Инспекция по кибербезопасности взломала каждый пятый пароль в системе МВД США

[душман]

Немногим более одной пятой от всех паролей, используемых в системе Министерства внутренних дел США, оказались достаточно слабыми, чтобы их можно было взломать стандартными методами, говорится в отчёте, составленном по итогам аудита безопасности в ведомстве.Проводившие инспекцию эксперты получили хеши паролей от 85 944 учётных записей сотрудников в Active Directory. 

Далее эти пароли попытались взломать при помощи базы из 1,5 млрд слов, включающей в себя: словари из нескольких языков, правительственную терминологию США, отсылки к поп-культуре, общедоступные пароли, ставшие известными в результате прежних утечек, а также комбинации клавиш вроде QWERTY. 

Это позволило взломать 18 174 или 21 % паролей. При этом 288 соответствующих учётных записей имели высокие привилегии в системе, а 362 принадлежали высокопоставленным сотрудникам ведомства. Только за первые 90 минут удалось взломать 16 % учётных записей. 

Проверка также выявила ещё одну уязвимость в защите — фактическую неспособность ведомства внедрить многофакторную авторизацию на 25 (или 89 %) особо ценных ресурсах из 28, взлом которых может серьёзно повлиять на работу ведомства.

Вот каким оказался список самых популярных паролей: Password-1234 (его использовали 478 пользователей); Br0nc0$2012 (389); Password123$ (318); Password1234 (274); Summ3rSun2020! (191); 0rlando_0000 (160); Password1234! (150); ChangeIt123 (140); 1234password$ (138); ChangeItN0w! (130).

Для взлома эксперты использовали систему из 16 видеокарт на 2 или 3 поколения старше актуальных продуктов. Примечательно, что 99,9 % взломанных паролей формально отвечали требованиям безопасности: имели длину не менее 12 символов и содержали 3 из 4 необходимых типов символов — строчные и прописные буквы, цифры и спецсимволы.