Byla vydána nová verze passwdqc — sady nástrojů pro kontrolu složitosti hesel a frází, která zahrnuje modul pam_passwdqc, programy pwqcheck, pwqfilter (dodaný v této verzi) a pwqgen pro ruční použití nebo z skriptů, a také knihovnu libpasswdqc. Podporovány jsou jak systémy s PAM (většina Linuxu, FreeBSD, DragonFly BSD, Solaris, HP-UX), tak bez PAM (podporováno je rozhraní passwordcheck v OpenBSD, je k dispozici obal pro použití pwqcheck z PHP, existuje placená verze pro Windows, a programy a knihovna mohou být také používány na jiných systémech).
Ve srovnání s předchozími verzemi byla přidána podpora externích souborů pro filtrování hesel, včetně binárních, které v současné době představují realizaci vylepšeného kuřecího filtru. Tento filtr zaručeně neuvolní žádné z zakázaných hesel, ale může občas vykazovat falešné poplachy, jejichž pravděpodobnost je při použitých nastaveních a algoritmu passwdqc zanedbatelná. Kontrola hesla na přítomnost ve filtraci vyžaduje maximálně dva náhodné přístupy ke čtení z disku, což je velmi rychlé a obvykle nezpůsobuje nadměrné zatížení. serveru.
Pro vytváření a práci s binárními filtry v passwdqc byl přidán program pwqfilter. Ten může vytvořit filtr jak ze seznamu samotných hesel, tak z jejich hashů MD4 nebo NTLM. Podpora hashů NTLM umožňuje importovat hesla ze seznamu HIBP (Pwned Passwords), distribuovaného tímto způsobem. Bylo vloženo mnoho úsilí do optimalizace pwqfilter pro rychlost, kompaktnost získaných filtrů a také úroveň falešných poplachů. Například vytvoření kuřecího filtru s load factor 98 % z souboru pwned-passwords-ntlm-ordered-by-hash-v7.txt o velikosti 21 GiB (22 GB) a obsahujícího více než 613 milionů řádků trvá přibližně 8 minut na procesoru Core i7-4770K. Vytvořený filtr zabírá 2.3 GiB (2.5 GB) a má úroveň falešných poplachů přibližně 1 na 1.15 miliard. Při nižším cílovém koeficientu zatížení může být filtr vytvořen mnohem rychleji a bude mít úroveň falešných poplachů ještě nižší, ale jeho velikost bude větší.
passwdqc velmi dobře zabraňuje slabým heslům a to bez použití externích souborů. Jejich použití může dále zvýšit efektivitu passwdqc, přičemž přitom téměř nezpůsobuje uživatelům další nepříjemnosti, nebo může povolit oslabení dalších omezení. Kontrola vybraných hesel uživateli podle známých úniků dat je doporučována NIST. Pro projekt Openwall je to potenciální možnost financování vývoje passwdqc (a nejen) prostřednictvím prodeje hotových filtrů, aniž by omezovala uživatele ve vytváření vlastních filtrů s využitím programu pwqfilter vydaného pod svobodnou licencí.
pwqfilter pracuje s libovolnými řetězci a může být použit místo grep pro mnohé účely, které se ani netýkají hesel a bezpečnosti. Vzhledem k tomu má pwqfilter několik možností podobných těm, které jsou dostupné v grep, vyhýbá se používání názvů možností, které by odporovaly těm v grep, a používá stejné návratové kódy jako grep.
Pro úkoly, kde jsou falešné pozitivy krajně nežádoucí, může být jejich úroveň snížena například na jednu na kvintilion (milion miliard) při zatížení až 44%. (Klasický kukaččí filtr nedává tak významné snížení úrovně falešných pozitivů při snížení zatížení. V passwdqc je to dosaženo díky vylepšením algoritmu).
Zdroj: opennet.ru
