный объём, тоже нельзя считать полностью репрезентативной, поскольку речь идёт лишь о пользователях, которые, во-первых, умудрились подцепить заразу, а во-вторых, догадались отдать свои пароли в чужие руки - то есть о людях, заведомо наивных в вопросах безопасности.

Тем не менее, просмотрев другие аналогичные исследования, проведённые в самых разных частях света (если угодно - Google вам в помощь), рискнём предположить, что в своих выводах мы скорее преуменьшили масштабы трагедии, нежели преувеличили.

Частое явление в Интернете. Проводится он с разными целями. Самая частая цель – рассылка спама и навязчивой рекламы. Иногда взломщики проводят хищение денежных средств с аккаунтов в социальных сетях. Опасен взлом платежных систем. Взлом пароля электронной почты, кроме рассылки спама, несет опасность того, что все остальные данные аккаунтов так же могут быть узнаны. Иногда проводится с целью хищения игрового контента.

Для защиты своих данных используйте сложные пароли

Методы взлома паролей

Даже лучшие пароли для почты можно взломать. Способы, которыми действуют хакеры, совершенствуются с каждым днем. Это специальные программы для подбора сочетаний, методы отслеживания действий в Интернете и др.

Фишинг

Этот способ узнать пароль от ВК или другой социальной сети популярен у хакеров. Пользователю присылается сообщение, предлагающее перейти на сайт, который похож на тот, что хакер пытается взломать. Обычно, он полностью с него скопирован.

Перейдя по ссылке, пользователь вводит другие данные, думая, что пытается зайти в свой привычный аккаунт. Можно попасть на такой сайт и пытаясь узнать пароль, имея логин, то есть воспользовавшись функцией «Восстановление учетной записи».

Пользователь нажимает кнопку «Вход» и данные моментально попадают к злоумышленникам. Сам же юзер перенаправляется на страницу настоящей социальной сети, даже не замечая, что произошло. Развитая социальная инженерия позволяет хакерам узнать пароль от контакта другого человека.

Ведь для того, чтобы пользователь перешел по поддельной ссылке, необходимо «втереться» к нему в доверие. Метод не слишком эффективный, но простой в осуществлении. Однако владелец аккаунта может заподозрить, настоящая, зачастую, мало отличаются) и отказаться от перехода. Злоумышленника же можно легко найти.

При вводе пароля обратите внимание на адрес сайта: часто злоумышленники делают адрес поддельного сайта похожим на сайт оригинал

Подбор

Основная технология, по которой хакеры пытаются узнать пароль почты методом подбора – БрутФорс. Это метод автоматизированной подстановки генерации и подстановки комбинаций для аккаунта. Для запуска такого подбора нужна специальная программа, взлом пароля которой будет быстрым. Действует такая программа по математическому принципу, где правильное решение узнается методом подбора.

Таким образом, программа бесконечно генерирует комбинации цифр и букв и проверяет их на правильность. За счет высокой производительности, такие программы работают довольно быстро.

Хакерский сервис для взлома может быть, как универсальным, так и для конкретного сайта. При ее работе создается фальшивый прокси, благодаря которому злоумышленники могут скрыть свой айпи. Кроме того, путем регулярной его смены удается избегать блокировки компьютера, с которого производится взлом. После его взлома, Вы, зайдя в аккаунт, увидите сообщение о том, что Ваш пароль был скомпрометирован. Необходимо срочно сделать следующее:

Поменять данные учетной записи;
Изменить контрольный вопрос;
Написать в Администрацию о том, что был скомпрометирован пароль в Контакте (или на другом ресурсе).

Хотя раньше и применялись программы, действующие по , сейчас появились более совершенные. Теперь подстановка к слову цифры не сделает Ваш аккаунт защищенным. Новые программы подбирают совершенно произвольные буквенно – цифровые комбинации, ими можно взломать очень сложное сочетание символов.

Взлом пароля социальной сети ВКонтакте путем перебора

Хэши и взлом сайтов

Действенный, но сложный метод взлома. Чтобы узнать пароль, хакеры взламывают сайт, на котором хранятся хэши кодовых комбинаций пользователей. Хэш получается после того, как комбинация букв подверглась необратимой сложной процедуре. Когда, входя в учетную запись, Вы вводите сочетание знаков, хэш рассчитывается снова и если совпадает с сохраненным, то Вы ввели кодовое слово верно. Эти данные и похищают злоумышленники, взламывая сайт. Еще проще это со старыми ресурсами, которые хранят не хэши, а сами буквенные комбинации.

Хэш расшифровать не так уж сложно. Хакеры имеют множество программ и сервисов, которые позволяют узнать и использовать их. Они могут посмотреть, пароль в Яндекс Почте, предварительно взломав сам сервис, следующим образом:

Вычисление алгоритмов хеширования и расшифровка данных;
Имея базу кодовых комбинаций БрутФорс, хакер так же имеет и хеши этих слов, закодированные тем или иным алгоритмом. Программе остается только сравнить имеющиеся с новыми;
Алгоритмов не так много, и они распространены.

Хеширование на сайтах – процесс, аналогичный работе кукисов на ПК. Расшифровать его так же просто, как узнать пароль из cookies. Потому очевидно, что такое хранение не является надежной защитой аккаунта даже при очень сложной комбинации.

Взлом пароля путем подбора из словаря

Программы – шпионы

Программы – шпионы – ПО, устанавливаемое на ПК срыто. Так, что пользователь не знает о его существовании. По сути своей это вирус. Предназначены для сбора информации о пользователе, логинов, истории запросов браузера, кодовых слов и т.п. Необходимы для взлома и для ведения целевой рекламы. С помощью таких программ информация передается напрямую злоумышленнику.

Такие программы маскируются под ПО, предлагающее скопировать пароль в виде звездочек или восстановить из кукисов. Использовать такие программы нужно осторожно. А лучше воспользоваться браузером для такого восстановления возможности входа в учетную запись. С помощью программ – шпионов можно узнать пароль друга, установив вредоносное ПО на его телефон или компьютер. В этом случае данные будут передаваться Вам.

Программа шпион не взламывает пароль, она его просто ворует и отсылает злоумышленнику

Взламывали ли пароль?

Некоторые ресурсы показывают уведомления о взломе сами. Социальная сеть ВКонтакте выдает уведомление, что скомпрометирован пароль при входе в учетную запись. Если Вы меняете кодовое слово на старое, может появиться такое уведомление, так как сайт хранит черный список паролей, с которых велась рассылка спама и т.п.

Окно-сообщение, предупреждающее пользователя о том, что его аккаунт взломан

Кроме того, есть ряд онлайн сервисов, на которых представлены учетные записи, которые попадали в руки к злоумышленникам в последнее время. Если имеются причины полагать, что пытались взломать пароль электронной почты, то введите в поле адрес почты (или логин, если речь идет не о почтовых ящиках) и Вы увидите, не взламывали ли аккаунт.

Узнать, взламывали ли аккаунт можно и иными способами. Главный из них – анализ активности в аккаунте во время Вашего отсутствия на сайте.

ПОСМОТРЕТЬ ВИДЕО

Если друзьям приходили сообщения рекламного содержания или приглашающие на сторонние сайты, Вы видите сообщения и уведомления впервые, хотя сайт показывает, что они просмотрены и т.п. то Вашей страницей пользовались в отсутствие. При этом она могла и не быть видна онлайн. Есть программы для скрытия присутствия пользователей в сети.

Продолжаем тему безопасности. Мы уже говорили про , и методы защиты своей страницы.

В любом случае мы придем к тому, что уровень безопасности аккаунта, будет во многом зависеть от того, насколько сложный пароль вы установите для вк (см. ).

Почему-то, многие пользователи не сильно затрудняются, и используют самые простые комбинации. А ведь такая халатность может выйти боком (см. ).

Как придумать сложный пароль вконтакте

Да по сути, как и на любом другом сайте. Используйте несколько основных принципов.

Используйте буквы и цифры
Набирайте пароль в разных раскладках клавиатуры
Не храните данные на компьютере
Длина пароля — не менее 8 символов

Что из этого можно вынести. Не стоит ограничиваться стандартным паролем, в духе:

Хорошо хоть то, что на многих сайтах ввели правило, использовать буквы латинского алфавита, и по крайней мере, одну цифру или специальный символ. Но на деле получается не сильно лучше:

Как вы можете догадаться, взломать или подобрать такую комбинацию, для злоумышленника не составит особого труда.

Так какой же пароль можно назвать безопасным? Вот пример:

12!@avi#@$

Здесь использованы цифры, буквы в разных раскладках и специальные символы.

Видео урок: какой пароль можно придумать для страницы вконтакте

Заключение

Что хочу еще вам сказать. Воздержитесь от того, чтобы хранить свои пароли на компьютере. Не стоит записывать их в блокнот, и держать на рабочем столе. Велика вероятность их кражи.

Вопросы?

Вконтакте

Эксперты по компьютерной безопасности из Кембриджского университета проанализировали структуру более 70 млн. паролей. И выяснили то, что самые сложные пароли в мире составляют пользователи из Германии и Кореи. Причём делают они это непринуждённо и естественно, без специальной подготовки. А секрет устойчивости комбинаций кроется в специфике их языка. Они применяют те же латинские символы, те же цифры, но берут за основу свои родные «трудные» слова - имена, топонимы, термины и т.д. Например, Annaberg-Buchholz#122. Придумать, запомнить эти варианты легко, а вот подобрать на порядок сложней по сравнению со словарными словами других языков.

Если вы, уважаемый читатель, не знаете корейского или немецкого, это, конечно же, не значит то, что вы должны игнорировать сложные пароли. Они являют залогом безопасности ваших данных в интернете (в платёжных онлайн-системах, на сайтах, форумах). Эта статья расскажет вам, каким должен отвечать требованиям ключ для доступа в аккаунт (какой он должен быть) и как его создать.

Определение сложности

Сложность ключа - мера устойчивости к подбору на символьном уровне посредством ручных и автоматизированных методов (логического вычисления, подбора по словарю). Она определяется количеством попыток взломщика, то есть, сколько ему понадобится времени на вычисление составленной пользователем комбинации.

На сложность пароля влияют следующие факторы:

Количество символов в ключе. Чем больше знаков в последовательности, тем лучше. У комбинации из 5 знаков есть большая вероятность быстрого взлома. А вот на подбор последовательности из 20 знаков могут уйти годы, десятилетия и даже века.
Чередование прописных и строчных литер. Примеры: ключ dfS123UYt с использованием регистра заглавных букв на порядок сложней этой же комбинации, но только с маленькими литерами - dfs123uyt.
Символьные наборы. Разнообразие типов символов усиливает устойчивость. Если сделать ключ из маленьких и больших букв, цифр и спецсимволов длиной в 15-20 знаков, шансов его подобрать практически нет.

Как составлять устойчивые комбинации?

Нижеследующие способы помогут вам придумать очень сложный символьный ключ, который легко запомнить.

1. Создайте визуально контуры геометрической фигуры или какого-либо предмета на клавиатуре вашего компьютера. А затем наберите символы, по которым проходят линии.

Внимание! Избегайте простых «конструкций» - линии, квадраты или диагонали. Их легко предугадать.

2. Составьте сложное предложение, не поддающееся логике. Другими словами, какой-нибудь каламбур:

Например: Кот Васька на Юпитере уловил щуку.

Затем возьмите первые 2-3 буквы каждого слова из придуманного предложения:
Кот + Ва + На + Юп + ул + щук

Наберите слоги латинскими буквами:
Rjn + Df + Yf + >g + ek + oer

После транслитерации вставьте между слогами какие-нибудь хорошо знакомые вам числа: дату рождения, рост, вес, возраст, последние или первые цифры телефонного номера.
Rjn066Df 45Yf 178>g 115ek1202oer

Вот и всё! Как видите, получилась довольно «крепкая» комбинация. Чтобы вспомнить её быстро, вам нужен только ключ (предложение-каламбур) и используемые цифры.

3. Возьмите за основу 2 памятные даты. К примеру, два дня рождения (ваше и вашего любимого человека).
12.08.1983 05.01.1977

Разделите число, месяц и год какими-нибудь спецсимволами:
12|08/1983|05\01|1977

Теперь нули в датах замените маленькой буквой «o».
12|o8/1983|o5\o1|1977

Получается довольно замысловатый ключ.

4. Сделайте специальную таблицу: по вертикали и горизонтали матрицы расположите латинские буквы и цифры, а в строчках и столбцах - символы в хаотичном порядке.

Для генерации ключа возьмите несколько простых слов, записанных английскими буквами, например, my password very strong

Возьмите первую пару букв. В нашем случае это «my». В вертикальном списке найдите «m», в горизонтальном «y». На пересечении линий вы получите первый символ пароля.

Таким же образом, посредством следующих пар, найдите остальные символы ключа.

Если забудете пароль, для его восстановления воспользуйтесь простым ключевым словом и таблицей.

Как проверить устойчивость пароля?

Устойчивость символьной комбинации к подбору можно узнать на специальных веб-сервисах. Рассмотрим наиболее популярные:

Онлайн-служба от антивирусной лаборатории Касперского. Определяет по символьному набору и длине ключа, сколько понадобится времени на его взлом на различных компьютерах. После анализа последовательности в статистике отображается время для поиска на ZX-Spectrum (легендарной 8-ми битной машине 80-х), Mac Book Pro (модели 2012 года), суперкомпьютере Tianhe-2 и в сети ботнетов Conficker.

Онлайн-утилита на огромном сервисном портале 2IP.ru. После отправки ключа на сервер, выдаёт его статус (надёжный, ненадёжный) и время, затрачиваемое на его взлом.