Возврат к списку

От «Сезам, откройся» до сложных генераторов: как развивались компьютерные пароли

31.07.2019     

12 июля на 94-м году жизни скончался изобретатель компьютерных паролей Фернандо Корбато. Как он пришел к концепции паролей, и какими они были на заре существования?

Пара слов о создателе паролей

После Второй мировой войны Корбато поступил в Caltech (Калифорнийский технологический институт). Здесь он получил степень бакалавра, а в 1950 году стал доктором физики в MIT (Массачусетском технологическом институте). Там Корбато стал профессором, но работал не только над паролями. Совместно с другими специалистами он занимался системами разделения времени и за эту работу удостоен Премии Тьюринга.

В честь Корбато назвали закон в информатике. Он утверждает, что количество строк, которые разработчик способен написать за фиксированное время, не зависит от языка программирования. Фактически закон Корбато стал толчком к развитию новых языков программирования. Инженеры перестали бояться создавать новые инструменты разработки – более удобные и эффективные для конкретных задач. 

Суровая необходимость

Основное назначение пароля – защита данных от несанкционированного доступа. Но изначально Корбато создавал их совсем по другой причине: чтобы несколько человек могли одновременно пользоваться компьютером. Система разделения времени CTSS, представленная в 1961 году, вводила многопользовательский режим на одном компьютере. При этом люди использовали разные терминалы: клавиатуры для ввода данных, мониторы или принтеры для получения результата. 

 

Фернандо Корбато

 

Чтобы авторизовать пользователя, система использовала команду LOGIN. Позднее вместе с логином стали запрашивать и пароль. Именно Корбато придумал, что секретная информация (пароль) должна использоваться в паре с открытой (логин, имя пользователя). Режим сократил время ответа компьютера в десятки раз. Он стал базой для Unix/Linux и других операционных систем. Но ОС развивались и менялись, а пароли оставались на месте. 

Развитие паролей

Хранить пароли в хеш-форме предложил Роберт Моррис. Он реализовал алгоритм crypt для ОС UNIX. Алгоритм использовал 12-битный ключ (salt). Чтобы изменить форму, crypt связывали с алгоритмом DES. В результате пароль было сложнее подобрать перебором по словарю. Безопасность системы повысилась на несколько порядков. 

Позднее для генерации паролей стали использовать стойкие хеши вроде MD5, SHA-1 от стандартных случайных последовательностей. Но пользователи все равно продолжали вводить комбинации вроде 123456 или qwerty. Тогда разработчики систем стали устанавливать правила для ввода паролей. К примеру, комбинация должна была содержать цифры, заглавные и строчные буквы, а также спецсимволы. Кроме того, пароли стали передавать по защищенным каналам с применением надежных алгоритмов шифрования. 

Спустя годы появились одноразовые пароли и системы двухфакторной авторизации. Сейчас параллельно применяются системы биометрической аутентификации. 

Отношение к изобретению

В последние годы жизни Корбато пересмотрел свое отношение к паролям. Он признался, что у его «детища» немало недостатков. Чем больше становится сервисов, тем больше паролей должен запоминать человек. Чтобы упростить себе задачу, пользователи задействуют одни и те же комбинации для разных сайтов. И когда один из сайтов взламывают, под угрозой оказываются и аккаунты на других ресурсах. Эксперты и крупные корпорации согласны с Корбато. Отпечаток пальца, сканирование радужной оболочки, авторизация по лицу или одноразовому коду – решения более сложные, но и более надежные. Хотя даже их можно обойти. 


Автор:
Ксения Шестакова Обозреватель


Комментарии
Избранное Подписка Сортировка: Древо
1. VmvLer 31.07.19 14:07 Сейчас в теме
Киберпанк все спишет - авторизоваться будем по ДНК и волновой функции мозга.
К ДНК в ящике уже сейчас приручают, мол, бегите сдавайте образец в БД.

Как я вижу реализацию по ВФМ(волновой функции мозга):
Идентификация по волновой функция мозга будет зависеть от времени, места и психоэмоционального состояния.
Детали
- Нельзя будет как-то стырить образец функции и использовать , например, как фотографию отпечатка пальца,
ибо во времени эта функция будет меняться по уникальной закономерности, которую не воспроизведут даже квантовые компьютеры.
- Если я для какого-то банка указал, что списывать средства с этого счета я могу только в радиусе своего дома, трезвым и без стрессового состояния,
то бесполезно вести меня в лес и бить палками с целью выдать правильную ВФМ.

Думаете фантастика?
Уверен, подобные разработки уже ведут, т.к. если это пришло в голову мне, то это же могло прийти в голову и другим.
14. Ziggurat 47 06.08.19 14:03 Сейчас в теме
(1)
Если я для какого-то банка указал, что списывать средства с этого счета я могу только в радиусе своего дома, трезвым и без стрессового состояния,
то бесполезно вести меня в лес и бить палками с целью выдать правильную ВФМ.

Здоровье дороже, а как выяснят уже по приколу бить будут)))))))
2. Senator_I 1 31.07.19 14:13 Сейчас в теме
Все же пароли должны со временем уйти в прошлое, сейчас уже да их слишком много. На почту, на сайты, на приложения, пин-коды карточек и т.п.
3. Aftee 31.07.19 14:15 Сейчас в теме
если это пришло в голову мне, то это же могло прийти в голову и другим

всегда утешаю себя этим, когда я думаю "Я один такой идиот, который подумал\сделал какую-то ерунду?!"
4. VmvLer 31.07.19 14:24 Сейчас в теме
(3) на самом деле мы были в сети еще до того как слезли с деревьев, просто протоколы обмена забыты.
5. Senator_I 1 31.07.19 14:43 Сейчас в теме
"ваш пароль должен содержать цифры буквы завязку развитие кульминацию и неожиданный финал"
6. capitan 1226 31.07.19 21:44 Сейчас в теме
Вспоминается...
Сисадмин: — Ну и пусть говорят, что использовать кличку любимого кота в качестве пароля — дурной тон! RrgTt_fx32!b, кис—кис—кис…
10. ogidni 124 01.08.19 14:46 Сейчас в теме
(6) Ну все же знают имя кота. Какой бы он сложный не был
11. capitan 1226 01.08.19 16:22 Сейчас в теме
7. user1260738 01.08.19 00:27 Сейчас в теме
8. chemezov 19 01.08.19 03:08 Сейчас в теме
(7)круть. Жаль не скачивается пачка с нужным количеством паролей
9. DmitryKSL 151 01.08.19 08:11 Сейчас в теме
Чем больше становится сервисов, тем больше паролей должен запоминать человек

Собственно все пароли нужны в браузере, вопрос решается легко. Браузер запоминает пароли, нужно помнить только мастер пароль. Если я захожу в браузер с другого устройства, то первый раз требуется дополнительная верификация,например код из смс. Так что проблема яйца выеденного не стоит.
12. acanta 60 01.08.19 16:27 Сейчас в теме
Кстати о браузерах, куда делся пункт меню сохранить вебстраницу как файл?
Ziggurat; +1 Ответить
13. ogidni 124 01.08.19 16:46 Сейчас в теме
Делается все так - выбирается один длинный пароль - к примеру "Да здравствует Великая Октябрьская Социалистическая революция№#125"
далее из не берется хешкод Sha-256. Получаем afaf541630c7ec6168d7bdff5573ff63215b156a1c82116bd7b3dcb5bce5­0c85
Далее берем и Складываем
1. "afaf541630c7ec6168d7bdff5573ff63215b156a1c82116bd7b3dcb5bce­50c85"+"gogle.com" и снова делаем хэшкод - получаем: пароль для гугла "29a7dc1c8ef076e7aa597734f540735a0ef9fd5919a17ae2d9670746bf9­e9c82"

2. "afaf541630c7ec6168d7bdff5573ff63215b156a1c82116bd7b3dcb5bce­50c85"+"yandex.ru" и снова делаем хэшкод - получаем: пароль для яндекса. "94a691e21c33c060cddc6a0c171e327ca3d7488abf546e8d49141eeb3c5­92700"
Да такой пароль очень длинный:
Немного смекалки и можем получать упрощенный пароль из 8 символов путем преобразования хэшкода-пароля в Base64 строку и берем произвольные 8 символов (к примеру 1+2,3+4,5+6.....15+16 кратно 64) и получим пароли типа "dDfGF+3J" для гугла и "A/fghjyF" для яндекса
Устанавливаем прогу на телефон и теперь у нас один пароль на все.
Смысл в том что не надо помнить все пароли... а хранить все пароли в облаке гугла итп ... тоже как то не кашерно
15. Ziggurat 47 06.08.19 14:08 Сейчас в теме
(13) Зачем это всё? В уме хэш не возьмешь (говорю только за себя).
Оставьте свое сообщение