Den nye version af passwdqc er blevet udgivet — et værktøjssæt til kontrol af kompleksiteten af adgangskoder og adgangsfraser, som inkluderer modulen pam_passwdqc, programmerne pwqcheck, pwqfilter (tilføjet i denne version) og pwqgen til manuel brug eller fra scripts, samt biblioteket libpasswdqc. Både systemer med PAM (det meste af Linux, FreeBSD, DragonFly BSD, Solaris, HP-UX) og uden PAM understøttes (der er en passwordcheck-grænseflade i OpenBSD, en wrapper til brug af pwqcheck fra PHP, og der findes en betalt version til Windows, mens programmerne og biblioteket også kan anvendes på andre systemer).
I forhold til tidligere versioner er der tilføjet support for eksterne filfiltre til adgangskoder, herunder binære, som i øjeblikket er en implementering af et forbedret cuckoo-filter. Dette filter vil garanteret ikke lade nogen af de forbudte adgangskorder slippe igennem, men kan lejlighedsvis resultere i falske positiver, hvis sandsynlighed, under de anvendte indstillinger og algoritmer i passwdqc, er ubetydelig lav. Tjek af en adgangskode mod filteret kræver ikke mere end to tilfældige læseadgang til disken, hvilket er meget hurtigt og som regel ikke skaber overdreven belastning. server.
For at skabe og arbejde med binære filtre i passwdqc er programmet pwqfilter tilføjet. Det kan skabe et filter både fra en liste af selve adgangskoderne samt fra deres MD4- eller NTLM-hashes. Support for NTLM-hashes giver mulighed for at importere adgangskoder fra HIBP-listen (Pwned Passwords), der distribueres i denne form. Der er lagt meget arbejde i at optimere pwqfilter med hensyn til hastighed, kompaktheden af de resulterende filtre, samt niveauet for falske positiver. For eksempel tager det omkring 8 minutter på en Core i7-4770K-processor at skabe et cuckoo-filter med en belastningsgrad på 98% fra filen pwned-passwords-ntlm-ordered-by-hash-v7.txt, der fylder 21 GiB (22 GB) og indeholder over 613 millioner linjer. Det resulterende filter fylder 2,3 GiB (2,5 GB) og har et niveau for falske positiver på omkring 1 på 1,15 milliarder. Med en lavere ønsket belastningsgrad kan filteret oprettes meget hurtigere og vil have et endnu lavere niveau for falske positiver, men dets størrelse vil blive større.
passwdqc håndterer meget godt at forhindre svage adgangskoder uden brug af eksterne filer. Deres anvendelse kan dog øge effektiviteten af passwdqc endnu mere uden at påføre brugerne væsentlig ulempe, eller det kan give mulighed for at slække på andre begrænsninger. NIST anbefaler at kontrollere brugernes valgte adgangskoder mod kendte lækager. For Openwall-projektet er dette en potentiel mulighed for at finansiere udviklingen af passwdqc (og mere) gennem salg af færdige filtre, uden at begrænse brugerne i muligheden for at oprette egne filtre ved hjælp af det frigitte program pwqfilter under en fri licens.
pwqfilter arbejder med vilkårlige strenge og kan anvendes i stedet for grep til mange formål, selv dem der ikke vedrører adgangskoder og sikkerhed. I betragtning af dette har pwqfilter flere muligheder, der ligner dem, der findes i grep, undgår at bruge optionsnavne, der ville være i modstrid med dem i grep, og bruger de samme returkoder som i grep.
For opgaver hvor falske alarmer er ekstremt uønskede, kan deres niveau reduceres, for eksempel til én pr. kvintillion (million milliarder) ved en belastningsfaktor op til 44 %. (Den klassiske cuckoo-filter giver ikke et så betydeligt fald i niveauet af falske alarmer ved at sænke belastningsfaktoren. I passwdqc opnås dette gennem forbedringer af algoritmen).
Kilde: opennet.ru
