Лучший вариант при автоподборе паролей к RDP и SSH — password

Лучший вариант при автоподборе паролей к RDP и SSH — password

Лучший вариант при автоподборе паролей к RDP и SSH — password

Исследователи из Rapid7 проверили надежность админ-паролей, используемых для удаленного доступа к системам по RDP или SSH, и результаты оказались плачевными. Анализ собранных с ловушек данных о брутфорс-атаках показал, что в 99,997% случаев такой ключ можно получить перебором по словарю.

За год мониторинга ханипотов RDP и SSH (с 10 сентября 2021 года по 9 сентября 2022-го) эксперты зафиксировали десятки миллионов попыток входа. Также выявлены (PDF) около 216 тыс. разных IP-адресов источника и 512 тыс. уникальных паролей, подавляющее большинство которых можно отыскать в списке rockyou2021.txt, опубликованном на GitHub.

За основу rockyou2021.txt взята база учеток, украденная в 2009 году у RockYou, разработчика приложений для соцсетей. Она содержала 32,6 млн незашифрованных записей, в том числе свыше 14 млн уникальных паролей. Этот исходный словарь (rockyou.txt) до сих пор используют ботоводы, он также включен в стандартный набор инструментов пентеста Kali Linux.

В последующие годы ходовой список неоднократно пытались расширить за счет новых утечек, создавая новые аналоги. Один из современных вариантов — rockyou2021.txt весом 92 Гбайт — выложен в открытый доступ на GitHub; сложные комбинации, создаваемые с помощью менеджеров паролей, в нем отсутствуют.

Сравнение находок Rapid7 с этим списком показало почти полное совпадение: из 512 002 уникальных паролей, собранных на ловушках, лишь 15 оказались новыми. Примечательно, что один такой ключ (AuToLoG2019.09.25) зачастую вшивают в троянов для взлома RDP.

Анализ паролей, которые хакеры использовали в атаках, также показал явный перевес в пользу общеупотребительных вариантов. При попытке взлома RDP предпочтение отдавалось пустой строке, 123, password, 123qwe и admin. В пятерку лидеров для SSH вошли 123456 (самый популярный в мире пароль), nproc, test, qwerty и password.

Проведенное исследование подтвердило предположения экспертов:

  1. Хакеры редко по-настоящему взламывают пароли, отдавая предпочтение автоматизированным словарным атакам.
  2. Интернет-сообщество так и не научилось управлять паролями.

В комментарии для SecurityWeek представитель Rapid7 не преминул отметить: чтобы свести на нет словарную атаку, достаточно просто увеличить длину пароля (сам он использует 14-значную строку) и включить в него пару спецсимволов.

Согласно недавнему опросу с инициативы «РТК-Солар», половина россиян до сих не соблюдает базовые требования к паролям (длина не менее восьми знаков, комбинирование цифр, строчных и прописных букв, спецсимволов; уникальность). А эксперты «Ростелеком-Солар» выяснили, что в российских компаниях проблема слабых паролей касается в основном веб-приложений и сервисов внешнего периметра, в том числе служб удаленного доступа.

Подпишитесь на новости

71% россиян удаляют приложение, но оставляют сервису свои данные

Смахнуть приложение со смартфона — ещё не значит стереть аккаунт и переданные сервису данные. Однако каждый четвёртый россиянин уверен именно в этом, показал опрос «АльфаСтрахования». После отказа от цифрового сервиса 71% пользователей просто удаляют его приложение.

До самой учётной записи добираются только 18%, в компанию с требованием стереть информацию обращались 7%, а согласие на обработку персональных данных отзывали жалкие 4%. Остальные, видимо, рассчитывают, что иконка унесла всё с собой.

У 64% респондентов сохранились аккаунты в сервисах, которыми они не пользовались больше года. Почти треть накопила более десяти таких цифровых призраков, а 41% уже не могут вспомнить все сайты и приложения, где когда-либо регистрировались.

Забыть есть что. Номер телефона и электронную почту передавали сервисам более 90% участников исследования, домашний адрес — 78%, реквизиты банковских карт — 72%, дату рождения — 69%. Каждый третий оставлял паспортные данные, 21% — сведения о здоровье, а 18% — документы или информацию о детях.

При этом политику конфиденциальности внимательно читают всего 2% россиян. Ещё 13% просматривают отдельные пункты, а большинство нажимает «Согласен», не тратя время на юридический эпос. Более половины объясняют это объёмом документов, а 48% резонно замечают: без согласия сервис всё равно не пустит дальше.

Больше всего пользователей пугает утечка паспортных и банковских данных, об этом заявили 76% и 73% опрошенных соответственно. В исследовании участвовали 2,5 тыс. экономически активных россиян из разных регионов страны.

RSS: Новости на портале Anti-Malware.ru