Парольная защита. Голуб В.А. - 11 стр.

                                      11
     К наиболее распространенной разновидности программных закладок
- перехватчиков паролей относятся программы, которые будучи внедренными в
операционную систему, получают доступ к паролям, вводимым пользователя-
ми, перехватывают их, записывают в специальный файл или в другое место,
доступное злоумышленнику, внедрившему закладку в систему.
     Можно выделить три разновидности перехватчиков паролей.
     Перехватчики паролей первого рода (“имитаторы”) после запуска ими-
тируют приглашение пользователю зарегистрироваться для входа в систему.
Когда пользователь вводит имя и пароль, закладка сохраняет их в доступном
злоумышленнику месте, после чего завершает работу и осуществляет выход из
системы, а на экране появляется настоящее регистрационное приглашение для
входа пользователя в систему [4,6].
     Предполагая, что при вводе пароля произошла ошибка, пользователь по-
вторно вводит имя и пароль, после чего вход в систему и дальнейшая работа
проходят нормально. Некоторые закладки перед завершением работы выдают
на экран правдоподобное сообщение об ошибке ввода пароля.
     Признаком, позволяющим заподозрить наличие в системе программной
закладки – перехватчика паролей первого рода, является повторяющаяся ситуа-
ция с невозможностью входа в систему с первой попытки и необходимости по-
вторного ввода пароля.
     Наиболее уязвимы к таким перехватчикам паролей операционные систе-
мы, в которых приглашение пользователю на вход имеет простой вид.
     Достаточно надежную защиту от перехватчиков паролей первого рода
обеспечивают операционные системы Windows NT/2000/XP. В этих системах
процесс Winlogon, получающий от пользователя имя и пароль, выполняется на
отдельном рабочем поле (рабочем поле аутентификации), к которому никакой
другой процесс, в том числе и перехватчик паролей, не имеет доступа [4].
     При старте системы на экране компьютера появляется приглашение на-
жать комбинацию клавиш , после чего отображается рабочее по-
ле аутентификации, на котором вводятся имя и пароль. Однако пользователь
вводит имя и пароль не сразу, а только после нажатия . Чтобы пе-
рехватчик паролей первого рода смог перехватить пароль, он должен суметь
обработать нажатие пользователем , иначе при нажатии этой
комбинации клавиш произойдет переключение на рабочее поле аутентифика-
ции, а рабочее поле прикладных программ, где выполняются все программы,
включая перехватчик паролей, станет неактивным, и сообщения о нажатых кла-
вишах будут приходить на недоступное программной закладке рабочее поле
[4].
     Перехватчик паролей может имитировать не начальное приглашение опе-
рационной системы, где пользователю предлагается нажать , а
регистрационное приглашение, которое высвечивается после нажатия пользо-
вателем этой комбинации и предлагает ввести идентификационное имя и па-
роль пользователя [4,6]. Обычно при отсутствии в системе перехватчиков паро-
лей-имитаторов это второе приглашение автоматически отменяется через неко-
торое время (30…60 секунд) и заменяется на начальное, если за это время поль-