Bola vydaná nová verzia passwdqc — súbor nástrojov na kontrolu zložitosti hesiel a fráz, ktorý obsahuje modul pam_passwdqc, programy pwqcheck, pwqfilter (pridaný v tejto verzii) a pwqgen na manuálne alebo skriptové použitie, ako aj knižnicu libpasswdqc. Podporované sú systémy s PAM (väčšina Linuxu, FreeBSD, DragonFly BSD, Solaris, HP-UX), ako aj bez PAM (podporovaný je rozhranie passwordcheck v OpenBSD, je k dispozícii obal na použitie pwqcheck z PHP, existuje platená verzia pre Windows a programy a knižnica môžu byť tiež použité na iných systémoch).
V porovnaní s predchádzajúcimi verziami bola pridaná podpora externých súborov na filtrovanie hesiel, vrátane binárnych, ktoré aktuálne predstavujú implementáciu vylepšeného kukuričného filtra. Takýto filter zaručene neprejde žiadne zakázané heslo, ale môže občas viesť k falošným poplachom, ktorých pravdepodobnosť je pri použitých nastaveniach a algoritmoch v passwdqc zanedbateľne malá. Kontrola hesla na prítomnosť vo filtri si vyžaduje maximálne dva náhodné prístupy na čítanie z disku, čo je veľmi rýchle a vo všeobecnosti nespôsobuje nadmerné zaťaženie. servera.
Na vytváranie a prácu s binárnymi filtrami v passwdqc bola pridaná aplikácia pwqfilter. Može vytvoriť filter buď zo zoznamu samotných hesiel, alebo z ich hashov MD4 alebo NTLM. Podpora hashov NTLM umožňuje importovať heslá zo zoznamu HIBP (Pwned Passwords), distribuovaného v tejto forme. Do optimalizácie pwqfilteru z hľadiska rýchlosti, kompaktnosti získaných filtrov a úrovne falošných poplachov bolo vložené veľa práce. Napríklad vytvorenie kukuričného filtra s koeficientom zaťaženia 98% z súboru pwned-passwords-ntlm-ordered-by-hash-v7.txt s veľkosťou 21 GiB (22 GB) a obsahujúceho viac ako 613 miliónov riadkov trvá približne 8 minút na procesore Core i7-4770K. Vytvorený filter zaberá 2.3 GiB (2.5 GB) a má úroveň falošných poplachov približne 1 na 1.15 miliardy. Pri nižšom cieľovom koeficiente zaťaženia môže byť filter vytvorený omnoho rýchlejšie a bude mať ešte nižšiu úroveň falošných poplachov, ale jeho veľkosť bude väčšia.
passwdqc veľmi dobre zvláda zabrániť slabým heslám a bez použitia externých súborov. Ich použitie môže zvýšiť efektivitu passwdqc ešte viac a pritom takmer nespôsobovať používateľom ďalšie ťažkosti, alebo môže povoliť oslabenie iných obmedzení. Kontrola hesiel vyberaných používateľmi podľa známych únikov sa odporúča NIST. Pre projekt Openwall je to potenciálna príležitosť financovania vývoja passwdqc (a nielen) prostredníctvom predaja hotových filtrov, pričom nezabraňuje používateľom vytvárať filtre samostatne pomocou programu pwqfilter vydaného pod slobodnou licenciou.
pwqfilter pracuje s ľubovoľnými reťazcami a môže byť aplikovaný namiesto grep na mnohé účely, dokonca aj nezávislé na heslách a bezpečnosti. Vzhľadom na to má pwqfilter niekoľko možností podobných tým, ktoré existujú v grep, vyhýba sa používaniu názvov možností, ktoré by boli v rozpore s existujúcimi v grep, a používa rovnaké návratové kódy ako v grep.
Pre úlohy, kde sú falošné poplachy mimoriadne neželané, môže byť ich úroveň znížená napríklad na jednu na kvintilión (milión miliárd) pri koeficiente zaťaženia až 44%. (Klasický kukuričný filter nedáva také významné zníženie úrovne falošných poplachov pri znižovaní koeficientu zaťaženia. V passwdqc sa to dosahuje vďaka vylepšeniu algoritmu).
Zdroj: opennet.ru
