استخدام كلمة "Honeywords" يمكن أن يؤدي إلى تعطل كلمة المرور

مع تزايد عدد المستهلكين الذين يتعرضون لكلمات السر الخاصة بهم على أساس يومي ، يقوم عدد من الباحثين بتعويم فكرة أنهم يؤكدون أنها ستساعد على إحباط ملفات التوثيق الرقمية.

ويقترحون التمليح على قاعدة بيانات كلمة مرور موقع الويب مع الكثير من كلمات المرور الزائفة تسمى "كلمات عسل". عادةً ما تكون كلمات المرور في قواعد بيانات كلمة المرور "مجزأة" أو تدافع لحماية السرية الخاصة بها.

"عدو يسرق ملفًا من كلمات المرور المجزأة ويُستعاض عن دالة هاش لا يمكنه معرفة ما إذا كان قد عثر على كلمة المرور أو كلمة ما ، كتب أري ييلز من مختبرات آر إس إيه و MIT البروفيسور رونالد ل. ريفست في ورقة عنوانها: هُني: جعل تكسير كلمة السر الذي تم الكشف عنه الأسبوع الماضي.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من الريح الخاصة بك ows PC]

"إن محاولة استخدام كلمة سر لتسجيل الدخول تعمل على إيقاف المنبه."

كيف ستعمل

سيتم توصيل قاعدة بيانات كلمات المرور المملوءة بكلمات النحل إلى خادم مخصص حصريًا للتمييز بين كلمات المرور الصالحة وكلمات السر عندما يكتشف كلمة مرتبط تستخدم لتسجيل الدخول إلى حساب ، فإنه سيقوم بتنبيه مدير الموقع الخاص بالحدث ، والذي يمكنه قفل الحساب إلى أسفل.

استخدام الكلمات العريضة لن يمنع المتسللين من اختراق موقعك وسرقة كلمات المرور الخاصة بك ، ولكن ستقوم بتنبه مشغلي الموقع بأنه ربما حدث خرق.

"هذا قيمة للغاية" ، قال روس باريت ، مدير قسم هندسة الأمن في Rapid7 لـ PCWorld - خاصة في ضوء المدة التي يستغرقها الكشف عن العديد من هذه الاختراق.

"متوسط ​​الوقت للكشف عن حل وسط هو ستة أشهر" ، قال ، "وهذا يزيد من العام الماضي."

ومع ذلك ، إذا عرف المتسللون أن أحد المواقع يستخدمون كلمات المرور وأن الحسابات مؤمنة تلقائيًا عندما يتم استخدام كلمة "كلمة" ، يمكن استخدام كلمات العزيزة بالفعل لإنشاء هجوم رفض الخدمة على الموقع.

ويمنح المخطط أيضًا هدفا آخر محتملا: مدقق العسل. إذا تعطلت الاتصالات بين المدقق وموقع الويب ، فقد يتعطل موقع الويب.

حتى إذا كان هناك عرقلة لمزود عسل النحل ، فإن مشغل موقع الويب لا يزال أفضل حالا مع وجود كلمات من دونهم ، حسب باريت.

"لقد كان من الأصعب بكثير على هؤلاء المتسللين اختراق موقعهم على الإنترنت مما لو لم يكن لديهم عازف عسل".

يوصي <>يلز> و <ريفست> في ورقتهم بأن يتم فصل جهاز فحص عسل النحل عن الكمبيوتر. الأنظمة التي تدير موقعًا على الويب.

"قد يتم وضع النظامين في نطاقات إدارية مختلفة ، وتشغيل أنظمة تشغيل مختلفة ، وهكذا دواليك" ، كما يكتبون.

يمكن أيضًا تصميم جهاز فحص عسل النحل بحيث لا يتفاعل مباشرة مع الإنترنت ، والتي من شأنها أيضا أن تقلل من قدرة المهاجم على اختراقها ، لاحظ باريت.

ليس إصلاحًا كاملاً

استخدام الكلمات العريضة لن يمنع المتسللين من سرقة قواعد بيانات كلمات المرور وتكسير أسرارهم ، Juels و Rivest الاعتراف.

MIT أستاذ رونال d. L. Rivest

"ومع ذلك ،" يضيفون في ورقتهم ، "الفرق الكبير عندما يتم استخدام كلمات العزيزة هو أن كلمة السر المنفصلة عن طريق القوة الغاشمة لا تعطي ثقة الخصوم أنه يمكن تسجيل الدخول بنجاح وغير مكتشفة." يقول المؤلفون: "إن استخدام عسل النحل ، وبالتالي ، فإنه يجبر الخصم إما على المخاطرة بتسجيل الدخول ، مع وجود فرصة كبيرة للتسبب في اكتشاف التسوية الخاصة بكلمة المرور … أو محاولة محاولة المساومة على مدقق العسل. يعترف الباحثون بأن كلمات العزيزة ليست حلًا مُرضًا تمامًا لمصادقة المستخدم على الإنترنت لأن النظام يحتوي على العديد من المشكلات المعروفة المتعلقة بكلمات المرور ومصادقة "شيء ما تعرفه" بشكل عام.

في نهاية المطاف ، كتبوا: "يجب أن تُستكمل كلمات المرور بأساليب توثيق أقوى وأكثر ملاءمة … أو تفسح المجال لطرق التوثيق بشكل كامل."