Черная археология датамайнинга: что может быть эффективнее атаки по словарю?29.06.2015 00:03

Для тех, кому лениво читать дальше, сразу скажу ответ: атака «логин равен паролю». По статистике, логин равный паролю встречается чаще, чем самый распространенный пароль из словаря. Далее в статье будут некоторые статистические исследования на эту тему, и история, с которой всё началось.

Начать такое исследование меня побудила одна история, произошедшая в далёком 2000 году с неким молодым человеком. Не будучи хакером, он захотел взломать почтовый ящик одной особы. Её логин заканчивался на две цифры, примерно так: masha86@mail.com. После тривиальных паролей, которые не подошли, парень предположил, что пароль может выглядеть следующим образом: mashaDD, где DD — это две произвольные цифры. Сложность этой атаки всего 100 попыток, и примерно на двадцатой попытке пароль подошел, ящик был взломан. Чего только не сделаешь в молодости из-за ревности и ради любви…

Поэтому в сегодняшнем исследовании я решил проверить, насколько часто встречаются пароли, которые либо равны логинам, либо являются их небольшой модификацией.

Для начала, кроме 6 млн. паролей от почтовых записей, я подключил к исследованию базу паролей с одного не-почтового сайта на 3.5 млн. записей. Это свежие записи (май 2015 года), содержащие достаточно мало невалидных паролей. Статистику по паролям с этого сайта я строил отдельно.

Пароль равен логину
Количество записей, где пароль равен логину: примерно 87 тысяч для почтовых паролей, 50 тысяч для паролей с сайта. Это много или мало? Для сравнения привожу два наиболее часто встречающиеся пароля (1 и 2 место в распределении). Также для удобства привожу значения в тысячных долях (‰) от общего количества паролей.

Частичное совпадение
Далее посмотрим, насколько часто встречаются случаи, где пароль — это небольшая модификация логина. Такие случаи не столь часты, зато это компенсируется небольшой сложностью атаки.

По частоте, все эти случаи попадают в топ-50 наиболее распространенных паролей:

Вывод
Сейчас на многих почтовых порталах (но очень редко на обычных сайтах и форумах) нельзя задать пароль, равный логину. Однако, за всё время мне встретился только один сайт, в котором нельзя было задать пароль, прибавив один символ к логину. Сайт так и писал: «ваш пароль очень похож на логин». Однако такая ситуация в современном интернете скорее исключение.

Между тем, атаки с подбором пароля путём небольшой модификации логина оказываются достаточно эффективными по частоте встречаемости, и не требующими большой сложности по количеству вариантов.

Конечно, если сравнивать интегральную сложность — атака по словарю несколько выгоднее. Зато, атаки модификацией логина не учитываются в системах безопасности даже на крупных порталах.

################################################

DATA <- readRDS( file = "ClearData.rds" )

################################################
################################################

# Всего записей: 3520000

nrow(DATA)

# Логин совпадает с паролем: 49327

length( which( DATA$login == DATA$passwd) )

################################################

# Для пароля добавили один символ: 1930

length( 
  which( 
    substr( DATA$login ,0, nchar(DATA$login) ) ==
      substr( DATA$passwd ,0, nchar(DATA$passwd)-1 ) 
  )
)

# Или два: 3269

length( 
  which( 
    substr( DATA$login ,0, nchar(DATA$login) ) ==
      substr( DATA$passwd ,0, nchar(DATA$passwd)-2 ) 
  )
)

################################################

# На четыре (но только на цифры): 3252

length( 
  which( 
    (
      substr( DATA$login ,0, nchar(DATA$login) ) ==
        substr( DATA$passwd ,0, nchar(DATA$passwd)-4 ) 
    ) & 
      (
        grepl(
          "\\d\\d\\d\\d",    
          substr( DATA$passwd ,nchar(DATA$passwd)-3,nchar(DATA$passwd) )
        )
      )
  )
)

################################################

# Пароль и логин отличаются на один последний символ: 20869

length( 
  which( 
          (
            substr( DATA$login ,0, nchar(DATA$login)-1 ) ==
            substr( DATA$passwd ,0, nchar(DATA$passwd)-1 ) 
          ) & ( DATA$login != DATA$passwd )
            
        )
)

################################################

# Отличаются на два символа (1477), причем на числа: 1226

length( 
  which( 
    (
      substr( DATA$login ,0, nchar(DATA$login)-2 ) ==
        substr( DATA$passwd ,0, nchar(DATA$passwd)-2 ) 
    ) & ( DATA$login != DATA$passwd ) &
      (
          substr( DATA$login ,0, nchar(DATA$login)-1 ) !=
          substr( DATA$passwd ,0, nchar(DATA$passwd)-1 ) 
      ) &
      (
        grepl(
          "\\d\\d",    
          substr( DATA$passwd ,nchar(DATA$passwd)-1,nchar(DATA$passwd) )
        )
      )
  )
)

################################################
################################################

### Строим топ паролей

library(dplyr)

tmpD <- DATA[,c(3,4)]

PASS_SUM <- summarise(group_by(tmpD,passwd), count = sum(count) )

PASS_SUM <- arrange(PASS_SUM,desc(count))

# Количество уникальных паролей: 2132935
nrow(subset(PASS_SUM, PASS_SUM$count==1))

# Количество невалидных паролей: 887
nrow(subset(PASS_SUM, PASS_SUM$count>64))

PASS_100 <- PASS_SUM[1:100,]

write.csv(PASS_100,file = "SpPassSum100.csv", row.names = F)

###########################################

Предыдущий выпуск: Черная археология дата майнинга

В следующем номере: сравнение базы почтовых паролей с базой паролей не-почтового сайта. Насколько полезны оказались утекшие в 2014 году почтовые пароли?

© Habrahabr.ru