Создан пароль, который невозможно выдать, записать или
передать. Ученые из Стэнфордского университета в Калифорнии создали очень
своеобразную технологию, с помощью которой пользователь может получить
уникальный пароль, не запоминая его. В результате, такой пароль невозможно
передать кому-либо, он не подвержен утечкам, а еще его крайне трудно забыть,
поскольку механизм запоминания и применения пароля построен на подсознательных
процессах в мозгу человека.
Суть нового метода состоит в том, чтобы научить
пользователя вводить пароль таким же образом, как человек учится ездить на
велосипеде – неосознанно, путем многократный повторений, в игровой форме. В
первых полевых испытаниях добровольцы смогли выучить ввод пароля за полчаса,
потом успешно его воспроизвели на клавиатуре, но не могли определить и
записать его, когда их попросили.
Как известно, даже самые сложные электронные средства
безопасности можно преодолеть, если заставить кого-то выдать пароль. Что же
будет, если пароль будет храниться прямо в вашей голове, но таким образом, что
вы не сможете осознанно воспроизвести его при любых усилиях? Именно такого рода
безопасность предлагает новый подход, разработанный группой ученых под
руководством Христо Божинова, в котором методы криптографии сочетаются с
достижениями неврологии.
Новая система построена на принципе так называемого неявного
обучения, когда люди неосознанно учатся воспроизводить некую последовательность
действий. Для этого авторы технологии создали специальную игру, в которой нужно
перехватывать падающие объекты с помощью нажатия соответствующих клавиш. Объекты
падают по шести дорожкам, соответствующим разным клавишам.
В ходе игры игрок не осознает, что объекты не всегда падают
в случайном порядке. Внутри последовательности падающих объектов, то есть требуемых
нажатий клавиш, скрыта заданная последовательность из 30 успешных позиций,
которые повторяют более 100 раз за время обучающей игры (30-45 минут). Чем дальше
идет игра, тем меньше ошибок делает пользователь, причем навык неосознанного
ввода последовательности кнопок сохранился, когда ученые решили проверить
добровольцев через две недели после первичного обучения.
Ученые предполагают, что подобная игра может стать базисом
для системы безопасности. Пользователь освоит последовательность символов в
ходе первого сеанса, а потом будет удостоверять свою подлинность, точно
повторяя эту последовательность в ходе игры. Интересно, что прежние
исследования показывали неспособность людей повторять выученные таким образом
последовательности. Тем не менее, с аналогами этого явления можно столкнуться
буквально повсюду, взять хотя бы способность людей правильно использовать новые
слова в речи без осознанного применения строгих грамматических правил.
Теоретически, кто-то может попробовать осознанно повторить последовательность
символов, принудив держателя пароля сыграть в ту же игру и посмотрев, когда
происходит меньше ошибок. Однако, поскольку последовательность состоит из 30 нажатий
клавиш в шести разных позициях, шансы собрать их в единую последовательность
почти призрачны. По оценкам авторов, непрерывное испытание 100 пользователей в
течение года даст вероятность восстановления этой последовательности 1 к 60 000.
Конечно, для коммерческого применения система требует
доработки в сторону большей дружественности к пользователю. Кроме того, как и в
других системах безопасности, ее можно взломать, если получить доступ к самой
системе авторизации. Именно поэтому сам Божинов говорит, что его технологию лучше
использовать в ситуациях с высокой степенью риска, когда держатель пароля
должен физически присутствовать в месте входа, например, при доступе в склад
ядерного оружия.
Новая система имеет определенные преимущества по сравнению с
биометрическими методами, которые распознают такие уникальные характеристики,
как рисунок радужной оболочки глаза. Главное преимущество состоит в том, что
скомпрометированную последовательность можно заменить, а вот заменить глаза
пользователю даже в случае компрометации уже не удастся. Новый метод
авторизации не требует явных усилий со стороны пользователя, так что, если
удастся сократить время обучения и ввода кодовой последовательности, то такая
система вполне может заменить биометрические, где от пользователя не требуется
никакого деятельного участия, а риск потерять факторы авторизации почти
нулевой.
Работа Божинова и его коллег будет официально представлена 8
августа на симпозиуме по безопасности USENIX. Сейчас текст работы можно найти
на сайте автора по адресу bojinov.org/professional/usenixsec2012-rubberhose.pdf.
По материалам сайтов New Scientist и The Register.
|
