Иллюзия безопасности хуже, чем осознание её отсутствия, потому что она приводит к решениям, основанным на ложных предпосылках. Информация, передаваемая учреждениями общественного доверия, типа «Мы защищаем ваши персональные данные», часто создает именно такую иллюзию безопасности. Рассмотрим два примера на основе PDF-файлов с паролями.
- Я получил электронное письмо от PZU с предложением страхования, в котором подчеркивается: «Мы защищаем персональные данные»:
2. В приложении находился PDF-файл, защищенный паролем:
3. Допустим, я не знаю пароля. Однако из содержания письма я знаю, что пароль состоит из 4 цифр. Давайте посмотрим, сколько времени потребуется на его взлом с помощью современного домашнего компьютера.
4. Открыв PDF в текстовом режиме, мы можем прочитать заголовок файла (например, с помощью блокнота). Это позволит нам определить, в какой версии стандарта он был создан:
5. Следующий шаг — извлечение хэша пароля, который мы хотим взломать. Здесь нам поможет инструмент pdf2john.py.
6. Для взлома полученного хэша мы используем hashcat в режиме bruteforce. 10500 означает режим взлома хэша формата для PDF-файлов версии 1.4-1.6:
Как видно ниже, взлом пароля, состоящего из четырех цифр, занял 10 секунд:
Таким образом, можно смело утверждать, что 4-значный пароль — это иллюзорная защита и он не защищает персональные данные.
Далее рассмотрим «защищенный» PDF от NN Investment Partners.
- Здесь он был защищен уже немного более длинной строкой символов — номером PESEL.
2. Заголовок файла из приложения — «%PDF-1.2» указывает на то, что файл был создан с использованием стандарта 1996 года:
3. Извлеченный хэш пароля указывает на то же:
4. Запускаем грубую силу с hashcat. Грубую, потому что не учитываем никаких дополнительных предположений, которые уменьшили бы количество возможных комбинаций, кроме того, что PESEL состоит из 11 цифр:
Что делать, как жить?
Для шифрования данных следует использовать длинные пароли — более 12 символов, с большим диапазоном символов, т.е. такие, в которых будут заглавные/строчные буквы, цифры и специальные символы. Такой пароль должен быть передан клиенту по другому каналу связи, например, смс. Кроме того, учреждения должны использовать сильные алгоритмы шифрования, которые значительно замедляют попытки взлома. Примером может быть использование архива 7zip с алгоритмом AES-256.
