Utgåvan av passwdqc 2.0.0 med stöd för externa filter

En ny version av passwdqc har släppts — en uppsättning verktyg för att kontrollera komplexiteten av lösenord och lösenfraser, som inkluderar modulen pam_passwdqc, programmen pwqcheck, pwqfilter (som har lagts till i denna version) och pwqgen för manuell användning eller användning i skript, samt biblioteket libpasswdqc. Både system med PAM (de flesta Linux, FreeBSD, DragonFly BSD, Solaris, HP-UX) och utan PAM stöds (det finns ett gränssnitt för passwordcheck i OpenBSD, en wrapper för att använda pwqcheck från PHP, och en betald version för Windows, liksom programmen och biblioteket som också kan användas på andra system).

Jämfört med tidigare versioner har stöd för externa lösenordsfiltreringsfiler lagts till, inklusive binära filer, vilket för närvarande utgör en implementation av en förbättrad kuggfilter. Detta filter garanterar att inga förbjudna lösenord slipper igenom, men kan ibland leda till falska positiva resultat, vars sannolikhet är försumbart liten med de inställningar och algoritmer som används i passwdqc. Kontroll av ett lösenord för förekomst i filtret kräver inte mer än två random-access läsning från disken, vilket går mycket snabbt och vanligtvis inte skapar någon överbelastning. servern.

För att skapa och arbeta med binära filter i passwdqc har programmet pwqfilter lagts till. Det kan skapa filter både från listor över själva lösenorden och från deras MD4- eller NTLM-hashar. Stöd för NTLM-hashar möjliggör import av lösenord från listan HIBP (Pwned Passwords), som distribueras i denna form. Mycket arbete har lagts ner på att optimera pwqfilter för hastighet, kompakthet av de resulterande filtren samt nivåer av falska positiva resultat. Till exempel tar det ungefär 8 minuter av en Core i7-4770K-processor att skapa ett kuggfilter med en belastningskoefficient på 98 % från filen pwned-passwords-ntlm-ordered-by-hash-v7.txt, som är 21 GiB (22 GB) stor och innehåller mer än 613 miljoner rader. Det resulterande filtret tar 2.3 GiB (2.5 GB) och har en nivå av falska positiva resultat på cirka 1 per 1.15 miljarder. Med en lägre målnivå för belastningskoefficienten kan filtret skapas betydligt snabbare och kommer att ha en lägre nivå av falska positiva resultat, men dess storlek blir större.

passwdqc fungerar mycket bra för att förhindra svaga lösenord utan användning av externa filer. Deras användning kan öka effektiviteten hos passwdqc ytterligare utan att orsaka användarna mer besvär, eller kan tillåta att andra begränsningar lättar. NIST rekommenderar att kontrollera de lösenord som användarna väljer mot kända läckor. För Openwall-projektet är detta en potentiell finansieringsmöjlighet för utvecklingen av passwdqc (och mer) genom försäljning av färdiga filter, utan att begränsa användarnas möjlighet att skapa filter själva med det frisläppta programmet pwqfilter under en öppen licens.

pwqfilter arbetar med godtyckliga strängar och kan användas istället för grep för många syften, även sådana som inte rör lösenord och säkerhet. Med detta i åtanke har pwqfilter flera alternativ som liknar de som finns i grep, undviker att använda alternativnamn som skulle motsäga de som finns i grep, och använder samma returkoder som grep.

För uppgifter där falska positiva resultat är extremt oönskade kan deras nivå sänkas, exempelvis till en på kvintillion (miljard miljarders) med en belastningsfaktor på upp till 44 %. (Den klassiska cuckoo-filter ger inte en så betydande minskning av falska positiva resultat vid minskad belastningsfaktor. I passwdqc uppnås detta tack vare förbättringar i algoritmen).

Källa: opennet.ru