Väljaanne passwdqc 2.0.0 koos väliste filtrite toega

Ilmus uus versioon passwdqc — paroolide ja paroolifraside keerukuse kontrollimise tööriistade kogum, mis sisaldab moduli pam_passwdqc, programme pwqcheck, pwqfilter (see versioon on lisatud) ja pwqgen manuaalseks kasutamiseks või skriptidest, samuti raamatukogu libpasswdqc. Toetatakse nii PAM-iga süsteeme (enamasti Linux, FreeBSD, DragonFly BSD, Solaris, HP-UX) kui ka ilma PAM-ita (OpenBSD-s toetatakse liidest passwordcheck, koos on lisatud sidumisosa pwqchecki kasutamiseks PHP-st, olemas on tasuline versioon Windowsile ning programme ja raamatukogu saab kasutada ka teistes süsteemides).

Võrreldes varasemate versioonidega on lisatud toetus välistest paroolifiltreerimisfailidest, sealhulgas binaarsetest, mis on hetkel täiustatud kükloopfiltri rakendused. Selline filter tagab, et ei jää ühtegi keelatud parooli tähelepanuta, kuid võib aeg-ajalt põhjustada valehäireid, mille tõenäosus on passwdqc kasutatavate seadistuste ja algoritmi korral ebaoluline. Parooli kontrollimine filtri kaudu nõuab maksimaalselt kahte juhuslikku lugemisülekannet kettalt, mis on väga kiire ja tavaliselt ei tekita liigset koormust. serverilt.

Binaarfiltrite loomiseks ja kasutamiseks on passwdqc-s lisatud programm pwqfilter. See suudab luua filtrit nii paroolide loendist kui ka nende MD4 või NTLM hashesidest. NTLM hasheside toetus võimaldab importida paroole HIBP (Pwned Passwords) loendist, mis on jagatud sellisel kujul. Palju vaeva on nähtud pwqfilteri optimeerimise nimel kiirusel, saadud filtrite kompaktsetes mõõtudes ja valehäire tasemel. Näiteks, kükloopfiltri loomine 98% koormusteguriga failist pwned-passwords-ntlm-ordered-by-hash-v7.txt, mis on suurusega 21 GiB (22 GB) ja sisaldab rohkem kui 613 miljonit rida, võtab umbes 8 minutit Core i7-4770K protsessoril. Saadud filter on 2.3 GiB (2.5 GB) ja selle valehäire tase on umbes 1 ühe 1.15 miljardi kohta. Madalama sihttaseme koormusteguriga saab filtrit luua palju kiiremini ja selle valehäire tase on veel madalam, kuid selle suurus jääb suuremaks.

passwdqc suudab väga hästi ära hoida nõrkade paroolide kasutamist ilma väliste failide kasutamiseta. Nende kasutamine võib tõsta passwdqc efektiivsust veelgi, põhjustamata kasutajatele peaaegu mingit täiendavat ebamugavust või võimaldades leevendada muid piiranguid. Kasutajate valitud paroolide kontrollimine tuntud lekete põhjal on soovitatav NIST-i poolt. Openwalli projektina on see potentsiaalne võimalus passwdqc arendamise finantseerimiseks (ja mitte ainult) valmis filtrite müügi kaudu, samas kui kasutajad saavad luua filtreid iseseisvalt vabavalmistatud programmiga pwqfilter.

pwqfilter töötab suvaliste stringidega ja seda saab kasutada grep'i asemel paljude eesmärkide jaoks, sealhulgas mitte paroolide ja turvalisuse valdkonnas. Sellega seoses on pwqfilter'il mitu valikut, mis on sarnased grep'ile, vältides võimaluste nimetuste kasutamist, mis oleksid grep'iga vastuolus, ning kasutades sama tagastuskoodi nagu grep.

Situatsioonides, kus valehäired on äärmiselt ebasoovitavad, saab nende taset vähendada kuni ühe kvintiljoni (miljard miljardit) tasemeni 44% koormusteguri korral. (Klassikaline kuku filtri puhul ei saa nii märkimisväärset valehäirete taseme langust saavutada, koormusteguri alandamisel. passwdqc-s saavutatakse see algoritmi paranduste kaudu).

Allikas: opennet.ru