1. ProgrammeringNetworking Forhindrer hacking med adgangskodebrydende forholdsregler

Af Kevin Beaver

At tage nogle generelle modforanstaltninger kan forhindre hacking af dine vigtige adgangskoder. En adgangskode til et system svarer normalt til adgangskoder for mange andre systemer, fordi mange mennesker bruger de samme adgangskoder på hvert system, de bruger. Af denne grund kan du overveje at instruere brugerne om at oprette forskellige adgangskoder til forskellige systemer, især på de systemer, der beskytter information, der er mere følsom.

Den eneste ulempe med dette er, at brugere er nødt til at opbevare flere adgangskoder og derfor kan blive fristet til at skrive dem ned, hvilket kan ophæve fordelene.

Opbevaring af adgangskoder

Hvis du skal vælge mellem svage adgangskoder, som dine brugere kan huske og stærke adgangskoder, som dine brugere skal nedskrive, skal du læsere skrive ned adgangskoder og gemme oplysningerne sikkert. Træne brugere til at gemme deres skrevne adgangskoder på et sikkert sted - ikke på tastaturer eller i let krakkede adgangskodebeskyttede computerfiler. Brugere skal gemme en skriftlig adgangskode på en af ​​disse placeringer:

  • Et låst arkivskab eller kontorsafe Fuld (hel) diskkryptering, som kan forhindre en ubuden gæst nogensinde at få adgang til OS og adgangskoder, der er gemt på systemet. Et sikkert adgangskodeadministrationsværktøj som f.eks LastPass Password Safe, en open source-software oprindeligt udviklet af Counterpane

Adgangskodepolitikker

Som en etisk hacker skal du vise brugerne vigtigheden af ​​at sikre deres adgangskoder. Her er nogle tip til, hvordan du gør det:

  • Demonstrer, hvordan man opretter sikre adgangskoder. Henvis dem til som adgangsfraser, fordi folk har en tendens til at tage adgangskoder bogstaveligt og kun bruge ord, som kan være mindre sikre. Vis, hvad der kan ske, når svage adgangskoder bruges, eller adgangskoder deles. Opbyg flittigt brugerbevidsthed om angreb på socialt teknik.

Håndhæv (eller i det mindste tilskynde til anvendelse af) en stærk politik til oprettelse af adgangskode, der indeholder følgende kriterier:

  • Brug store og små bogstaver, specialtegn og tal. Brug aldrig kun tal. Sådanne adgangskoder kan blive brudt hurtigt. Forkert staveord eller opret akronymer fra et citat eller en sætning. For eksempel er ASCII et akronym for American Standard Code for Information Interchange, der også kan bruges som en del af en adgangskode. Brug tegnsætningstegn til at adskille ord eller akronymer. Skift adgangskoder hver 6. til 12. måned eller med det samme, hvis de er mistænkt for at blive kompromitteret. Noget mere hyppigt introducerer en ulempe, der kun tjener til at skabe flere sårbarheder. Brug forskellige adgangskoder til hvert system. Dette er især vigtigt for netværksinfrastrukturværter, såsom servere, firewalls og routere. Det er okay at bruge lignende adgangskoder - bare gør dem lidt forskellige for hver type system, f.eks. SummerInTheSouth-Win7 til Windows-systemer og Linux + SummerInTheSouth til Linux-systemer. Brug adgangskoder med variabel længde. Dette trick kan smide angribere ud, fordi de ikke kender den krævede minimums- eller maksimale længde af adgangskoder og skal prøve alle kombinationer af adgangskodelængde. Brug ikke almindelige slangord eller ord, der er i en ordbog. Stol ikke helt på lignende udseende tegn, f.eks. 3 i stedet for E, 5 i stedet for S eller! i stedet for 1. Programmer, der cracking-cracking, kan kontrollere for dette. Brug ikke den samme adgangskode inden for mindst fire til fem adgangskodeskift. Brug adgangskodebeskyttede skærmbesparere. Ulåste skærme er en fantastisk måde for systemer at blive kompromitteret, selvom deres harddiske er krypteret. Del ikke adgangskoder. Til hver sin egen! Undgå at gemme brugeradgangskoder på et usikret centralt sted, f.eks. Et ubeskyttet regneark på en harddisk. Dette er en invitation til katastrofe. Brug Password Safe eller et lignende program til at gemme brugeradgangskoder.

Andre modforanstaltninger

Her er nogle andre modtageforanstaltninger til adgangskode-hacking:

  • Aktivér sikkerhedsrevision for at hjælpe med at overvåge og spore kodeordangreb. Test dine applikationer for at sikre dig, at de ikke gemmer adgangskoder på ubestemt tid i hukommelsen eller skriver dem til disk. Et godt værktøj til dette er WinHex. Hold dine systemer lappet. Adgangskoder nulstilles eller kompromitteres under bufferoverløb eller andre betingelser for denial of service (DoS). Kend dine bruger-id'er. Hvis en konto aldrig er blevet brugt, skal du slette eller deaktivere kontoen, indtil den er nødvendig. Du kan bestemme ubrugte konti ved manuel inspektion eller ved hjælp af et værktøj som DumpSec, et værktøj, der kan opregne Windows-operativsystemet og samle bruger-id'er og anden information.

Som sikkerhedsadministrator i din organisation kan du aktivere kontoutlåsning for at forhindre cracking-cracking-forsøg. Kontoutlåsning er muligheden for at låse brugerkonti i et bestemt tidsrum, efter at der er forekommet et vist antal mislykkede loginforsøg. De fleste operativsystemer har denne funktion.

Indstil det ikke for lavt, og indstil det ikke for højt til at give en ondsindet bruger en større chance for at bryde ind. Et sted mellem 5 og 50 fungerer måske for dig. Overvej følgende, når du konfigurerer kontoutlåsning på dine systemer:

  • Hvis du vil bruge kontoutlåsning for at forhindre mulighederne for en bruger-DoS-tilstand, skal du kræve to forskellige adgangskoder og ikke angive en lockout-tid for den første, hvis denne funktion er tilgængelig i dit operativsystem. Hvis du tillader autoreset af kontoen efter en bestemt periode - ofte benævnt indtrængende lockout - skal du ikke angive en kort tidsperiode. 30 minutter fungerer ofte godt.

En mislykket login-tæller kan øge adgangskodesikkerheden og minimere de samlede effekter af kontoutlåsning, hvis kontoen oplever et automatiseret angreb. En login-tæller kan tvinge en ændring af en adgangskode efter et antal mislykkede forsøg. Hvis antallet af mislykkede loginforsøg er stort og forekom i løbet af en kort periode, har kontoen sandsynligvis oplevet et automatiseret kodeordangreb.

Andre adgangsbeskyttelses modforanstaltninger inkluderer

  • Stærkere godkendelsesmetoder. Eksempler på disse er udfordring / respons, smartkort, tokens, biometri eller digitale certifikater. Nulstilling af automatisk adgangskode. Denne funktionalitet giver brugerne mulighed for at håndtere de fleste af deres adgangskodeproblemer uden at blive involveret. Ellers bliver dette supportproblem dyrt, især for større organisationer. Adgangskodebeskyttede system-BIOS. Dette er især vigtigt på servere og bærbare computere, der er modtagelige for fysiske sikkerhedstrusler og sårbarheder.