Пароли, которые можно забыть

5 март, 2003 - 00:00Игорь Дериев
Взращенные на военно-шпионских фильмах и книгах, мы приучены с пиететом относиться ко всякого рода пропускам, удостоверениям, паролям. Поэтому герои американских комедий, беспрепятственно проникающие в электронные системы, по наитию набрав в полях login и password соответственно "login" и "password", вызывают у нас улыбку разве что снисходительную...
Дело, конечно же, не только в простоте или сложности пароля. В конце концов, если лично у вас не хватает фантазии, на помощь с готовностью придет системный администратор. Не говоря уже о специальных утилитах, способных сгенерировать сколь угодно трудноподбираемую (и столь же труднозапоминаемую) последовательность символов.

Однако с паролем еще нужно правильно обращаться. Надуманной эту проблему посчитает лишь тот, кто никогда не видел на рабочих местах иных пользователей наклеек с "таинственными" кодами. Впрочем, замечание относится не только к людям, но и к программным средствам -- им ведь тоже приходится где-то хранить собственные знания. К примеру, во времена Windows 9x было принято кивать в сторону Windows NT/2000 -- вот где, мол, нормальная аутентификация и безопасность.

Поэтому неудивительно, что на многих описание CIA Commander произвело довольно сильное впечатление. Действительно, подобные утилиты вроде бы низводят парольную защиту до уровня детских шалостей: хакер, вооруженный всего одной дискетой, способен за пару минут забраться в святая святых. Однако существуют такие программы (а главное, соответствующие методики) отнюдь не первый год, и преследуют они совершенно благие цели. А ну как кто и впрямь забудет пароль администратора на машине с критичными приложениями и данными?

Позиция самой Microsoft по этому поводу более чем однозначна. В компании считают, что если злоумышленник получил непосредственный (физический) доступ к компьютеру, то такие "высокоуровневые" схемы защиты, как пароль на вход в систему, вряд ли его остановят. Немалая доля истины в этом, несомненно, есть, в конце концов ведь хакеру важно не просто попользоваться чужой системой, а добраться до интересующих данных, и различных способов для этого предостаточно. Потому разработчики Windows, скорее, принимают сторону пользователей и администраторов в том смысле, что им действительно нужны средства от чрезмерной забывчивости, и даже предлагают одно из наиболее удобных и универсальных в последней версии ОС.

Речь идет о Password Reset Disk (PRD), специальной дискете, которая аналогично CIA Commander позволяет при необходимости сменить пароль, но только для создавшего ее пользователя (определяемого, естественно, учетной записью). Впрочем, функция эта не слишком афишируется, хотя информация о ней присутствует даже во встроенной справочной системе, а набрести на нее случайно не так-то просто.

Подготовка PRD начинается с комбинации <Ctrl+Alt+Del> (при локальной регистрации необходимо предварительно отключить "приветственный" экран). Затем в окне Windows Security нужно щелкнуть на кнопке Change Password, выбрать локального (обязательно! В домене этот трюк по понятным причинам не пройдет) пользователя и еще раз щелкнуть на появившейся кнопке Backup. После этого материализуется "мастер забытых паролей", который и проведет вас через чрезвычайно простой процесс создания дискеты.

Применение PRD имеет несколько особенностей, в основном приятного свойства. Прежде всего -- это гораздо более мощное средство, чем простое сохранение в надежном месте самого пароля. Хотя на дискете появляется файл userkey.pwd (pwd, надо полагать, от password), непосредственного отношения к паролю он не имеет. По-видимому, в нем содержится информация об учетной записи, для которой создавалась дискета, и компьютере (возможно, SID). Последнее -- не необходимость, а скорее -- дополнительная мера безопасности.

Соответственно, пользователь может сколько угодно менять собственный пароль любыми средствами (как штатными, так и аварийными), обновлять PRD при этом не нужно. Уже из одного этого понятно, что используется методика, аналогичная применяемой во всех программах вроде CIA Commander.

Доступ к механизму замены пароля предоставляется после первого же его неправильного ввода, но только при условии, что до этого уже была создана PRD, иначе все попытки приводят к обычному сообщению об ошибке. Процессом руководит еще один мастер, который всего лишь информирует пользователя о происходящем. Как видите, механизм действительно прост и удобен, из известных проблем упоминается лишь одна -- с EFS; подробности и средства преодоления описаны, как и положено, в статьях Microsoft Knowledge Base.

Однако главная беда вовсе не в наличии какого-либо одного сомнительного механизма, который к тому же официально применяется "в мирных целях". Дело в общих подходах и принципиальной позиции. Действительно, профессиональный "взломщик" наверняка сможет разобраться с большинством защитных механизмов, получив физический доступ к системе, но стоит ли ему осознанно упрощать жизнь? Существует множество примеров, когда подобная практика попустительства сыграла злую шутку и с пользователями, и с самими разработчиками. Один из последних на первый взгляд кажется просто анекдотичным.

Всем (хочется надеяться, что уж читателям рубрики "Рабочий стол" -- наверняка) хорошо известна Recovery Console, впервые появившаяся в Windows 2000 и усовершенствованная в Windows XP. Самый простой способ ее использования -- с загрузочного дистрибутивного CD-ROM. Естественно, доступ в нее обеспечивается только для администратора (т. е. стандартной учетной записи, независимо от того, была ли она переименована).

"Приключения", в которых одному из первых довелось поучаствовать известному Windows-гуру Брайану Ливингстону, начинаются, если воспользоваться в Windows XP диском от Windows 2000. Парадоксально, но при этом ввод пароля не требуется независимо ни от каких предварительных настроек! Более того, если в "стандартной" аварийной консоли Windows XP по умолчанию запрещены доступ к съемным накопителям, применение символов шаблонов и другие потенциально опасные действия, описываемые специальными переменными окружения, а команда SET для их настройки изначально заблокирована (разрешать ее нужно отдельно в групповых политиках), то в данном случае все ограничения сняты -- бери что хочешь, копируй куда хочешь.

Таким вот образом может внезапно "аукнуться" недостаточно конструктивный подход к безопасности. Да, ошибки и бреши в защите довольно оперативно устраняются, уж с этим-то у Microsoft проблем никогда не было, но новые обнаруживаются в совершенно неожиданных местах. Не случайно, говоря об инициативе Trustworthy Computing, представители компании не перестают делать акцент на том, что был пересмотрен сам процесс проектирования ПО, а во главу угла поставлена именно безопасность. Однако вопрос о надежности нынешних приложений так и остается открытым, почти риторическим...