Издаден Passwdqc 2.0.0 с поддръжка за външни филтри

Пусната е нова версия на passwdqc, набор от инструменти за наблюдение на сложността на пароли и пароли. Тя включва модула pam_passwdqc, програмите pwqcheck, pwqfilter (добавени в тази версия) и pwqgen за ръчно използване или от скриптове, както и библиотеката libpasswdqc. Поддържат се системи с PAM (повечето Linux, FreeBSD, DragonFly BSD, Solaris, HP-UX) и без PAM (интерфейсът за проверка на пароли в OpenBSD се поддържа, включено е обвързване за използване на pwqcheck от PHP, има платена версия за Windows, а програмите и библиотеката могат да се използват и на други системи).

В сравнение с предишни версии е добавена поддръжка за външни файлове за филтриране на пароли, включително двоични, които в момента имплементират подобрен „кукувичи“ филтър. Този филтър гарантирано не пропуска никакви забранени пароли, но понякога може да генерира фалшиви положителни резултати, вероятността за които е пренебрежимо малка предвид настройките и алгоритъма, използвани в passwdqc. Проверката на парола за включване във филтъра изисква не повече от две произволни четения от диска, което е много бързо и като цяло не създава прекомерно натоварване. сървър.

За създаване и работа с двоични филтри, програмата pwqfilter е добавена към passwdqc. Може да създаде филтър както от списъка със самите пароли, така и от техните MD4 или NTLM хешове. Поддръжката на NTLM хешове ви позволява да импортирате пароли от списъка HIBP (Pwned Passwords), разпространен в тази форма. Много работа е инвестирана в оптимизирането на pwqfilter за скорост, компактност на получените филтри, както и нивото на фалшиви положителни резултати. Например, създаването на кукувичък филтър с фактор на натоварване от 98 GiB (7 GB) pwned-passwords-ntlm-ordered-by-hash-v21.txt файл с над 22 милиона реда отнема около 613 минути на Core i8-7K процесор . Полученият филтър заема 4770 GiB (2.3 GB) и има честота на фалшиви положителни резултати от около 2.5 на 1 милиарда. С по-малък целеви коефициент на натоварване филтърът може да бъде създаден много по-бързо и ще има дори по-нисък процент на фалшиви положителни резултати, но неговият размер ще бъде по-голям.

passwdqc върши много добра работа да не пропуска слаби пароли, без да използва външни файлове. Тяхното използване може да подобри още повече ефективността на passwdqc с малко или никакво допълнително неудобство за потребителите или може да позволи облекчаване на други ограничения. Тестването на избрани от потребителя пароли срещу известни течове се препоръчва от NIST. За проекта Openwall това е потенциална възможност за финансиране на разработването на passwdqc (и не само) чрез продажбата на готови филтри, без да се ограничава възможността на потребителите да създават сами филтри с помощта на програмата pwqfilter, издадена под безплатен лиценз.

pwqfilter работи с произволни низове и може да се използва вместо grep за много цели, дори и такива, които не са свързани с пароли и сигурност. Имайки това предвид, pwqfilter има няколко опции, подобни на тези в grep, избягва използването на имена на опции, които биха били в конфликт с тези в grep, и използва същите кодове за връщане като grep.

За задачи, при които фалшивите положителни резултати са силно нежелателни, нивото им може да бъде намалено, например, до един на квинтилион (милиард милиарда) с коефициент на натоварване до 44%. (Класическият кукувичък филтър не осигурява толкова значително намаляване на нивото на фалшивите положителни резултати, когато факторът на натоварване е намален. В passwdqc това се постига поради подобрения в алгоритъма).

Източник: opennet.ru