9.2. Parol asosida autentifikatsiya va zamonaviy parol siyosati

Parol autentifikatsiyaning eng qadimiy va eng keng tarqalgan vositasidir. Uning ommalashuvi sababi sodda: parol hech qanday qo'shimcha uskuna talab qilmaydi, uni joriy etish arzon va u har qanday tizimda ishlaydi. Ayni paytda parol eng ko'p muammo keltiradigan vosita hamdir, chunki uning zaifligi ikki tomondan kelib chiqadi.

Birinchi tomon foydalanuvchi bilan bog'liq. Inson murakkab va tasodifiy belgilar ketma-ketligini eslab qololmaydi, shuning uchun u parolni soddalashtiradi: tug'ilgan sana, ism, oddiy so'z yoki ketma-ket raqamlarni tanlaydi. Bundan tashqari, u bir xil parolni bir necha xizmatda ishlatadi, chunki har biriga alohida parol o'ylab topish qiyin. Ikkinchi tomon tizim bilan bog'liq: parol serverda qanday saqlanadi. Kirish voqeasidagi Adobe misoli aynan shu ikkinchi tomonning buzilishiga misol edi.

Parolni serverda saqlashning bir necha yo'li bor va ular xavfsizlik darajasi bo'yicha keskin farq qiladi (9.3-rasm). Ushbu farqni tushunish mutaxassis uchun majburiy bilim hisoblanadi.

Birinchi usul, parolni ochiq matnda saqlash, hech qanday himoya bermaydi: baza o'g'irlansa, barcha parollar darhol qo'lga tushadi. Bugungi kunda bunday yondashuv qo'pol xato hisoblanadi. Ikkinchi usul, parolni shifrlash, birinchisidan yaxshiroq ko'rinadi, biroq uning tub kamchiligi bor: shifrlash qaytariladigan amaldir. Kalitni bilgan yoki uni qo'lga kiritgan shaxs barcha parollarni bir vaqtning o'zida ochib olishi mumkin. Aynan shu xato Adobe holatida sodir bo'lgan edi.

Uchinchi usul, parolni xeshlash, to'g'ri yo'nalishdagi qadam bo'lib, u VIII-bobda ko'rilgan edi: xesh bir tomonlama bo'lgani uchun undan parolni tiklab bo'lmaydi. Biroq oddiy xeshning ham zaifligi bor: bir xil parol har doim bir xil xesh beradi, shuning uchun tajovuzkor oldindan hisoblangan xeshlar jadvalidan foydalanib, keng tarqalgan parollarni tez aniqlaydi. To'rtinchi va tavsiya etiladigan usul, har bir parolga tasodifiy qiymat, ya'ni tuz qo'shib, so'ngra maxsus, ataylab sekin ishlaydigan xesh funksiyasi bilan xeshlashdir. Tuz bir xil parollarning turli xesh berishini ta'minlaydi, sekinlik esa ommaviy tanlash hujumini amalda foydasiz qiladi.

Parol siyosatini to'g'ri qurish uchun avval unga qanday hujum qilinishini bilish kerak, chunki har bir himoya chorasi muayyan hujum turiga qarshi ishlaydi (9.4-rasm).

To'liq izlash hujumida (brute force) tajovuzkor barcha mumkin bo'lgan belgilar kombinatsiyasini ketma-ket sinab chiqadi. Bu usulning muvaffaqiyati parol uzunligiga bevosita bog'liq: har bir qo'shimcha belgi variantlar sonini bir necha marta oshiradi. Lug'at hujumida esa barcha kombinatsiyalar emas, balki oldindan tuzilgan ro'yxat, ya'ni keng tarqalgan so'z va parollar sinaladi. Bu usul ancha samarali, chunki ko'pchilik foydalanuvchi tasodifiy emas, ma'noli parol tanlaydi.

Tayyor jadval hujumida tajovuzkor keng tarqalgan parollarning xeshlarini oldindan hisoblab qo'yadi va o'g'irlangan bazadagi xeshlarni shu jadval bilan solishtiradi. Bunda hech narsa hisoblanmaydi, faqat qidiriladi, shuning uchun jarayon juda tez kechadi. Aynan shu hujumga qarshi tuz qo'shish ishlatiladi. Nihoyat, hisob ma'lumotlarini qayta ishlatish hujumida tajovuzkor boshqa saytdan sizib chiqqan parollarni shu tizimda sinab ko'radi. Bu hujum foydalanuvchining bir xil parolni turli xizmatlarda ishlatish odatiga tayanadi va u bugungi kunda eng samarali usullardan biri hisoblanadi.

Uzoq yillar davomida parol siyosati bir xil qoidalarga tayanardi: parol qisqa bo'lsin, lekin murakkab belgilar aralashmasidan iborat bo'lsin va har uch oyda majburiy almashtirilsin. Tadqiqotlar shuni ko'rsatdiki, bu qoidalar amalda kutilgan natijani bermaydi, ba'zan esa zarar keltiradi. Majburiy almashtirish talabi qo'yilganda foydalanuvchi yangi kuchli parol o'ylab topmaydi, balki eskisini kichik o'zgarish bilan takrorlaydi. Murakkablik talabi esa parolni odam uchun qiyin, kompyuter uchun esa oson taxmin qilinadigan qiladi.

Shu sababli AQSh Milliy standartlar va texnologiyalar instituti (NIST) SP 800-63B hujjatida parol siyosatiga yondashuvni tubdan qayta ko'rib chiqdi. Ushbu hujjatning to'rtinchi tahriri 2025-yilda yakuniy shaklda tasdiqlangan bo'lib, undagi asosiy talablar quyidagi jadvalda keltirilgan (9.2-jadval). Bu talablar AQSh davlat idoralari uchun mo'ljallangan bo'lsa-da, ular jahon amaliyotida keng e'tirof etilgan va bugungi kunda eng ishonchli amaliy tavsiya hisoblanadi.

9.2-jadval. NIST SP 800-63B (4-tahrir, 2025-yil) bo'yicha parol talablari.

Ushbu jadvaldagi ikki band ko'pchilik uchun kutilmagan bo'lishi mumkin. Birinchisi, davriy almashtirishning bekor qilinishi. Uning sababi shundaki, parolni majburan almashtirish uning oshkor bo'lish xavfini kamaytirmaydi, biroq foydalanuvchini sodda va oldindan taxmin qilinadigan qoliplar ishlatishga majbur qiladi. Ikkinchisi, tarkib talablarining olib tashlanishi: uzun va eslab qolish oson bo'lgan parol iborasi qisqa va murakkab belgilar aralashmasidan ko'ra bardoshliroq bo'ladi.

Nazorat savollarining taqiqlanishi ham alohida e'tiborga loyiq. Bunday savollarga javob ko'pincha ochiq manbalardan, masalan ijtimoiy tarmoqlardan topilishi mumkin, shu sababli ular parolni tiklashning zaif nuqtasiga aylanadi. Kirish voqeasidagi Adobe misolida esa parol maslahatlari butun himoyani yemirgan edi.

Foydalanuvchi darajasidagi tavsiyalar ham shu qoidalardan kelib chiqadi: har bir xizmat uchun alohida parol tanlash, uzun parol iborasidan foydalanish, parollarni maxsus parol boshqaruvchi dasturda saqlash va imkon bo'lgan hamma joyda ko'p omilli autentifikatsiyani yoqish. Parol boshqaruvchisi ayniqsa muhim, chunki u foydalanuvchining eslab qolish cheklovini butunlay bartaraf etadi.