集中弱口令檢查系統的分析與設計

黎源 蔡大海

摘 要：賬號口令安全是保障各類設備安全的至關重要的基礎，但長期以來，弱口令一直作為電信企業常見的高風險安全問題存在。為了解決口令核查可能影響業務及效率低下的問題，從集中處理密文和優化弱口令字典庫等方面出發，提出了一種能夠進行集中的弱口令檢查方案，能夠支持大規模弱口令檢測常態化的需要。

關鍵詞：弱口令；口令字典；暴力破解

0 引言

弱口令是指容易被破解的口令，如123456等。長期以來，弱口令一直作為各種安全檢查、風險評估報告中最常見的高風險安全問題存在，成為攻擊者控制系統的主要途徑，許多安全防護體系是基于密碼的，口令被破解在某種意義上來講意味著其安全體系的全面崩潰。

通信運營商的設備通常數量多，類型雜，以某省移動公司為例，一個網絡部位維護的設備有幾千臺，類型上百種，無法進行有效的、全量的弱口令檢查，且運營商系統往往具有24小時不間斷提供業務的特點，要求口令檢查不能影響業務。 同時，通信企業內的弱口令除了安全界通用弱口令外，還包括常見的設備缺省口令、維護人員習慣設置的常見弱口令等，這些口令較為隱秘，除使用人外一般無法發現。特別是系統缺省弱口令，是發生第三方人員“越權使用、權限濫用、權限盜用”等違規行為的一個重要原因。

1 現有弱口令檢查技術分析

1.1 密碼破譯原理

弱口令檢查的實現基于密碼破譯，密碼分析者破譯或攻擊密碼的方法主要有窮舉攻擊法、統計分析法和數學分析攻擊法。

窮舉攻擊法又稱為強力或蠻力（Brute force）攻擊。這種攻擊方法是對截獲到的密文嘗試遍歷所有可能的密鑰，直到獲得了一種從密文到明文的可理解的轉換；或使用不變的密鑰對所有可能的明文加密直到得到與截獲到的密文一致為止；統計分析法就是指密碼分析者根據明文、密文和密鑰的統計規律來破譯密碼的方法；數學分析攻擊是指密碼分析者針對加解密算法的數學基礎和某些密碼學特性，通過數學求解的方法來破譯密碼。數學分析攻擊是對基于數學難題的各種密碼算法的主要威脅。

由于操作系統口令加密往往采用了MD5或SHA-1 等不可逆加密算法，而且在企業中使用的操作系統類型往往較多，因此無法用統計分析法和數學分析法來檢查系統中存在的弱口令。對于實際應用中的密碼系統而言，至少存在一種破譯方法，即窮舉法。利用窮舉法進行暴力破解是較多的弱口令檢查工具采用的方法，如John the ripper、LC5、RainbowCrack、Ophcrack等破解工具，為了避免計算量過大和破譯時間太長，這些工具往往使用了口令字典，只對字典里的口令進行嘗試。

1.2 弱口令核查方式分析

目前弱口令核查采用主要采用兩種方式：遠程連接網元反復嘗試登錄帳號口令的方式和登錄主機等設備獲取口令文件進行離線單機破解方式。

遠程連接網元、嘗試登錄帳號口令方式存在以下問題：

①有損探傷，極易造成配置了帳號鎖定策略的設備死鎖，影響用戶正常訪問；

②由于考慮對網元設備存在影響，不能開展超大字典庫的嘗試，因而往往集中于出廠缺省帳號配置和少量其它弱口令，不能更加全面發現不符合強口令策略的其它弱口令；

③由于只嘗試登錄從互聯網可以訪問到的設備，無法實現防火墻隔離的內網設備的弱口令核查；

④由于采用嘗試登錄可連接的設備進行弱口令核查，沒有口令破解算法模塊，不支持離線對口令文件的檢查，未購買相應工具的省公司無法借助已有平臺完成所有防火墻內、外網設備的弱口令核查。

人工登錄主機等設備獲取口令文件，利用帶弱口令字典的破解工具進行離線、單機破解方式主要存在以下問題：

①分散化，弱口令字典分散在各個離線破解的工具當中，無法進行統一、高效的配置和管理，如弱口令字典庫升級，無法做到一點升級全網有效，及時更新最新弱口令字典；

②人工工作量巨大，包括逐個設備獲取文件、破解結果統一分析形成報告等等；

③效率低下，無法實現定期、全網性弱口令排查。

④需要獲得目標機器的密碼密文文件。

2 集中弱口令檢查系統體系架構設計

2.1 集中弱口令檢查系統主要需求

集中弱口令檢查系統是為實現對通信運營商全網所有網元中的所有帳號口令強度的高效、全面、準確、及時掌控，整合現有安全技術手段，引入和優化現有口令檢查工具的方法，從而實現大規模口令的常態化檢查，支持完全不影響業務系統正常運行的、以在線或者離線獲取各網元口令文件、后臺集中破解為主要特征的“無損探傷”模式弱口令核查功能，支持集中核查各類在網主機、數據庫、網絡設備、應用系統的弱口令核查功能，以實現全面掌控在網設備口令設置情況的目的。主要有4個方面需求。

①建設符合企業和運維特點的弱口令字典：自動或手工搜集全網各類主機、網絡設備、應用、數據庫等網元常見出廠缺省配置、基于維護習慣選擇等導致的弱口令，結合互聯網上典型的字典庫，形成具備企業特有的弱口令字典。

②密碼密文（口令文件）采集：通過4a（即集中賬號口令管理系統）提供的連接網元的網絡通道，采集各類主機、網絡設備、防火墻、數據庫、的口令文件，支持在線直連網元采集、人工方式導入的離線采集兩種方式。

③弱口令分析：針對不同類型設備的口令文件，采用對應的破解引擎和弱口令字典庫，通過匹配的方式逐一嘗試破解各個帳號的口令，發現其中的弱口令進行對比。

④弱口令分布統計：對全網弱口令現狀進行分析，分公司、部門、系統、設備各個維度，得出各弱口令數量、比例、排名和變化趨勢。

2.2 集中弱口令檢查系統體系架構

集中弱口令系統的整體服務體系架構分為客戶端、采集探針、分析服務器3部分，如圖1所示，支持各種客戶端接入，通過采集探針支持多個網絡接入，并在后臺破解分析服務器上基于負載均衡機制進行分布式弱口令破解分析。

系統功能架構如圖2所示，采集層通過手工獲取密碼文件，或通過4A系統獲取各設備的帳號權限，自動登錄設備將密碼文件采集到集中分析服務器，分析層則通過字典庫進行弱口令比對分析，在展示層展現弱口令數量、分布、排名和趨勢，在業務層對字典庫、腳本等進行管理。

3 集中弱口令檢查系統關鍵技術研究

3.1 通過動態字典庫提高破解效率

現有的弱口令破解方式均采用暴力破解方式，即采用窮舉法，按照一定的規則和算法，將密碼進行逐個推算直到找出真正的密碼為止，這導致了暴力破解的過程需要很長的時間。

為了提高暴力破解效率，一般采用密碼字典、密碼組合規則或者兩者結合的方式提高破解效率。通過在密碼字典中，放入常見的弱口令信息，自行設置的口令組成信息（密碼組合一般按照數字型、大寫字母、小寫字母、特殊字符、用戶自定義字符等字符類型進行組合）。但一般的密碼字典、密碼組合規則由于缺乏維護和自身所應用行業特點，導致破解效率及弱口令發現率很低。由于設備量和帳號數量巨大，采用現有暴力破解方式的弱口令檢查仍將需要投入眾多的服務器設備和耗費很長的時間，不能支持常態化的弱口令檢測需要。為了提高弱口令的發現率和破解效率，我們設計了以下優化字典庫解決方案。

3.1.1 弱口令自動加權及排序

如圖3所示，自動智能排序的口令檢測是在每次弱口令檢測過程中對所發現的弱口令進行出現次數累加作為權重，在此基礎上自動生成弱口令的調用優先順序；在后續的弱口令暴力破解過程中，按照優先順序調用弱口令字典進行口令破解。

3.1.2 基于現有密文文件的弱口令字典庫擴展

自動搜集全網各類主機、網絡設備、應用、數據庫等網元常見出廠缺省配置、基于維護習慣選擇等導致的弱口令。通過收集所有密文文件，計算相同密文出現的頻率，對出現次數達到一定閥值（如10次）的密文，定為弱口令密文，并破解或跟管理員調查到密碼后列入弱口令字典庫，通過這種方法，能夠有效發現一些設備的默認、通用密碼 。具體流程圖見圖4：

3.1.3 基于規則的弱口令庫擴展

為了提高弱口令發現能力，除了采用通用弱口令字典外，往往通過密碼組合規則（如6位數字，3位數字+3位密碼等）生成密碼字典，但是通過秘密規則生成的字典往往較大，為了兼顧效率和能力，我們采用每次只用一個規則生成字典，發現的弱口令加入到弱口令字典庫中，第二次再采用另外的規則生產字典，以盡可能的發現多的弱口令。流程圖如圖5所示。

3.1.4 性能測試評估

為了檢驗優化字典庫后的破解效率和發現能力，我們對15臺設備的密碼文件進行弱口令檢查測試，（5臺unix，5臺windows，5臺linux），硬件條件：一臺普通PCserver（8核64G），使用John the rippe做破解工具，分別使用網上1個100萬條的弱口令字典庫和經過優化后的字典庫逐個進行破解，我們對每次測試結果進行記錄，如表1：

通過圖6數據可知，優化字典庫后破解時間基本每次破解比優化前有所減少，說破解效率比較穩定，總破解時間減少了26秒，效率提高了6.2%。自動化采集密碼文件后，還能節省每次手工選擇密碼文件的時間，效率將進一步提升。

通過圖7數據可以看出，使用優化后自動庫發現能力大大提高，從發現10個提升到20個，發現能力提高了1倍，從具體發現的弱口令看，優化后發現了Zxcm01之類的默認口令，使用網上通用的口令字典則難以發現。

3.2 密文文件集中采集的實現

在實際的黑客攻擊破解中，由于重重安全防護，獲取密文文件往往較為困難，導致難以發現弱口令。與實際攻擊破解不同，在企業中由于管理員自身掌握有設備的帳號密碼，能夠通過正常渠道登錄下載密文文件，通過分析密文文件，能夠取得較好的檢查效果。目前通信運營商一般建設了4A系統（即集中的賬號鑒權系統），通過與4A系統做接口，就能夠實現自動的密文文件下載功能。

4 應用效果

部署集中弱口令檢查系統后，目前支持Unix、Windows、Cisco等20各類主流主機、網絡設備、數據庫的核查，檢查設備量約一千五百多臺設備，能在8小時內完成一次檢查，滿足了每周進行一次全量核查的需求，發現了大量的默認密碼和弱口令，部分弱口令連系統管理員都沒有掌握。通過集中的整治，除了個別賬號由于業務需要不能更改，絕大部分弱口令得以消除，提升了網絡的安全性，實現了對全網所有網元中的所有帳號口令強度的高效、全面、準確、及時掌控。

5 結束語

本文在傳統的、分散的利用破解工具對密碼文件進行破解的基礎上，提出了自動采集密碼文件，優化字典庫進行集中檢查的方案，該方案以提高破解效率以及破解能力為目標，通過對字典的弱口令加權排序、基于現有密文文件對默認、通用口令進行自動發現，基于規則生產弱口令實現弱口令字典庫的自動擴展，可在有限硬件支撐和短時間完成大規模的帳號弱口令檢測，使常態化的大規模弱口令核查成為了可能。此外，本系統不僅局限于應用在通信運營商，也可以推廣到具有大量IT設備需要進行口令檢查的企業。

參考文獻：

[1]William Stallings 密碼編碼學與網絡安全[M].電子工業出版社， 2004年1月.

[2]吳開興，張榮華.加密技術的研究與發展[J].計算機安全，2011.06.

[3]DouglasR Stinson.密碼學原理與實踐[M].電子工業出版社，2009年07月.

作者簡介：黎源，男，1987，廣西武宣人，壯族，網絡代維管理，研究方向：網絡安全；蔡大海，男，1982，廣西北海人，漢族，工程師，研究方向：電信科學。