Обработка паролей
В настоящее время наиболее распространенными учетными данными для проверки подлинности являются имя пользователя и пароль. Несмотря на то, что другие типы учетных данных, такие как сертификаты и биометрические данные, начинают находить свой путь в мире систем и сетей, они часто создаются с помощью паролей. И даже там, где используются сертификаты, их ключи шифрования должны быть защищены. Таким образом, имена пользователей и пароли будут по-прежнему использоваться для учетных данных в обозримом будущем.
Учитывая, что пароли и ключи шифрования будут работать некоторое время, важно, чтобы программные системы использовали их в безопасном режиме. Если сеть или компьютерная система должна оставаться защищенной, пароли должны быть защищены от злоумышленников. Поначалу это может показаться тривиальным. Однако система после системы и сеть после того, как сеть была скомпрометирована, так как злоумышленник смог обнюхивать пароли пользователей. Проблемы варьируются от пользователей, которые делятся своими паролями с кем-то, до программного обеспечения, к которому может проникнуть злоумышленник.
Невозможно хранить секретную информацию в программном обеспечении в полностью безопасном режиме. Поскольку хранение паролей и ключей шифрования в программной системе никогда не может быть полностью безопасным, рекомендуется не хранить их в программной системе.
Тем не менее, когда пароли должны храниться в программной системе, как правило, это происходит, существуют меры предосторожности, которые могут быть приняты. Основная мера предосторожности заключается в том, чтобы злоумышленнику было как можно сложнее обнаружить пароль. Точно так же, как запереть двери вашего дома, если кто-то полон решимости взломать, это почти невозможно, чтобы предотвратить их от этого. Но, надеюсь, вы подняли уровень сложности достаточно, что потенциальному злоумышленнику лучше найти легче добычи.
Существует множество способов усложнить работу злоумышленника по поиску паролей. Тем не менее, степень того, что на самом деле может быть сделано, как правило, компромисс с тем, что пользователи сети или системы готовы жить с. Например, возьмем случай, когда "единый вход" не используется, и пользователю предлагается ввести пароль при каждом запуске приложения. В большинстве случаев это создаст значительную нагрузку на пользователей, и они, вероятно, будут жаловаться. Не только это, но отсутствие единого входа является неэффективным и снижает производительность пользователей. Таким образом, на практике пароль обычно не собирается от пользователя, кроме как во время входа в систему.
Учитывая, что пароли обычно должны храниться в программной системе, важно обеспечить максимально возможную безопасность паролей и удобство для пользователей. Дополнительные сведения см. в следующих разделах:
Примечание
Завершив использование паролей в приложениях, очистите конфиденциальную информацию из памяти, вызвав функцию SecureZeroMemory .