Придумать пароль для своего аккаунта — первое, что надо сделать при выходе на новую работу. Но многие относятся к этой задаче халатно. Выбор часто делается в пользу простейших комбинаций типа «1234Qwerty» — таким «грешат» и небольшие организации, и крупные компании. В итоге корпоративные аккаунты становятся для хакеров легкой добычей и простой точкой доступа к IT-системам всей организации. Как именно это происходит и какие пароли злоумышленникам не по плечу, рассказали эксперты Solar JSOC компании «Ростелеком».

Многие пользователи уверены, что их аккаунт не может заинтересовать злоумышленников, особенно если речь идет о корпоративной «учетке». На самом деле хакера интересует абсолютно любой аккаунт, который поможет ему проникнуть во внутреннюю сеть той или иной компании, закрепиться в ней, развить атаку и впоследствии украсть конфиденциальные данные или получить контроль над IT-инфраструктурой организации.  По данным центра мониторинга и реагирования на кибератаки Solar JSOC компании «Ростелеком», подбор учетных данных применяется в 18% атак и стоит на третьем месте по популярности среди прочих методик хакеров.

Специалисты компании привели примеры самых распространенных ошибок и ненадежных паролей, выявленных в компаниях-заказчиках в ходе внешних и внутренних тестирований на проникновение и по результатам анализа защищенности веб-приложений. Для этого эксперты-безопасники сами выступают в роли хакеров и по согласованию с заказчиком взламывают его IT-системы, чтобы определить их слабые места. Все данные собраны за 2019 и первую половину 2020 года.

Недостатки механизмов аутентификации

Наиболее распространенным недостатком в механизмах аутентификации внешних систем и приложений стало отсутствие защиты от атак подбора учетных данных.  Он был обнаружен в 46% исследуемых систем. У 21% компаний пароли не соответствовали современным требованиям по длине и набору символов. А ведь именно парольные политики не дают пользователям создавать простейшие комбинации.

Ошибки пользователей при создании паролей

К сожалению, не все проблемы по защите систем и данных решаются на стороне разработчиков и администраторов. Важную роль здесь играют сами пользователи. Проводя работы по тестированию на проникновение, эксперты «Ростелеком» часто видят:

• Использование простых словарных паролей (например «!QAZ2wsx», «February2020»). Повторимся, что пароль может отвечать всем требованиям парольной политики, но все еще быть слабым, поскольку присутствует в публичных словарях.
• Использование паролей по умолчанию. Учетные данные «admin:admin» пока не ушли в прошлое, хотя и звучат как шутка. При этом, как и в первом случае, такие пароли можно легко найти в специализированных словарях или документации к программному обеспечению.
• Использование имени пользователя в качестве пароля. Несомненно, пароль, совпадающий с логином, легко запомнить. При этом он может быть длинным, со специальным символом, добавлением цифры в конец либо взамен одной из букв, но для злоумышленника это все равно выглядит так: «нашел имя пользователя — пароль в подарок».
• Использование одного пароля для нескольких учетных записей. Именно эта ошибка позволяет злоумышленниками проводить атаки Credential Stuffing (когда для взлома аккаунта используются учетные данные, украденные ранее на других сервисах). Так что повторное использование пароля может стать для хакера универсальным ключом от всех «дверей».
• Создание паролей по шаблону (например «SomeGoodLongPass1», «SomeGoodLongPass2» и т.д.). Использование шаблонов чаще встречается в системах, где требуется периодическая смена пароля. Эта проблема чем-то схожа с использованием одной и той же комбинации на разных ресурсах: если пароль был украден ранее, то злоумышленник сможет просто менять цифру и легко получать доступ к «учетке» пользователя.

Как действуют хакеры?

Несколько случаев, связанных с подбором паролей.

Во время одного из исследований эксперты обнаружили административный интерфейс ApacheMQ. Естественно, от посторонних глаз его защищала форма аутентификации.

— Для начала мы решили проверить пару «admin:admin», и это действительно сработало. Как можно прочитать в документации, «admin:admin» являются учетными данными по умолчанию, которые не сменили после установки.  А это значит, что, подобрав пароль от ApacheMQ, хакер мог бы легко проникнуть во внутреннюю сеть заказчика, — рассказал руководитель отдела анализа защищенности Solar JSOC компании «Ростелеком» Александр Колесов.

Если предположить, что пароль сменили бы на случайную последовательность символов той же длины («Ha?z9»), то подбор занял бы до 5 лет, а примерная скорость подбора составила бы 50 паролей/сек.

В другом проекте выяснилось, что в веб-приложении клиента не было защиты от атак с использованием подбора данных, поэтому достаточно было написать сценарий, который в автоматическом режиме начал перебирать различные комбинации.  В аккаунте использовался словарный пароль, что и привело к его компрометации. Если бы вместо этого пользователь придумал случайную комбинацию символов той же длины, что и словарный пароль, ее подбор занял бы более 17 млн лет.

Надежный пароль — какой он?

Так как же придумать пароль, который сможет защитить системы и обрабатываемые в них данные от несанкционированного доступа? Национальный институт технологий и стандартов (NIST) рекомендует использовать длинные (не менее 8 знаков) парольные фразы вместо коротких буквенно-цифровых комбинаций со специальными символами. Важно проверять, содержится ли устанавливаемый пароль в словарях или среди ранее скомпрометированных паролей. Также защиту усилит двухфакторная аутентификация, когда  пользователю надо ввести не только пароль, но и, например, одноразовый код, высланный на телефон.

Для защиты систем и данных требуются комплексные действия со стороны как разработчиков, так и пользователей. Первым следует выстраивать ИБ-защиту с учетом возможных атак подбора данных, внедрять двухфакторную аутентификацию и помогать пользователям придумывать сложные и надежные комбинации, прописывая необходимые требования в политиках безопасности. А вторым стоит использовать генераторы паролей, не ориентироваться на минимальные парольные требования и помнить, что для злоумышленников нет «неинтересных» аккаунтов — любой может попасть в фокус их внимания.

Фото предоставлено пресс-службой компании