90
oshirilishi bilan bog‘liq. Masalan, ba’zi tizimlarda parol ochiq holda
uzatiladi va saqlanadi (PAP
protokoli, parol bo‘yicha
autentifikatsiyalash protokoli yordamida). Parol axborotini shifrlash
protokollari va vositalari esa yetarlicha kriptobardoshlikka ega emas.
Ikkinchidan, parollarni ko‘pincha oddiygina aniqlash mumkin. Gap
shundaki, parol tizim yordamida (tasodifiy sonlar datchiklari yordamida)
generatsiyalash mumkin va, demak, uni esda saqlash qiyin. Bu holda,
foydlanuvchilar bunday psevdotasodifiy parollarni ko‘pincha qog‘oz
parchasiga, kompyuterning tashqi qurilmasiga, “Ish stolidagi” fayllarga,
uyali telefonlarning “xotirasiga” va h. yozishadi. Bu esa buzg‘unchilar
uchun yoqimli holat.
Boshqa tomondan, oson
esda saqlanuvchi parol, odatda, oddiy va
foydalanuvchining shaxsiy hayoti va yaqinlari bilan assosatsiyalangan
bo‘ladi. Demak, parol osongina topilishi mumkin.
Parol himoyasining bardoshligini qanday oshirish mumkin? Bir
necha usullar mavjud:
- doimiy (static) parollar o‘rniga bir martali parollardan
foydalanish;
- parol va qayd yozuvlari himoyasi siyosatini kuchaytirish.
Ta’siri yo‘qolgan parollardan foydalanish xavfini
istisno qilish
maqsadida dinamik tarzda o‘zgaruvchi (dinamic) parollardan
foydalaniladi. Dinamik parollar vaqtning qandaydir oralig‘idan so‘ng
yangi parolning generatsiyalanishini va ishlatilishini ta’minlaydi.
Masalan, parollarni generatsiyalash funksiyasida parametrlarning biri
sifatida kun ko‘zda tutilgan bo‘lsa, ravshanki, har kuni parol
yangilanadi. Amalda, dinamik tarzda o‘zgaruvchi parollar sifatida
subyekt ishining bitta seansida qo‘llaniluvchi bir martali (one-time,
single -use) parollar keng tarqalgan.
Dinamik tarzda o‘zgaruvchi parollarga asoslangan autentifikatsiya
tizimlarida mijoz va server parollarni
generatsiyalashning bir xil
algoritmidan foydalanishadi. Bir martali parol ta’sirining vaqt oralig‘ini
nazoratlash uchun tizim vaqti serverda va mijozda “sinxronlanishi”
lozim. Parolni nazoratlashda tizim vaqti ishlatilmay, hodisaning
boshlanishi tamoyili ishlatilsa, bunday tizimlar “asinxron tizimlar” deb
ataladi.
Parolli himoyalash xavfsizligi siyosatini
kuchaytirish parolni
tanlashda uning oshkor bo‘lishini qiyinlashtiruvchi talablarga hamda
parolni saqlash va tarmoq orqali uzatish talablariga rioya qilish ko‘zda
tutiladi, masalan:
91
– parol tarkibida ko‘p uchraydigan ismlar, so‘zlar, qisqartirishlar,
kunlar, telefon nomerlari bo‘lmasligi, autentifikator bilan bir xil
bo‘lmasligi va h. lozim;
– parol tarkibida bosh harflar, raqamlar, tinish belgilari
va maxsus
simvollar (-@#;%^&*) bo‘lishi lozim;
– paroldagi simvollar soni 8 dan kam bo‘lmasligi va parolni 90
kundan so‘ng almashtirish lozim;
– hisob yozuvidan foydalanishga cheklashlar (kun, sutka vaqti,
ulanish manzili, ulanish soni bo‘yicha) o‘rnatililishi lozim;
– parolni muvaffaqiyatsiz kiritish va urinish sonini cheklash - 3
dan 5 gacha;
– parol axborotini saqlash va tarmoq bo‘yicha uzatishning
kriptohimoya rejimlari o‘rnatilishi lozim.
Parol himoyasini kuchaytirishning o‘ziga hos variantlari – parol
iboralaridan (pass phrase) va kognitiv (cognitive - anglab bo‘ladigan)
parollardan foydalanish. Uzun, ammo xotirlash
uchun oson parol iborasi
parolning oshkor qilinishini qiyinlashtiradi. Kognitiv parol odatda,
tasodifiy tanlangan, ammo maxfiy ravishda oldindan aniqlangan
savollarga javoblar qismto‘plamidan iborat.
Avtomatlashtirilgan tizimlarda parollar bardoshligini baholashda
matematik ko‘rsatkichlar ishlatilishi mumkin. Klod Shennon tomonidan
taklif etilgan axborot entropiyasi keng tarqalgan ko‘rsatkich sifatida
ishlatiladi:
𝐻 = 𝑛 ∗ log
2
|𝐴|
,
Bu yerda,
|𝐴|- A alfavitning quvvati (bo‘lishi mumkin bo‘lgan
simvollar soni),
𝑛 esa paroldagi simvollar soni.
Entropiya qanchalik katta bo‘lsa, parolning tasodifiy tarzda
oshkor
qilinishi shunchalik qiyinlashadi. Agar parol parollarni tanlash lug‘atida
bo‘lsa, uning entropiyasi nulga teng deb hisoblash qabul qilingan.
Xulosa sifatida ta’kidlash lozimki, parol himoyasini
kuchaytirishning radikal usuli - noyob elektron qurilmadan qo‘shimcha
tarzda foydalanib, ikki omilli autentifikatsiyaga o‘tish.
