211service.com
För att hålla lösenorden säkra från hackare, dela bara upp dem i bitar
Ett nytt sätt för webbplatser och andra onlinetjänster att lagra lösenord kan förhindra intrång som det som resulterade i att 6,5 miljoner LinkedIn-användare fick sina lösenord publicerade online tidigare i år.
Den typen av datadump händer när en angripare får tillgång till servern som lagrar användarlösenord. Forskare vid datasäkerhetsföretaget RSA har skapat ett system som delar lösenorden i två och lagrar varje halva på olika platser. De två halvorna går aldrig ihop, inte ens när en person loggar in och får sitt lösenord verifierat. Det borde göra det svårare för någon att stjäla dem, eftersom en tjuv skulle behöva bryta sig in på båda dessa servrar, som kan skyddas på olika sätt.
Lösenordslagring blir allt mer problematisk på grund av den ökande frekvensen av intrång men också för att konsekvenserna av dem har ökat, säger Ari Juels , som leder RSA:s forskningslabb i Cambridge, Massachusetts. Juels säger att att förlora kontrollen över ett onlinekonto kan ge angripare information som hjälper till att bryta sig in i andra, och många människor återanvänder helt enkelt lösenord på flera konton ändå.
Även om LinkedIn och många andra företag krypterar lösenord – så att deras servrar inte innehåller exakt den sträng som en användare skriver – har angripare en rad verktyg som kan vända denna kryptering, säger Juels. Även de allra bästa metoderna, som LinkedIn inte använde, kan brytas.
Vår uppfattning är att det är bättre att lösenord och andra referenser inte lagras på ett ställe, säger Juels, vilket gör det svårare för en angripare att få tag i allt han behöver för att återskapa en persons lösenord.
RSA:s nya schema fungerar genom att bryta ett lösenord i många små bitar och lagra hälften av dessa bitar – utvalda slumpmässigt – på ett ställe och resten på ett annat. RSA kallar tillvägagångssättet distribuerat legitimationsskydd. Om en plats attackeras är lösenorden fortfarande säkra, säger Juels. Där magin kommer in är systemets förmåga att kontrollera lösenord utan att återmontera dem.
När en person loggar in på ett system med distribuerat autentiseringsskydd delas lösenordet han eller hon tillhandahåller upp i två krypterade datasträngar. Varje sträng skickas sedan till en av de två lösenordsservrarna, där den kombineras med hälften av lösenordet som lagras på den servern för att skapa en ny sträng. De två servrarna jämför sedan dessa två nya strängar för att avgöra om lösenordet är korrekt eller inte. Den inblandade matematiken innebär att det är omöjligt att bestämma lösenordet från någon av dessa strängar, eller båda kombinerade - så lösenordet förblir okänt även om en angripare kan fånga strängarna.
De två inblandade servrarna kan konfigureras med olika operativsystem och på olika platser, säger Juels, så att stjäla lösenord kräver att man monterar två separata attacker framgångsrikt. Dessa måste också ske i kort ordning, eftersom systemet med jämna mellanrum uppdaterar vilken slumpmässig hälften av kodavsnitten av ett lösenord som lagras på varje server.
Mjukvaran kommer att börja säljas senare i år, säger Juels.
RSA:s nya tillvägagångssätt är en version av en teknik som kallas tröskelkryptografi, som länge har utforskats av forskare. Konceptet är inte nytt, men det här skulle vara första gången som det distribueras till allmänheten, säger Dan Boneh , en professor vid Stanford University som har forskat på sådana konstruktioner. Tröskelkryptering används bakom kulisserna av företag, så kallade certifikatmyndigheter, som utfärdar de digitala säkerhetscertifikaten som hjälper datorer och webbläsare att veta vilka servrar de ska lita på – till exempel när de loggar in på en bankwebbplats.
Ett sätt att öka effektiviteten av tillvägagångssättet skulle vara att dela upp lösenord eller hemligheter över mer än bara två servrar, säger Boneh. Juels säger att RSA planerar att göra det möjligt i framtiden och att släppa mjukvara som gör det möjligt att använda hemlighetsdelningsmetoden för att skydda krypterad data, till exempel för filer som lagras i en molntjänst.
Boneh noterar dock att det finns andra sätt för en persons hemligheter att bli stulen. Med lösenordshantering är det ofta slutanvändarens största oro – om användarens maskin är infekterad med skadlig programvara finns det lite än vad som kan göras för att säkra dem utan att tillgripa en fysisk token, säger Boneh och syftar på system som kräver att människor måste bär en nyckelbricka eller använd en telefonapp för att ange ett tillfälligt lösenord varje gång de loggar in.
Detta tillvägagångssätt, känd som tvåfaktorsautentisering, krävs vanligtvis endast för företags- eller finansiella konton, men Google och Facebook erbjuder det nu för sina onlinekonton på grund av den livliga handeln med att kompromissa med sådana konton.