Đồ án Tìm hiểu về password và các vấn đề liên quan

Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 1 HỌC VIỆN CÔNG NGHỆ BƢU CHÍNH VIỄN THÔNG CƠ SỞ TẠI TP.HỒ CHÍ MINH ĐỒ ÁN MÔN HỌC: BẢO MẬT THÔNG TIN TÌM HIỂU VỀ PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN GVHD:Thầy Lê Phúc Nhóm sinh viên thực hiện: 1. Trƣơng Đình Hoàng 2. Nguyễn Thị Thanh Minh 3. Vũ Thanh Thảo Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 2 Mở đầu   Lúc đầu khi xuất hiện mạng máy tính, nảy sinh vấn đề nhiều ngƣời cùng sử dụng hệ thống và bảo mật thông tin, nên đã phát sinh ra password. Password lúc đầu chỉ đơn giản là ngƣời ta dùng một chuỗi kí tự để ngăn cản sự truy cập của những ngƣời khác.  Khi vấn đề password cracking đang ngày một tăng lên, cùng với sự tăng tốc về tốc độ của máy tính và sự rẻ dần của bộ nhớ, khả năng crack password của hacker ngày càng cao và thời gian ngày càng ngắn lại. Cùng với đó là yêu cầu đối với ngƣời dùng khi sử dụng password cũng ngày càng cao: password phải đƣợc thay đổi theo chu kì, phải chọn password có độ mạnh theo quy định, và phải nhớ password của mình cũng nhƣ giữ bí mật nó.  Từ các vấn đề trên,ta thấy: password là vấn đề nhạy cảm trong một máy tính, trong một mạng nhỏ cho đến mạng internet rộng lớn. Vì vậy, nội dung đồ án này sẽ trình bày tổng quát về password và các vấn đề liên quan nhƣ: xác thực, cracking password, cũng như đánh giá độ mạnh của một password. Từ đó chúng ta sẽ rút ra những kinh nghiệm để bảo vệ thông tin của mình trƣớc các cuộc tấn công. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 3 I.SƠ LƢỢC VỀ VẤN ĐỀ XÁC THỰC: Nói một cách đơn giản, xác thực là một quá trình nhận dạng người dùng. Trong môi trƣờng mạng phát triển ngày càng mạnh mẽ, việc xác nhận chính xác quyền truy cập hợp lệ của ngƣời dùng có ý nghĩa rất lớn trong bảo mật thông tin. Hiện nay, có khá nhiều phƣơng pháp xác thực, hầu hết các phƣơng thức xác thực đều dựa trên: o Những gì bạn biết (Username Password) o Những gì bạn có (Smart Card, Certificate) o Những gì là bạn (Sinh trắc học) A.Xác thực bằng username và password: 1.HTTP Authentications a.Basic Authentication  Là một phƣơng thức xác thực phổ thông có trên nền tảng ứng dụng Web.Nó sẽ xuất hiện khi Client yêu cầu những thông tin phải đƣợc xác thực.  Giới hạn những giao thức, cho phép những kẻ tấn công khai thác. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 4  Sử dụng SSL để mã hóa dữ liệu Username Password để truyền giữa Client và Server. b. Degest Authentication  Đƣợc thiết kế để nâng cao bảo mật hơn phƣơng thức Basic Authentication  Đƣợc dựa trên nền tảng xác thực Challenge-Response  Nâng cao bảo bảo mật hơn phƣơng thức Basic Authentication, hệ thống sẽ mã hóa Username Password trƣớc khi truyền đi trên mạng. 2.Kết hợp với phƣơng thức xác thực NTLM của Windows:  Sử dụng công nghệ xác thực NT LAN Manager (NTLM) cho HTTP  Chỉ làm việc với IE và trên nền tảng Web server là IIS.  Kết hợp với xác thực trên Windows sẽ thích hợp cho môi trƣờng mạng cục bộ của doanh nghiệp Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 5  Nó là một phƣơng thức xác thực mà không phải truyền bất kỳ thông tin nào về Username password trên mạng. 3.Negotiate Authentication – Thỏa thuận xác thực:  Đây là một phƣơng thức xác thực mở rộng cho NTLM Authentication  Cung cấp xác thực dựa trên nền tảng Kerberos  Sử dụng quá trình thƣơng lƣợng để quyết định mức độ bảo mật đƣợc sử dụng.  Nó đƣợc cấu hình và sử dụng không chỉ cho mạng cục bộ. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 6 B.Xác thực dựa vào smartcard và cirtificate: 1. Xác thực dựa vào Certificate:  Sử dụng Public Key để mã hóa và chứng chỉ số (Digital Certificate) để xác thực ngƣời dùng.  Nó đƣợc quan tâm và kết hợp với phƣơng thức xác thực two-factor.  Khi một ngƣời dùng biết đƣợc Username Password ngƣời đó còn phải cung cấp Certificate nữa thì mới đƣợc xác thực.  Ngƣời dùng có thể bị đánh cắp Certtificate.  Rất nhiều phần mềm hiện nay hỗ trợ xác thực qua chứng chỉ số. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 7 2.Xác thực dựa vào Forms:  Nó không đƣợc hỗ trợ trên nền tảng HTTP và SSL.  Nó là một lựa chọn cao cấp cho phƣơng thức xác thực sử dụng một Form, và thƣờng tích hợp dạng HTML.  Là một phƣơng thức xác thực rất phổ biết trên Internet. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 8 3.Xác thực dựa vào RSA Secure Token:  Phƣơng thức xác thực SecureID sử dụng một "token – Vé, card). Có một thiết bị phần cứng sẽ sinh ra các mã xác thực sau mỗi 60 giây và sử dụng một tấm Card để giải mã key.  Một ngƣời dùng thực hiện quá trình xác thực và tài nguyên mạng sẽ phải điền mã PIN và số hiển thị cho SecureID cho mỗi thời gian đó. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 9 C.Xác thực dựa vào Sinh trắc học:  Một hệ thống xác thực dựa vào Sinh trắc học sẽ phải có những thiết bị nhận diện đƣợc ngƣời dùng dựa vào các yếu tố sinh học nhƣ: Vân tay, mắt, mặt, bàn tay….  Đây là một phƣơng thức xác thực có tính bảo mật rất cao và thuận tiện cho ngƣời sử dụng không phải nhớ mật khẩu hay mang theo một tấm Card. Từ những điều vừa trình bày ở trên, ta có thể nhận thấy, các phƣơng pháp xác thực bằng sinh trắc học hay sử dụng smart card có ƣu điểm là có tính bảo mật rất cao, hacker khó có thể tấn công đƣợc hệ thống vì hacker khó có thể có đƣợc smartcard và càng không thể có đƣợc đặc điểm sinh học giống với users. Thế nhƣng để triển khai điều này ta cần một chi phí rất lớn – đặc biệt là chi phí lắp đặt hệ thống xác thực này tại các thiết bị của hệ thống thông tin. Từ sự phân tích trên cho ta thấy rằng giải pháp sử dụng password luôn là một giải pháp hiệu quả khi chi phí thấp và dễ dàng sử dụng với độ bảo mật chấp nhận được, có thể nó sẽ rất hiệu quả nếu chúng ta có những chính sách hợp lý. Do vậy, chúng ta sẽ tập trung thảo luận và nghiên cứu về password và những vấn đề bảo mật liên quan. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 10 II. PASSWORD và VẤN ĐỀ CRACKING PASSWORD: Ngày nay, với sự phát triển không ngừng của kĩ thuật máy tính, nguy cơ bị hacker tấn công vào hệ thống thông tin ngày càng gia tăng, vấn đề password ngày càng trở nên phức tạp, giờ đây password không chỉ đơn thuần là một chuỗi kí tự bí mật của riêng users, mà nó luôn ở trong nguy cơ bị cracking cao độ, do đó đòi hỏi ngƣời dùng cần có những kiến thức mới về password. Vậy password là gì? Password ( tạm dịch là mã xác nhận), là một từ hoặc một chuỗi kí tự bí mật, đƣợc sử dụng để xác thực, chứng minh hoặc nhận dạng ngƣời sử dụng truy cập tài nguyên. Tại sao password lại cần thiết? o Password giúp ta ngăn chặn việc xâm nhập trái phép vào hệ thống, bảo vệ thông tin, và giúp ta xác nhận duy nhất cá nhân đăng nhập hệ thống cũng nhƣ ghi vết lại những hành động của họ trên dữ liệu. o Bất cứ hệ thống nào, một vài ngƣời dùng nhất định có những đặc quyền mà những ngƣời khác không có. Bằng cách nhận dạng chính bạn trên chính máy tính của bạn hoặc các website, bạn đƣợc tiếp cận môi trƣờng làm việc của riêng bạn và các dữ liệu các nhân của bạn, những tài liệu này là các dữ liệu nhạy cảm và không muốn công khai. Các hiểm họa đến từ password: o Trong khi phần lớn các tổ chức và 99% ngƣời dùng tại gia vẫn phụ thuộc vào passwords nhƣ là một hình thức nhận dạng cơ bản đối với các dữ liệu nhạy cảm và riêng tƣ, thì các mạng có cơ chế bảo Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 11 mật thấp vô hình chung tạo ra các lỗ hổng cho hacker tiếp cận tài nguyên của công ty và tài sản ngƣời dùng. o Mặc dù passwords là phƣơng tiện cần thiết, thân thiện với ngƣời dùng nhất để nhận dạng ngƣời dùng khi tiếp cận mạng hoặc cơ sở dữ liệu của họ, nhƣng sự thật ngƣời dùng rất lơ là với những yêu cầu là họ cần thay đổi password, cần tạo ra một password có tính bảo mật và làm theo những chỉ dẫn để giữ nó càng bí mật càng tốt. Kết quả là một số lƣợng lớn các password có thể dò đƣợc, các passwords giống nhau trên nhiều hệ thống, và ngƣời dùng phải ghi chú để đăng nhập gồm password và cả tên đăng nhập. Những nguy hiểm khi password bi lộ: o Identity theft (trộm thông tin nhận dạng): identity theft xảy ra khi dữ liệu tài khoản của bạn bị một ngƣời nào khác sử dụng. Điều này đƣa đến những tổn hại về tài chính, cũng nhƣ là tổn hại cá nhân (dùng tài khoản của bạn để rút tiền, v.v….) o Sensitive data exposure (lộ dữ liệu nhạy cảm): nội dung của thƣ điện tử , các dự án, tài liệu, ảnh bị phơi bày trƣớc các hacker, hay các cá nhân nhắm đến bạn với mục đích xấu. o Company data exposure (lộ dữ liệu công ty): các hoạt động gián điệp lấy các thông tin nhạy cảm nội bộ thông qua dữ liệu tài khoản đƣợc duy trì và giữ gìn thiếu cẩn thận dẫn đến sự ảnh hƣởng vô cùng to lớn đến công ty bạn đang làm việc. o Sử dụng cho các hoạt động tội phạm: tài khoản của bạn sẽ bị sử dụng cho mục đích tội phạm nếu không giữ nó cẩn thận. Đừng quên rằng dấu vết sẽ lần lại tài khoản của bạn và do đó bạn không tránh khỏi liên quan.  Vậy tấn công password là gi? Tấn công password là ta tìm cách có được password của môt userID nào đó để xâm nhập vào hệ thống của họ. Một password có thể bị tấn công với rất nhiều hình thức khác nhau: Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 12 o Lỗ hổng bảo mật vật lý: một lỗ hổng vật lý của máy tính sẽ hoàn toàn bị khai thác ngay cả khi phƣơng pháp nhận dạng phức tạp nhất, phƣơng pháp mã hóa bảo mật nhất. Ví dụ: một chƣơng trình theo dõi các thao tác trên bàn phím (keylogger), cả phần mềm lẫn phần cứng đƣợc cài đặt,khóa của bạn sẽ bị lộ, do đó mọi dữ liệu mã hóa và tài khoản bị tổn hại. Bất chấp password của bạn dài và bảo mật đến đâu thì lỗ hổng bảo mật vật lí là một trong những trƣờng hơp nguy hiểm nhất. o Packet sniffers: bắt mật khẩu trên môi trƣờng không mã hóa tốt, đặt biệt trong môi trƣờng mạng Lan khi các máy ra Net bắt buộc phải đi ra default gateway. Các hệ thống truyền đạt thông tin qua mạng đôi khi không chắc chắn lắm và lợi dụng điều này, hacker có thể truy cập vào data paths để nghe trộm hoặc đọc trộm luồng dữ liệu truyền qua.Hacker nghe trộm sự truyền đạt thông tin, dữ liệu sẽ chuyển đến sniffing hoặc snooping. Nó sẽ thu thập những thông tin quý giá về hệ thống nhƣ một packet chứa password và username của một ai đó. Các chƣơng trình nghe trộm còn đƣợc gọi là các sniffing. Các sniffing này có nhiệm vụ lắng nghe các cổng của một hệ thống mà hacker muốn nghe trộm. Nó sẽ thu thập dữ liệu trên các cổng này và chuyển về cho hacker. o Trojan horse programs: xuất hiện nhƣ dạng link trên các trang web làm chi ngƣời dùng tin tƣởng click vào, bắt cài activex khi ngƣời dùng muốn logon vào một trang web, trong các phần mềm cài đặt, email…Sau khi Trojan đã về máy ngƣời dùng thì nó có thể lấy password khi ngƣời dùng nhập và gửi về khổ chủ. o Tấn công dùng Cookies :Cookie là những phần tử dữ liệu nhỏ có cấu trúc đƣợc chia sẻ giữa website và trình duyệt của ngƣời dùng. Cookies đƣợc lƣu trữ dƣới những file dữ liệu nhỏ dạng text (size dƣới 4KB). Chúng đƣợc các site tạo ra để lƣu trữ, truy tìm, nhận biết các thông tin về ngƣời dùng đã ghé thăm site và những vùng mà họ đi qua trong site. Những thông tin này có thể bao gồm tên, định danh ngƣời dùng, mật khẩu, sở thích, thói quen, …Cookies đƣợc Browser của ngƣời dùng chấp nhận lƣu trên đĩa cứng của máy tính, không phải Browser nào cũng hổ trợ cookies. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 13 o Bẻ khóa: có hai phƣơng pháp là bẻ khóa bằng tay và bẻ khóa tự động   Bẻ khóa bằng tay: sử dụng một userID hợp lệ ( hacker có thể dễ dàng tìm đƣợc bằng cách sử dụng war dailer ), dự đoán mật khẩu mà user đó có thể sử dụng. Sau đó thử từng mật khẩu đó cho đến khi thành công.  Bẻ khóa tự động: tìm file mã hóa password, sau đó tiến hành giải mã để có đƣợc file password dạng plantext. Để tìm hiểu về vấn đề này, trước hết ta phải tìm hiểu về cơ chế mã hóa và xác nhận password.  Mã hóa password: hiện nay, đa số password đƣợc “ băm” một chiều bằng các hàm băm ví dụ nhƣ SHA hoặc MD5. Do dó trên các ứng dụng tốt, password chỉ đƣợc lƣu dƣới dạng chuổi kí tự đã đƣợc băm chứ không bao giờ đƣợc lƣu dƣới dạng plaintext.  Xác nhận password: Giả sử user A có password là a, password này đƣợc application "hash" nó thành 0cc175b9c0f1b6a831c399e269772661 rồi chứa vào CSDL. Khi user A login và dùng password a để đăng nhập, application sẽ hash a và so sánh giá trị vừa hash xong với giá trị đã lƣu trong CSDL. Nếu chúng trùng nhau, user A đƣợc vào. Khi các hệ thống bi nhân nhƣợng, các hacker chỉ có thể có đƣợc file mã hóa password, không thể có đƣợc file password dạng plaintext, do đặc tính một chiều của hàm băm, các hacker muốn có đƣợc password dang plaintext chỉ có thể “ brute – force” nó. Brute-force attack: Dạng từ điển:  Tấn công từ điển là tạo ra một file chứa hầu hết các từ có nghĩa trong từ điển, sau đó băm ra và so sánh với mật khẩu ngƣời dùng, sử dụng nó để đoán ra password của user. Trên thực tế các users thƣờng dùng những từ có nghĩa để đặt cho password của mình, do đó phƣơng pháp tấn công bằng từ điển là một phƣơng pháp đơn giản mà mức độ thành công lại cao. Trên hầu Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 14 hết các hệ thống, tấn công từ điển có thể hoàn thành trong thời gian ngắn để so sánh với các tổ hợp từ có thể.  Việc lập file từ điển khá đơn giản, nhất là khi bạn biết khá rõ về user này. Ví dụ: một thuật ngữ thƣờng xuyên đƣợc sử dụng trong công việc của user, hoặc tên một ngƣời quan trọng đối với user đó cũng có thể đƣợc đƣa vào từ điển. Dạng brute-force:  Đây là phƣơng pháp bẻ password bằng cách vét cạn tất cả các trƣờng hợp ghép nối các kí tự có thể có, bắt đầu từ những kí tự đơn giản thông thƣờng cho đến những kí tự đặc biệt, sau đó băm ra để so sánh với password ngƣời dùng.  Do đó, với một máy tính mạnh có khả năng ghép nối các kí tự lại với nhau, hacker có thể bẻ đƣợc tất cả những password nếu có đủ thời gian. Dạng tổng hợp:  Là sự kết hợp giữa tấn công bằng từ điển và brute force. Tấn công bằng từ điển sẽ quét các từ có nghĩa, tấn công brute force sẽ quét các kí tự còn lại nhƣ kí tự đặc biệt, kí tự số…  Ví dụ: user sử dụng password là intertainment111. Khi đó không thể dùng phƣơng pháp từ điển vì không có từ nào chứa số, nếu dùng phƣơng pháp brute force thì quá lâu. Ta sẽ dùng phƣơng pháp tấn công tổng hợp, bằng cách sử dụng phƣơng pháp từ điển để lấy ra một từ có nghĩa, sau đó dùng phƣơng pháp brute force ghép thêm 2 con số vào sau từ đó và dò tìm password. Phƣơng pháp này sẽ hiệu quả hơn nhiều. Dưới đây ta sẽ khảo sát một vài chương trình minh họa tiêu biểu: 1. Tấn công brute_force: Windows là hệ điều hành phổ biến nhất trên thế giới, nó luôn tiềm ẩn những lỗi bảo mật. Trong phần này tôi sẽ trình bày phƣơng thức tấn công một máy tính cài hệ điều hành Windows. Từ những kiến thức và khả năng tấn công vào máy tính cài hệ điều hành Windows tôi sẽ đƣa ra các giải pháp bảo mật cho hệ thống. Tấn công Password của tài khoản trong Windows. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 15 a. Trên máy Local Giả sử bạn không biết mật khẩu của một máy tính trong hệ thống, nhƣng bạn lại nhờ ngƣời đó gõ mật khẩu của họ và cho bạn mƣợn máy tính dùng tạm. Và bạn giờ đây là làm thế nào để biết đƣợc Password trên máy bạn đang logon.  Rất nhiều phần mềm có thể Exports đoạn mã hoá của Password ra thành một File điển hình là PasswordDump, WinPasswordPro, trong bài viết này tôi trình bày với các bạn sử dụng WinPasswordPro. Bật chƣơng trình WinPasswordPro lên Import Password từ máy Local Sau Khi Import Password từ file SAM vào sẽ đƣợc Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 16 Sau đó ta Export danh sách User và Password đã đƣợc mã hoá ra một file .txt và gửi vào Mail của chúng ta, sang máy chúng ta cũng dung phần mềm này để giải mã ngƣợc lại. Mở file TXT đã exports ra ta có dữ liệu password đã đƣợc mã hoá Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 17 Sau khi lấy đƣợc dữ liệu User – Password đã mã hoá ta Uninstall chƣơng trình này trên máy nạn nhân để khỏi lộ - rồi gửi file đó vào Mail để về máy của ta Giải mã – đây là công đoạn tốn thời gian. Đối với mật khẩu dài 10 ký tự mất khoảng 1 tiếng. Bật chƣơng trình WinPasswordPro trên máy của chúng ta chọn File -> Import PWDUMP file rồi chọn đƣờng dẫn tới file password đƣợc mã hoá. Sau khi Import từ file PWDUMP ta đƣợc - Nhấn vào Start ta sẽ có 3 phƣơng thức tấn công Password + Brute Force + Dictionary + Smart Table Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 18 Tôi chọn phƣơng thức tấn công Brute Force Đợi khoảng 15 phút (đây là password do tôi không đặt ký tự đặc biệt, không số, không hoa và 9 ký tự) Kết thúc quá trình tôi đã giải mã đƣợc file Password đã đƣợc mã hoá với: user administrator và Password là vnexperts Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 19 b. Tấn công máy từ xa. - Khi chúng ta đƣợc ngồi trên máy nạn nhân để Exports Password đƣợc mã hoá là đơn giản nhƣng thực tế sẽ rất ít khi thực hiện đƣợc phƣơng thức này. - Dùng Password Dump chúng ta sẽ lấy đƣợc dữ liệu đã đƣợc mã hoá từ một máy từ xa. - Ở đây tôi dụng PasswordDump Version 6.1.6 Ở trên tôi sẽ lấy dữ liệu mã hoá Username và Password từ máy tính 192.168.1.156 dung PWDump và out dữ liệu đó ra file: vnehack.txt tại ổ C: dùng lệnh Type xem dữ liêụ của file đó. Sau Khi đã có dữ liệu này ta lại sử dụng WinPasswordPro để giải mã. Và sau khi ta có tài khoản User Administrator và Password của nó thì việc làm gì là tuỳ thuộc vào chúng ta. Giải pháp phòng chống hình thức tấn công này: + Đề phòng những ngƣời truy cập vào máy tính của chúng ta. Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 20 + Đặt Password dài trên 14 ký tự và có đầy đủ các ký tự: Đặc biệt, hoa, số, thƣờng + Enable Firewall lên để chống PasswordDUMP, Cài đặt và cập nhật các bản vá lỗi mới nhất từ nhà sản xuất + Cài đặt tối thiểu một chƣơng trình diệt Virus mạnh. Vô hiệu hoá PWdump – nhƣng lƣu ý khi kẻ tấn công có một tài khoản trong hệ thống thì lại hoàn toàn khác chúng sẽ vƣợt qua hầu hết các phòng chống bảo mật: trong trƣờng hợp này tôi có một User bình thƣờng với tên vne tôi có thể Exports toàn bộ dữ liệu Username Password đƣợc mã hoá ở máy đích. 2.Tìm Password bằng phương pháp giải mã Cookies: Chƣơng trình CT cookie Spy 2.0. Cookies thƣơng lƣu lại rất nhiều thông tin quan trọng của ngƣời dùng khi truy cập vào Internet nhƣ Username và Password truy cập vào một Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 21 Website.Với phần mềm này bạn có thể tìm kiếm các Cookies đƣợc lƣu dữ trong hệ thống và giải mã chúng để tìm Username Password. Từ những phương thức tấn công được trình bày ở trên, ta có thể rút ra những nguyên tắc thiết lập và sử dụng password khả dĩ giúp ta tự bảo vệ password của mình trước hầu hết các kiểu tấn công thông dụng. Đó sẽ là vấn đề tiếp theo mà ta nghiên cứu. III. PASSWORD và VẤN ĐỀ BẢO MẬT PASSWORD: 1.Độ mạnh yếu của password: a.Thế nào là password yếu? Một password yếu là một password ngắn, phổ biến, một mặc định của hệ thống cung cấp, hoặc một thứ gì đó có thể bị đoán ra nhanh chóng bằng cách thực thi tấn công vét cạn sử dụng một tập con của tất cả các mật khẩu khả dĩ, nhƣ các từ trong từ điển, tên riêng, những từ dựa trên tên ngƣời Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 22 dùng hoặc những biến thể thông thƣờng của các từ đó. Password có thể bị dễ dàng đoán đƣợc dựa trên những hiểu biết về ngƣời dùng đó, nhƣ ngày tháng năm sinh và tên thú nuôi, cũng bị xem là yếu. Các ví dụ về password yếu:  Admin -- quá dễ đoán  1234 -- quá dễ đoán  abc123 -- quá dễ dò tìm  minh -- tên riêng thông thƣờng  password -- đoán ra dễ dàng, rất thƣờng dùng, một từ trong từ điển  p@$$\/\/0rd -- leet và mật mã bằng ký tự đơn giản đều đã đƣợc lập trình trƣớc trong các công cụ bẻ khóa  rover -- tên thú nuôi thông thƣờng, cũng là một từ trong từ điển  12/3/75 -- ngày tháng, có thể quan trọng đối với cá nhân đó  December12 -- Sử dụng ngày bắt buộc phải đổi mật khẩu là rất phổ biến  nbusr123 -- có thể là một tên ngƣời dùng, và nếu vậy, cực kỳ dễ đoán  asdf -- chuỗi ký tự kế nhau trong nhiều loại bàn phím  qwerty -- một chuỗi ký tự kế nhau trong nhiều loại bàn phím  aaaa -- ký tự lặp đi lặp lại, dễ đoán ra Theo thống kê sơ bộ, 3,8 phần trăm số lƣợng mật khẩu là những từ đơn tìm thấy trong từ điển, và 12 phần trăm khác là một từ cộng thêm một con số ở cuối; hai phần ba trong số đó là số 1. Nhiều ngƣời dùng không đổi mật khẩu mặc định đi kèm với nhiều hệ thống bảo mật máy tính. Danh sách các mật khẩu mặc định đầy rẫy trên Internet. Một mật khẩu có thể trở nên dễ đoán nếu ngƣời dùng chọn một mẩu thông tin cá nhân dễ khám phá (nhƣ mã số sinh viên, tên một ngƣời bạn, sinh nhật, số điện thoại, hoặc biển số xe). Dữ liệu cá nhân về một ngƣời nào đó hiện phổ biến ở nhiều nguồn, nhiều khi còn đƣa lên mạng, và thƣờng có thể lấy đƣợc bởi ngƣời khác khi sử dụng các kỹ thuật lừa bịp, nhƣ đƣa ra một bản lấy ý kiến hoặc một bản kiểm tra việc quản lý an ninh. Nguy cơ cao nhất của việc sử dụng mật khẩu ngắn hoặc dễ đoán đó là tiếp cận hoặc tấn công từ những bạn bè của ngƣời dùng. Trong khi tên Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 23 không phổ biến lắm của một con vật nuôi hoặc một nhân vật ƣa thích trong trò chơi điện tử rất khó đoán đối với một ngƣời hoàn toàn xa lạ và khó tìm thấy trong từ điển, thì một ngƣời bạn khi có điều gì bất bình rõ ràng sẽ có ít lựa chọn để đoán hơn hẳn và cũng chẳng cần đến sự trợ giúp của máy tính để đoán đƣợc. Một ví dụ của một mật khẩu nghèo nàn chống lại những kẻ tấn công "biết mặt" này có thể là "19YaleLaw78", lấy từ thông tin ngƣời này tốt nghiệp trƣờng Luật Yale vào năm 1978. Trong khi với độ dài đến mƣời một ký tự và khả năng chống lại tấn công vét cạn rất tốt, năm tốt nghiệp từ một trƣờng danh giá là một điều mà kẻ tấn công chắc chắn sẽ biết nếu biết rõ nạn nhân. Do đó, trong khi có thể khiến cho một máy tính mạnh chạy mất vài tháng để đoán đƣợc ra mật khẩu này, một đồng nghiệp đang ghen tị có thể đoán ra điều này chỉ cần vài phút với một cây viết và tờ giấy để dò các biến thể. Một mật khẩu thƣờng dễ bị tổn thƣơng nếu nó bị tìm thấy trong danh sách. Từ điển ở dạng máy đọc đƣợc có rất nhiều ở nhiều ngôn ngữ khác nhau, và tồn tại những danh sách các mật khẩu thƣờng đƣợc chọn. Trong các thử nghiệm đối với hệ thống đang hoạt động, tấn công từ điển dễ thành công tới mức phần mềm hiện thực kiểu tấn công này hiện nay phổ biến với nhiều hệ thống. Một mật khẩu quá ngắn, có lẽ đƣợc chọn để dễ gõ, dễ bị tổn thƣơng nếu kẻ tấn công có thể lấy đƣợc bảng mật mã của mật khẩu. Các máy tính hiện nay đủ nhanh để thử tất cả các mật khẩu toàn chữ cái ngắn hơn 7 ký tự. Những nhân viên, lập trình viên và ngƣời quản trị hệ thống khi nghỉ việc thƣờng biết khá rõ những mật khẩu mở hiếm khi bị đổi. Các mật khẩu dễ đoán nhƣ vậy có thể dẫn đến tổn hại nặng nề nếu bị nghịch, gian lận hoặc trả thù. b.Thế nào là password mạnh: Một mật khẩu mạnh là một mật khẩu đủ dài, mang tính ngẫu nhiên, hoặc nếu không chỉ có ngƣời chọn nó mới nghĩ ra đƣợc, sao cho việc đoán đƣợc ra nó sẽ phải cần nhiều thời gian hơn là thời gian mà một kẻ bẻ khóa mật khẩu sẵn sàng bỏ ra để đoán nó. Thời gian để đƣợc cho là quá dài sẽ thay đổi tùy thuộc vào kẻ tấn công, tài nguyên của kẻ tấn công, sự dễ dàng tiếp cận với những mật khẩu có thể thử, và giá trị của mật khẩu đó đối với kẻ tấn công. Một mật khẩu của sinh viên chẳng đáng để máy tính bỏ ra vài giây để đoán, trong khi mật khẩu quản lý việc truy xuất đến hệ thống chuyển tiền Tháng 11-2009 PASSWORD VÀ CÁC VẤN ĐỀ LIÊN QUAN 24 điện tử của một ngân hàng lớn có thể đáng để bỏ ra nhiều tuần hoặc thậm chí nhiều tháng để đoán. Sẽ là một điều sai lầm khi dùng những mật khẩu liệt kê ở dƣới đây: chúng đã đƣợc ghi ra công khai, do đó chúng yếu. Tất cả những bình luận về sức mạnh mật khẩu đều giả thiết rằng chúng chƣa đƣợc biết đến và chƣa đƣợc ghi ra. Trong khi các mật khẩu tƣơng tự nhƣ thế, hoặc dựa trên cùng nguyên lý nhƣ thế, sẽ đủ mạnh, với giả sử là bạn không đọc chúng. Các ví dụ về mật khẩu mạnh là:  t3wahSetyeT4 -- phân biệt chữ thƣờng chữ hoa và chữ số xen kẽ  4pRte!ai@3 -- phân biệt chữ thƣờng chữ hoa, chữ số xen kẽ, dấu câu và một ký tự "đặc biệt"  MoOoOfIn245679 -- phân biệt chữ thƣờng chữ hoa, chữ số xen kẽ  Convert_100£ to Euros! -- cụm từ có thể dài, dễ nhớ và có chứa ký hiệu mở rộng để tăng sức mạnh, nhƣng một số phƣơng pháp băm mật khẩu yếu hơn