Частичный пароль - Partial password

Форма частичного ввода пароля в приложении мобильного банкинга.

А частичный пароль это режим пароль аутентификация предназначено сделать регистрация нажатий клавиш и плечевой серфинг менее эффективными.[1]

Попросив пользователя ввести только несколько определенных символов из своего пароля,[2] Вместо полного пароля, частичные пароли помогают защитить пользователя от кражи пароля. Поскольку сразу раскрывается только часть пароля, становится труднее получить пароль, используя такие методы, как регистрация нажатий клавиш или же плечевой серфинг.

Статья Дэвида Аспиналла и Майка Джаста [1] описывает частичные реализации паролей и атаки в подробном исследовании.

При тестировании 110000 имитаций с использованием паролей длиной более 8 символов Джунаде Али отметил:[3]

  • 58% паролей раскрываются полностью после 7 входов, 90% - после 12 и 99% - после 19 входов.
  • Используя набор данных из 488 129 взломанных паролей, 58% протестированных трехсимвольных сегментов пароля были действительны только для этого пароля в базе данных. Кроме того, 28% могут быть связаны только с одним другим паролем, а 8% - с двумя другими паролями.

Проверка частичных паролей

Считается хорошей практикой не хранить пароли в открытый текст.[4] Вместо этого при проверке всего пароля обычно сохраняется результат передачи пароля в криптографическая хеш-функция. Поскольку пользователь не предоставляет полный пароль, его нельзя проверить по сохраненному дайджесту всего пароля. Некоторые предлагали хранить дайджест каждой комбинации букв, которая могла быть запрошена, но они отмечают, что это приводит к созданию и хранению большого количества дайджестов.[5][6] Лучшее решение с точки зрения места для хранения и безопасности - использование секретный обмен схема.[6][7]

Рекомендации

  1. ^ а б ""Дайте мне буквы 2, 3 и 6! ": Частичные реализации пароля и атаки" (PDF). Получено 2015-10-14.
  2. ^ "Что такое частичная проверка пароля?". Кооперативный банк. Архивировано из оригинал на 2011-06-28. Получено 2011-03-03.
  3. ^ «Банковское заполнение учетных данных: бесполезность частичной проверки пароля». Блог Cloudflare. 20 декабря 2018.
  4. ^ Хранение паролей
  5. ^ «Частичные пароли и регистраторы нажатия клавиш». Получено 2011-03-03.
  6. ^ а б "Частичные пароли - как?". Получено 2017-08-15.
  7. ^ Обновление частичных паролей