Şifre ile Kimlik Tanımlama

Güvenlik uzmanları tipik olarak, kullanıcının küçük harf, büyük harf, rakamlar ve özel karakterler girerek ‘güçlü’ şifreler kullanmasını gerektiren, anlamsız ve ‘gizli’ şifre şemaları tavsiye edeceklerdir.

NT SAM dosyasına veya /etc/passwd (önem verenler için /etc/shadow) dosyasına erişen bir saldırganın tüm şifrelerinizi, en güçsüz olanlar ilk olacak şekilde, kırması an meselesidir.

Tecrübelerden öğrendiğimize göre , eğer bir saldırgan bu şifre arşivlerine erişebiliyorsa sisteminizin, kullanıcıların ‘ali’ ‘veli’ gibi şifreler kullanmasından daha ciddi güvenlik problemleri var demektir.

Dahası, günümüzde gigahertz hızındaki hesaplama ve mainstream bilgisayarların devamlı artan performansı göz önüne alınacak olursa, herhangi boyuttaki bir şifrenin güvensiz olduğu düşünülebilir.

Eğer şifre arşiv dosyalarımız güvenli haldeyse ve SAM dosyasının kopyalarını floppy disklerde dağıtmıyorsak, şifre ile kimlik tanılamada tehlike nerededir?

Olabilecek muhtemel şifreler ile bir kullanıcı hesabı ile çeşitli login denemeleri yapmak basit bir scripting egzersizidir. Genelde bu tip bir brute force denemesine karşılık olarak hesap N kötü login denemesinden sonra kapatılır. Bu tamamen kötü bir yaklaşım değildir. N in çok düşük bir sayı olmadığını düşünürsek bir çeşit saldırı tespit mekanızması gibi çalışır. Bunun dezavantajı, kullanıcıların kendi hesaplarını kullanmasını engellemek için N kere boş şifre ile login denemesi yapılabilir.
İdeal olarak N, kullanıcı hesabı kilitlenmeden önce sistem yöneticileri uyarılacak kadar yüksek olmalı fakat bir brute force saldırının başarılı olamayacağı kadarda düşük olmalıdır.

İşte burda olasılıklara dayanıyoruz. En az y karakter uzunluğunda olan bir şifreye brute force metodu uygulayacağımızı varsayalım. Ve gerçek şifreyi yaratmak içinde x muhtemel karakter seti kullandığımızı varsayalım.
Olabilecek tüm şifrelerin çözüm seti x^y olacaktır. Eğer sadece küçük harfler ve minimum şifre uzunluğu olarak 7 karakter gerekiyorsa, o zaman çözüm seti 26^7 veya 8,031,810,176 muhtemel şifre demektir.
Fakat, her biri yarım milyon kelime içeren iki geniş sözlüğün kabaca tahmin olarak 10/1`i yedi karakterlik kelimelerden oluşmaktadır. Böylece eğitimli bir saldırgan bahsettiğimiz çözüm setini 50,000 kelimeye düşürebilir.

z olasılıktan oluşan bir çözüm seti olduğunu düşünelim, istatistiklere göre en iyi ihtimalle z/2 fırsatta eşdeğerini bulabileceksiniz. Eğer birilerinin z olasılıklı çözüm seti ile bulabilmesi ihtimalinin çok düşük (%0.1 den az) olduğundan emin olmak istiyorsak, tahmin sayısının (n değişkenimize analog olarak) z/1000 den az olduğuna emin olmalıyız.

Bir ‘sözlük’ saldırısına maruz kaldığımızı ve 7 küçük harf karakterden oluşan şifreleri zorunlu kıldığımızı varsayarsak, bir kullanıcı hesabını kapatmadan önce 49 login`e izin verebilir ve hesapların ele geçirilmediğine dair yüksek bir güvencemiz (%99.9) olabilir.

Şifreyi 7 karakterden fazla yapmak, büyük harf, sayılar ve özel karakterler kullanmak kullanıcıyada zorluk olacaktır ve gerçekçi bir brute force saldırısı karşısında kayda değer bir istatistiki savunma artışı yoktur. Gerçekte, bu tip şifrelerin not alınması, yazılması daha çok olacağından ortalıkta dolaşması daha muhtemeldir ve bu da sistem güvenliği seviyesini düşürecektir.

Yukardaki şemaya göre geliştirilmesi gereken iki durum vardır. Birincisi, hepsi küçük harf 7 karakter şifrelerde, kullanıcı (yine bir tanıyan tarafından bilinebilecek) bir tanıdığının ismini şifre olarak kullanabilir ve çözüm setini 10 olasılığa kadar düşürebilir. Buna çözüm olarak şifreye bir rakam yada özel karakter eklenip ‘seçilmiş şifreler’ saldırısını etkisiz hale getirebilir. Önceki şemaya bir rakam eklemek potensiyel çözüm setini (26+10)^7 veya 78,364,164,096 ya çevirir. Sözlük saldırılarında ‘o’ harfi yerine ‘0’ veya kelime sonuna 1 ekleme ile farklı kombinasyonlar denenebilir fakat bu çözüm setini (en kötü durum senaryomuz) 50,000 in altına düşürmeyecektir.

İkinci durum kasıtlı yada kasıtsız olarak şifre paylaşımı. Bir şifre öğrenildiğinde sadece orjinal kullanıcıya yeni bir şifre belirlenir. Bunun için belirli aralıklarda (i) şifre değişiklikleri gereklidir. n ye benzer olarak eğer i çok küçük olarak ayarlanırsa kullanıcıların şifrelerini kağıtlara not almaları olasılığı daha çoktur ki buda şifre arşivini kırmaya çalışan birinden daha önemli bir tehdittir. Güvenlik uzmanları 30-60 gün tavsiye ederler fakat yine aynı kişiler kullanıcıların ‘IlXiot25ey!’ gibi şifreleri hatırlayabileceklerinide savunurlar. Şifre olarak seçilen kelimenin birşeyleri temsil etmesini tavsiye ederler. örneğimizdeki ‘(I) (l)ike (Xmas) (i)t`s (o)n (t)he (25)th (e)ach (y)ear(!)’ gibi. Kullanıcı için bu mantık pek de kolay olmayabilir. Kelime işlemcilerindeki ataç animasyonunu nasıl kapatacaklarını bilmeyen kullanıcıları unutmayalım.

Şifre değişikliğine zorlama işyerinize uygun olarak belirlenebilir. Daha önce kullanılan şifrelerin belirli periyotlar içerisinde tekrar kullanımını kabul etmemek kullanıcının hoşuna giden belirli kelimeleri devamlı olarak şifre seçmesini engelleyebilir. Tabi bu kısıtlamayı geçmek basit bir scripting egzersizi ile, çeşitli sayıda istenilen şifreleri set ederek yine eski favori şifreye dönmek, mümkün. Tabiki, bunun savunması minimum şifre yaşı sınırı belirlemekte. Bu sayede, şifre değiştirildiğinde tekrar değiştirilebilmesi için belirlenen gün sayısının geçmesi gerekiyor. Unutmamanız gereken, eğer kullanıcılarınızı hayal kırıklığına uğratırsanız, şifrelerini yazıp karşılarındaki duvara çocuklarının resminin yanına yapıştıracaklardır.

Niye şifre ile kimlik tanılamada bu kadar geniş çapta bir korku, belirsizlik ve şüphe görüyoruz? Belkide, yazılım üretici büyük firmalar güvenlik konusunda ciddi oldukları imajını vermek istiyorlar fakat gerçek yetenekten yoksunlar ve ürünlerinin yetersizliğini ‘güçlü şifre zorlama’ gibi (uygulanması kolay) özelliklerle gizlemeye çalışıyorlar. Gerçek güvenlik uzmanları güvenlik ve kriptolama mimarileri dizayn ediyorlar ve popüler tavsiyeler de dizüstü bilgisayarı ve hazır tarama araçları olan amatörlerden geliyor.

Peki hangi şifre şeması uygulanmalı? Aynı saçma kombinasyonları öneren ana güvenlik referanslarını gözardı edin ve kullanıcıları sıkmanın güvenlik açıklarına yolaçağını unutmayın. Kafanızı kullanın ve istatistiklere bakın, korumanız gereken kaynaklar ve kullanıcılar. İlk okuduğunuzda çok güvenli gibi gözüksede hiçbir şifre şeması tüm firmalara uyamaz.

Kaynak: 2600 dergisi 18:2 sayısı
belgesi-319