| Users re-use passwords for multiple services. |
Карыстальнікі могуць паўторна выкарыстоўваць паролі для некалькіх сэрвісаў. |
| If an attacker gains access to one server and can gain a list of passwords, he may be able to use this password to attack other services. |
Калі зламыснік атрымае доступ да аднаго сервера і зможа здабыць спіс пароляў, ён можа выкарыстаць іх для атакі на іншыя сэрвісы. |
| Therefore, only password hashes may be stored. |
Таму можна захоўваць толькі хэшы пароляў. |
| Secure hashing algorithms are easy to use in most languages and ensure the original password cannot be easily recovered and that wrong passwords are not falsely accepted. |
Бяспечныя алгарытмы хэшавання лёгка выкарыстоўваюцца ў большасці моў, істотна ускладняючы аднаўленне першапачатковых пароляў і памылковае прыняцце няправільных пароляў. |
| Adding salts to the password hashes prevents the use of rainbow tables and significantly slows down brute-force attempts. |
Ускладненне хэшаў пароляў прадухіляе выкарыстанне тзв. вясёлкавых табліц і значна запавольвае спробы брут-форсу. |
| Strengthening slows both off-line brute-force attacks against stolen hashes and on-line brute-force in case the rate limiting fails. |
Умацаванне запавольвае офлайнавыя брут-форс атакі на скрадзеныя хэшы, а таксама анлайнавы брут-форс, калі абмежаванне трафіку не дапамагло. |
| However, it increases CPU load on the server and would open a vector for DDoS attacks if not prevented with login attempt limiting. |
Тым не менш, гэта павялічвае абцяжаранне працэсара на серверы і адкрывае вектар DDoS- атак, калі не абмежаваць колькасць спробаў уваходу. |
| A good strengthening can slow down off-line brute-force attacks down by a factor of 10000 or more. |
Добрае ўмацаванне можа запаволіць офлайнавыя брут-форс атакі прынамсі ў 10 000 разоў. |
| Limiting login attempts is necessary to prevent on-line brute-force attacks and DoS via the CPU usage of the password strengthening procedure. |
Абмежаванне спробаў уваходу неабходнае, каб запабегчы анлайнавым брут-форс і DoS-атакам праз выкарыстанне працэсарнай працэдуры умацавання паролю. |
| Without a limit, an attacker can try a very large number of passwords directly against the server. |
Без гэтага абмежавання зламыснікі могуць спрабаваць вельмі вялікую колькасць пароляў непасрэдна на серверы. |
| Assuming 100 attempts per second, which is reasonable for a normal web server, no significant strengthening and an attacker working with multiple threads, this would result in 259,200,000 passwords tried in a single month! |
Напрыклад, 100 спробаў на секунду (звычайная нагрузка для вэб-сервера) без істотнага ўмацавання дасць 259 млн. спробаў за месяц у шматпатокавай атацы. |
| Not enforcing any password policies will lead to too many users choosing “123456”, “qwerty” or “password” as their password, opening the system up for attack. |
Невыкарыстанне парольнай палітыкі прывядзе да занадта вялікай колькасці карыстальнікаў з паролямі "123456", “qwerty” або “password”, якія робяць сістэму ўразлівай да атакаў. |
| Enforcing too strict password policies will force users to save passwords or write them down, generally annoy them and foster re-using the same password for all services. |
Занадта строгая парольная палітыка прымусіць карыстальнікаў захоўваць або запісваць паролі, наогул надакучыць ім і прымусіць выкарыстоўваць адны і тыя ж паролі на ўсіх сэрвісах. |
| Furthermore, users using secure passwords not matching the policies may be forced to use passwords which are harder to remember, but not necessarily secure. |
Больш за тое, карыстальнікі з бяспечнымі паролямі, якія не адпавядаюць палітыцы, будуць вымушаныя выкарыстоўваць больш складаныя для запамінання, але не абавязкова бяспечныя паролі. |
| A password consisting of 5 concatenated, randomly (!) chosen lowercase dictionary words is significantly more secure than an eight-character password consisting of mixed case letters, numbers and punctuation. |
Пароль, які складаецца з 5 паслядоўных, выпадкова (!) выбраных слоўнікавых адзінак з малымі літарамі, значна больш бяспечны, чым 8-знакавы пароль з літар рознага рэгістру, лічбаў і знакаў прыпынку. |
| Take this into account if you do not get a password policy to implement, but have to design your own. |
Бярыце гэта пад увагу, калі вы збіраецеся распрацаваць уласную парольную палітыку для ўкаранення. |
