Релиз на passwdqc 2.0.0 с поддръжка на външни филтри

Издадена е нова версия на passwdqc — пакет от инструменти за контрол на сложността на пароли и паролни фрази, включващ модула pam_passwdqc, приложенията pwqcheck, pwqfilter (добавено в тази версия) и pwqgen за ръчно или скриптово използване, както и библиотеката libpasswdqc. Поддържат се системи с PAM (по-голямата част от Linux, FreeBSD, DragonFly BSD, Solaris, HP-UX), както и без PAM (поддържа се интерфейсът passwordcheck в OpenBSD, добавен е обвивка за използване на pwqcheck от PHP, съществува платена версия за Windows, а приложенията и библиотеката могат да бъдат използвани и на други системи).

В сравнение с предишните версии, добавена е поддръжка за външни файлове за филтриране на пароли, включително двоични, които в момента представляват реализация на подобрен кукушки филтър. Този филтър гарантирано не допуска нито една от забранените пароли, но може понякога да доведе до фалшиви срабатывания, вероятността за които при настройките и алгоритъма, използвани в passwdqc, е пренебрежимо малка. Проверката на паролата за наличие във филтъра изисква не повече от два достъпа до случайно четене от диска, което е много бързо и обикновено не създава прекомерно натоварване. сървър.

За създаването и работата с двоични филтри в passwdqc е добавена програмата pwqfilter. Тя може да създаде филтър както от списък с пароли, така и от техните хешове MD4 или NTLM. Поддръжката на хешове NTLM позволява импортиране на пароли от списъка HIBP (Pwned Passwords), разпространяван в такава форма. Вложени са много усилия за оптимизация на pwqfilter по отношение на производителността, компактността на получените филтри и нивото на фалшиви срабатывания. Например, създаването на кукушки филтър с коефициент на натоварване 98% от файла pwned-passwords-ntlm-ordered-by-hash-v7.txt с размер 21 GiB (22 GB) и съдържащ повече от 613 милиона реда отнема около 8 минути на процесор Core i7-4770K. Полученият филтър заема 2.3 GiB (2.5 GB) и има ниво на фалшиви срабатывания около 1 на 1.15 милиарда. С по-нисък целеви коефициент на натоварване, филтърът може да бъде създаден значително по-бързо и ще има ниво на фалшиви срабатывания още по-ниско, но размерът му ще бъде по-голям.

passwdqc се справя много добре с предотвратяването на слаби пароли без използване на външни файлове. Използването им може да увеличи ефективността на passwdqc още повече, почти без да създава допълнителни неудобства за потребителите, или може да позволи отслабване на други ограничения. Проверката на избраните от потребителите пароли срещу известни изтичания се препоръчва от NIST. За проекта Openwall това е потенциална възможност за финансиране на разработката на passwdqc (и не само) чрез продажба на готови филтри, като същевременно не ограничава потребителите в възможността да създават филтри сами, използвайки пуснатата с открита лицензирана програма pwqfilter.

pwqfilter работи с произволни низове и може да се приложи вместо grep за много цели, дори и несвързани с пароли и сигурност. С оглед на това, pwqfilter има няколко опции, подобни на тези в grep, избягва използването на имена на опции, които биха противоречали на тези в grep, и използва същите кодове за връщане като в grep.

За задачи, при които фалшивите срабатывания са крайно нежелателни, тяхното ниво може да бъде намалено, например до едно на квинтиллион (милиард милиарда) при коефициент на натоварване до 44%. (Класическия кукушкин филтър не предоставя толкова значително намаляване на нивото на фалшивите срабатывания при понижаване на коефициента на натоварване. В passwdqc това се постига чрез подобрения в алгоритъма).

Източник: opennet.ru