r   e   k   l   a   m   a
r   e   k   l   a   m   a

Hasła obrazkowe w Windows 8 nie są takie złe (o ile będziesz je stosował z głową)

Strona główna AktualnościOPROGRAMOWANIE

Sporo ostatnio piszemy o kwestiach haseł i rozmaitych zamienników dla haseł, ale to tylko odzwierciedlenie wagi, jaką branża IT zaczęła wreszcie przykładać do zagadnień bezpiecznego uwierzytelniania. Google przyznało ostatnio, że u siebie w Mountain View haseł już nie stosuje (zastąpiło je najprawdopodobniej sprzętowymi generatorami jednorazowych tokenów), Apple skłania się w stronę biometrii, a Microsoft? No cóż, zachwycony koncepcją dotykowych ekranów Microsoft wprowadził w Windows 8 hasła obrazkowe, dzięki którym logowanie nabiera bardziej osobistego charakteru. Nie wiemy, czy akurat osobisty charakter jest tym, czego oczekujemy po mechanizmach uwierzytelniania, ale wiemy, że ostatnio metoda ta w mediach została mocno skrytykowana.

Z perspektywy wygody użytkownika te hasła obrazkowe wydają się nawet niegłupie. Ot – użytkownik wybiera sobie obrazek, a następnie „ozdabia” go trzema ruchami palca, rysującymi kropkę, kreskę lub okrąg. Obrazek pozwala łatwo zapamiętać, gdzie gesty zostały uczynione. Ciąg gestów funkcjonuje jako zamiennik hasła tekstowego. A jak z bezpieczeństwem takiego rozwiązania? Jak przeczytać można na stronach Microsoftu, wybierasz zdjęcie i rysujesz na nim kształty, dlatego liczba kombinacji jest nieskończona – hasło obrazkowe jest o wiele bezpieczniejsze niż tradycyjne.

Autorzy tego opisu najwyraźniej marne mają pojęcie o nieskończoności, ale na szczęście są też w Redmond ludzie lepiej rozumiejący matematykę. Na blogu Building Windows 8 znaleźć można znacznie lepszą analizę haseł obrazkowych, z której wynika, że przy trzech takich gestach możliwe jest uzyskanie około 1,15 mld unikatowych kombinacji (czyżby oznaczało to, że dla niektórych pracowników software'owego giganta, populacje Chin czy Indii były nieskończone?).

Sprawa się nie skończyła jednak na solidnym blogowym wpisie. Wśród materiałów z sierpniowego USENIX Security Symposium znaleźć można artykuł pt. On the Security of Picture Gesture Authentication, autorstwa Ziming Zhao, Gail-Joon Ahna, Jeong-Jin Seo i Hongxin Hu – badaczy z uniwersytetów stanowych w Arizonie i Delaware. Przyjrzeli się oni dokładniej mechanizmowi Microsoftu i jego słabościom, przygotowując framework do ataków, wykorzystujący systemy rozpoznawania obrazów. Wyniki ich badań zainspirowały dziennikarzy do pisania newsów pod mocnymi tytułami w rodzaju „Hasło obrazkowe w Windows 8 nieskuteczne”, czy też „Hasło obrazkowe w Windows 8 łatwe do złamania”, sugerując nawet, że hasło takie jest gorsze niż czterocyfrowy PIN.

Co to jednak znaczy „łatwe”? Czy stosując siłowy atak przeciwko hasłu obrazkowemu można osiągnąć sukces? Przy liczbie możliwych kombinacji na poziomie 2^30 mówimy o tym samym rzędzie wielkości, co przy 6-znakowych hasłach, zawierających małe i duże litery oraz cyfry. Co gorsza, sam fakt wykorzystania obrazka pomocniczego wyraźnie ułatwia taki siłowy atak. Problemem jest możliwość zidentyfikowania obszarów znaczących na obrazku – np. nosa pieska czy koła roweru. Z obliczeń deweloperów Microsoftu wynika, że jeśli na obrazku wskazać będzie można pięć obszarów znaczących, to liczba kombinacji dla składającego się z trzech gestów hasła spadnie do 420 tys. (rząd 2^19).

Jak widać, jest to znacząco lepszy wynik, niż w wypadku 4-cyfrowego PIN-u, dla którego liczba kombinacji wynosi 10^4 ~ 2^13 (przy założeniu, że cyfry mogą się powtarzać). A jeśli na obrazku wyróżnionych zostanie 10 obszarów znaczących, to przestrzeń rozwiązań wyniesie już 8 mln kombinacji (~ 2^23). Trzeba przy tym pamiętać, że większość scenariuszy, w których używamy haseł o niskiej złożoności (np. PIN-ów) ogranicza liczbę możliwych podejść. Tak jest też w wypadku microsoftowych haseł obrazkowych, które działają tylko lokalnie, dając użytkownikowi pięć podejść, zanim system logowania zostanie przełączony na klasyczne hasło.

Niestety w praktyce sytuacja wygląda gorzej. Największą słabością obrazkowych haseł są ludzkie skłonności. Badania empiryczne pokazały, że w większości wypadków można skorelować odkryte obszary znaczące z użytymi na nich gestami – na przykładowym nosie pieska użytkownicy znacznie częściej postawią kropkę, niż narysują linię.

Wykorzystywany przez autorów ataku automatyczny framework do rozpoznawania obszarów znaczących, działając na bazie skonstruowanych przez nich 10 tysięcy sekwencji gestów, pozwolił na włamanie się (przy wykorzystaniu wszystkich pięciu podejść) w 19 wypadkach na 1000 prób, zaś przy wybieraniu obszarów znaczących ręcznie, w 26 wypadkach na tysiąc prób. Wygląda to już na wynik znacznie gorszy, niż w wypadku PIN-u – o ile tylko założymy, że użytkownicy PIN-ów są doskonale sferyczni. W mniej perfekcyjnym świecie i PIN-y pełne są słabości. Przykładowo badania nad zabezpieczeniem iPhone'ów pokazały, że 10 najczęściej stosowanych kodów stanowi 15% wszystkich PIN-ów, zaś najpopularniejszy PIN – 1234 – stosowany był w ponad 4% wypadków.

Podsumowując: kody obrazkowe Microsoftu nie są złe, o ile użytkownicy zostaną pouczeni, jak z nich korzystać. Niestety, nawet na microsoftowym blogu pokazano przykład, który jest chyba najgorszym z możliwych – kropka na nosie kobiety, kółko dookoła głowy mężczyzny, odcinek między nosami dziewcząt. Na szczęście deweloperzy się później trochę poprawili, publikując na blogu zbiór porad, jak najlepiej korzystać z tego zabezpieczenia. Niestety, towarzysząca temu analiza matematyczna sprawia, że zapewne przeciętni użytkownicy natychmiast zamkną stronę. Dobrze by więc było, by Microsoft zatrudnił swoich speców od nieskończoności do napisania prostego poradnika, który będzie wyjaśniał te dobre praktyki, i na którym nie będzie przykładowego obrazka z nosem pieska.

r   e   k   l   a   m   a
© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.