От автора: публикую главы из своей книги "Прекрасный, опасный, кибербезопасный мир". Она была написана еще в благодатные доковидные времена, когда мир был совсем другим. Многое изменилось, но базовые вещи относительно безопасности остались те же, так что книжка по-прежнему неплоха. Ее можно найти на сайте Ростелеком, если захотите прочитать целиком.

Древние римляне изобрели бетон, водопровод, канализацию, центральное отопление, газеты, римское право, и много других полезных для цивилизации вещей. Пароли – тоже их изобретение. Историк Полибий, живший во II веке до нашей эры, так описывает применение паролей:

«Вот каким образом они обеспечивают безопасное прохождение ночью. Из десяти манипул, расположенных в нижней части улицы, командир выбирает одного солдата, который освобождается от несения караульной службы. Этот солдат каждую ночь приходит к трибуну и получает от него пароль – деревянную табличку со словом. Сначала солдат показывает пароль своему командиру, а потом идет с табличкой к следующему, который, в свою очередь, передает табличку другому.»

Принцип действия пароля не изменился до наших дней. Нужно выбирать кодовое слово и по секрету передать тому, кто охраняет доступ к ресурсу, будь то крепостные ворота, облачное хранилище фотографий, социальная сеть или что-то еще. Потом часовой (или программа) спрашивает всякого вновь пришедшего, знает ли он пароль. Если ответ правильный, то пропускает его, если нет, то возможны варианты. Вражеского лазутчика попытаются поймать или застрелить, обычному же пользователю просто покажут на экране окно с надписью «Доступ запрещен», а после нескольких неудачных попыток заблокируют вход в систему. Это не смертельно, но обидно и зачастую хлопотно. Если речь идет, например, об интернет-банке, то вам, вероятно, придется идти с паспортом в офис и доказывать, что именно вы владелец денежных средств, просто забыли пароль.

«Железным» аналогом пароля можно считать кодовые замки, которые используются в самых разных устройствах – от банковских сейфов до вокзальных камер хранения и противоугонных тросов для велосипедов.

До широкого распространения компьютеров большинство секретов, в том числе государственной важности, охранялось при помощи хитроумных механических устройств, потому что все документы были бумажными и скрыть их от посторонних глаз можно было, лишь положив в сейф. Но даже зная, насколько опасной может быть утечка информации, люди порой проявляли удивительную беспечность в отношении кодов своих замков – тех же паролей. В этом смысле весьма показательна история, рассказанная одним из самых известных физиков XX века, лауреатом Нобелевской премии Ричардом Фейнманом.

Помимо прочего, он любил, как бы сейчас сказали, троллить своих коллег и начальников, в том числе, и по вопросам безопасности. Во время работы на Манхэттенском проекте в Лос-Аламосе у Фейнмана появилось два увлечения: игра на барабанах и вскрытие замков. Для начала он научился открывать обычные висячие замки с трехцилиндровыми механизмами, которые использовались в шкафах с секретными документами.

Вот как он это описывал в своей книге «Вы, конечно, шутите, мистер Фейнман»:

«Чтобы продемонстрировать никчемность этих замков, всякий раз, когда мне нужен был чей-нибудь отчет, а хозяина отчета не оказывалось на месте, я просто заходил в его кабинет, открывал шкаф и брал нужную бумагу. Закончив с ней работать, я отдавал ее хозяину со словами: «Спасибо за твой отчет». В ответ я слышал:

- А где ты его взял? - У тебя в шкафу. - Но я его запер! - Знаю, что ты его запер. Но замки – барахло!»

Потом в Лос-Аламосе появились шкафы с кодовыми замками: чтобы открыть такой замок, необходимо было знать комбинацию цифр. Эти шкафы стали вызовом для любознательности Фейнмана. Чтобы изучить, как работает кодовый замок, он разобрал один из них в своем кабинете. Но это не помогло. Тогда он купил несколько книжек известных взломщиков, чтобы ознакомиться с «лучшими практиками». Но и там не нашел ответа. В итоге Фейнман разработал собственный метод. Однажды, стоя возле шкафа с открытым замком, он заметил: если аккуратно поворачивать лимб, пока запирающий стержень не перестанет возвращаться в исходное положение, то можно узнать последнее число в комбинации. Этот же прием в чуть усложненном виде позволил ему узнать и второе число. А первое оставалось подобрать простым перебором при закрытом замке.

Затем Фейнман использовал сочетание методов социальной инженерии со своими техническими навыками (именно так и делают современные хакеры):

«Я практиковался и практиковался до тех пор, пока не достиг той степени совершенства, при которой мог подобрать последние два числа на открытом замке, почти не глядя на лимб. И тогда я стал проделывать такую штуку: зайдя к коллеге в кабинет для обсуждения какой-нибудь физической задачи, я прислонялся к открытому шкафу и как бы в забывчивости крутил его лимб туда-сюда, как это делает человек, рассеянно играющий ключами во время разговора. Иногда я не смотрел на стержень, а просто клал на него палец – чтобы знать, когда он пойдет вверх. Таким способом я выяснил последние два числа на нескольких сейфах. Вернувшись в свой кабинет, я записывал пары последних чисел на бумажке, которую хранил в замке своего сейфа. Чтобы достать бумажку, я каждый раз разбирал свой замок – это место я считал самым надежным».

Фейнман пару раз продемонстрировал свои удивительные способности по открыванию секретных замков, но как настоящий фокусник, хранил свой метод в секрете. После этого его стали звать на помощь, когда срочно требовалось открыть шкаф, хозяин которого был в отъезде. Если это был «неизученный» шкаф, Фейнман отказывался. А если из числа попавших в «разработку», то шел в свой кабинет якобы за инструментами, смотрел в шпаргалку, а дальше оставалось только перебрать двадцать первых чисел – и вуаля, дело сделано! Люди думали, что он открывает хитрые замки без всякой предварительной информации, и Фейнман старался поддерживать эту легенду.

Многие мамы нередко удивляются, как их дети умудряются подобрать пароль к телефону или компьютеру. Точно так же, как мистер Фейнман, они очень наблюдательны, очень мотивированы и у них есть куча времени, чтобы заниматься перебором вариантов. Вот один из детских лайфхаков (рассказ мамы):

«Мои сыновья начисто вытирали экран айпада. Потом подходили ко мне и говорили, что им срочно нужно что-то сделать – и для этого я должна разблокировать айпад. А после того, как я его разблокирую, они смотрели на оставленные мною отпечатки пальцев и быстро вычисляли простой пароль, составленный из цифр. С более сложным паролем им пришлось повозиться, ведь по отпечаткам пальцев на экране нельзя определить порядок символов. Но они стали подбирать пароль по смыслу, и у них снова получилось».

Что тут скажешь? Молодцы! Кстати, таким же образом по отпечаткам на клавиатуре Николас Кейдж добыл пароль к секретному компьютеру в «Сокровищах нации».

Зная о склонности пользователей к беспечности, разработчики стали устанавливать более высокие требования к паролям, чтобы заставить людей заботиться о безопасности. Сегодня стандартом де-факто стало требование, чтобы длина пароля была не менее восьми символов, и чтобы пароль обязательно включал заглавные и строчные буквы, цифры и специальные символы (#, $, %, @, &, ! и другие). Чуть позже мы узнаем, чем это обусловлено.

Человек не в состоянии запомнить сложные комбинации и вынужден свои пароли где-то хранить.

Но тут другая беда – человек не в состоянии запомнить такие сложные комбинации и вынужден свои пароли где-то хранить. Чаще всего пароли оставляют в текстовом файле на рабочем столе компьютера или в заметках в телефоне, откуда их и похищают злоумышленники. Некоторые выбирают варианты еще легче: например, используют один и тот же пароль ко всем сервисам, записывают его на бумажке и прикрепляют на видном месте возле компьютера. А потом делают селфи и выкладывают фото в Инстаграм. Нужно ли удивляться, что через некоторое время их данные оказываются похищенными?

Нолан Сорренто, главный злодей в фильме Стивена Спилберга «Первому игроку приготовиться», тоже хранил свой пароль записанным на бумажке, которая была приклеена к боковой панели его крутейшей игровой системы. И когда он вызвал к себе в кабинет Уэйда Уоттса в образе его аватара Парсифаля, чтобы попытаться его уговорить работать на корпорацию IOI, тот, естественно, увидел и запомнил этот пароль, благодаря чему Уэйд и его друзья смогли проникнуть в систему Нолана и заставить освободить Саманту.

«– Вы дистанционно взломали его машину? – У него стационарная точка. Найти просто, хакнуть тяжело. – Правда этот тупица хранил там же записку с паролем.»

Никогда не делайте так, как Нолан Сорренто! Если бы не эта его оплошность, пасхантерам было бы гораздо труднее победить.

Продолжение следует...