Mundarija № Mavzular

Parol tizimlari. Maxfiy identifikatorlarga-parollarga (password) asoslangan
tizimlar autentifikatsiyaning an’anaviy vositalari hisoblanadi. Afsuski, parol
tizimlari, obyektiv va subyektiv sabablarga ko‘ra, zaif.
Birinchidan, parol tizimlari tizim buzg‘unchilarining jiddiy e’tibori ostida.
Buzg‘unchi parol himoyasini buzib, tizim nuqtai nazaridan, ruxsatga ega
foydalanuvchiga aylanishi mumkin. Masalan, axborot xavfsizligi sohasidagi
80%dan ortiq insidentlar parol himoyasini buzish bilan bog‘liq. Aksariyat
kompyuter xujumlari aynan ma’mur parolini qo‘lga kiritishni ko‘zda tutadi.
Ta’kidlash lozimki, ko‘pgina autentifikatsiya tizimlarining zaifligi ularning
noto‘g‘ri amalga oshirilishi bilan bog‘liq. Masalan, ba’zi tizimlarda parol ochiq
holda uzatiladi va saqlanadi (PAP protokoli, parol bo‘yicha autentifikatsiyalash
protokoli yordamida). Parol axborotini shifrlash protokollari va vositalari esa
yetarlicha kriptobardoshlikka ega emas.
Ikkinchidan, parollarni ko‘pincha oddiygina aniqlash mumkin. Gap shundaki,
parol tizim yordamida (tasodifiy sonlar datchiklari yordamida) generatsiyalash
mumkin va, demak, uni esda saqlash qiyin. Bu holda, foydlanuvchilar bunday
psevdotasodifiy parollarni ko‘pincha qog‘oz parchasiga, kompyuterning tashqi
qurilmasiga, “Ish stolidagi” fayllarga, uyali telefonlarning “xotirasiga” va h.
yozishadi. Bu esa buzg‘unchilar uchun yoqimli holat.
Boshqa tomondan, oson esda saqlanuvchi parol, odatda, oddiy va
foydalanuvchining shaxsiy hayoti va yaqinlari bilan assosatsiyalangan bo‘ladi.
Demak, parol osongina topilishi mumkin.
Parol himoyasining bardoshligini qanday oshirish mumkin? Bir necha usullar
mavjud:

doimiy (static) parollar o‘rniga bir martali parollardan foydalanish;

parol va qayd yozuvlari himoyasi siyosatini kuchaytirish.
Ta’siri yo‘qolgan parollardan foydalanish xavfini istisno qilish maqsadida
dinamik tarzda o‘zgaruvchi (dinamic) parollardan foydalaniladi. Dinamik parollar
vaqtning qandaydir oralig‘idan so‘ng yangi parolning generatsiyalanishini va
ishlatilishini ta’minlaydi. Masalan, parollarni generatsiyalash funksiyasida

parametrlarning biri sifatida kun ko‘zda tutilgan bo‘lsa, ravshanki, har kuni parol

yangilanadi. Amalda, dinamik tarzda o‘zgaruvchi parollar sifatida subyekt ishining
bitta seansida qo‘llaniluvchi bir martali (one-time, single -use) parollar keng
tarqalgan.
Dinamik tarzda o‘zgaruvchi parollarga asoslangan autentifikatsiya tizimlarida
mijoz va server parollarni generatsiyalashning bir xil algoritmidan foydalanishadi.
Bir martali parol ta’sirining vaqt oralig‘ini nazoratlash uchun tizim vaqti serverda
va mijozda “sinxronlanishi” lozim. Parolni nazoratlashda tizim vaqti ishlatilmay,
hodisaning boshlanishi prinsipi ishlatilsa, bunday tizimlar “asinxron tizimlar” deb
ataladi.
Parolli himoyalash xavfsizligi siyosatini kuchaytirish parolni tanlashda uning
oshkor bo‘lishini qiyinlashtiruvchi talablarga hamda parolni saqlash va tarmoq
orqali uzatish talablariga rioya qilish ko‘zda tutiladi, masalan:

parol tarkibida ko‘p uchraydigan ismlar, so‘zlar, qisqartirishlar, kunlar,
telefon nomerlari bo‘lmasligi, autentifikator bilan bir xil bo‘lmasligi va h. lozim;

parol tarkibida bosh harflar, raqamlar, tinish belgilari va maxsus
simvollar (-@#;%^&*) bo‘lishi lozim;

paroldagi simvollar soni 8 dan kam bo‘lmasligi va parolni 90 kundan
so‘ng almashtirish lozim;

hisob yozuvidan foydalanishga cheklashlar (kun, sutka vaqti, ulanish
manzili, ulanish soni bo‘yicha) o‘rnatililishi lozim;

parolni muvaffaqiyatsiz kiritish va urinish sonini cheklash - 3 dan 5
gacha;

parol axborotini saqlash va tarmoq bo‘yicha uzatishning kriptohimoya
rejimlari o‘rnatilishi lozim.
Parol himoyasini kuchaytirishning o‘ziga hos variantlari – parol iboralaridan
(pass phrase) va kognitiv (cognitive - anglab bo‘ladigan) parollardan foydalanish.
Uzun, ammo xotirlash uchun oson parol iborasi parolning oshkor qilinishini
qiyinlashtiradi. Kognitiv parol odatda, tasodifiy tanlangan, ammo maxfiy ravishda
oldindan aniqlangan savollarga javoblar qismto‘plamidan iborat.

Avtomatlashtirilgan tizimlarda parollar bardoshligini baholashda matematik

ko‘rsatkichlar ishlatilishi mumkin. Klod Shennon tomonidan taklif etilgan axborot
entropiyasi keng tarqalgan ko‘rsatkich sifatida ishlatiladi:
𝐻 = 𝑛 ∗ log
2
|𝐴|, 
Bu yerda, |
𝐴|- A alfavitning quvvati (bo‘lishi mumkin bo‘lgan simvollar
soni),
𝑛 esa paroldagi simvollar soni.
Entropiya qanchalik katta bo‘lsa, parolning tasodifiy tarzda oshkor qilinishi
shunchalik qiyinlashadi. Agar parol parollarni tanlash lug‘atida bo‘lsa, uning
entropiyasi nulga teng deb hisoblash qabul qilingan.
Xulosa sifatida ta’kidlash lozimki, parol himoyasini kuchaytirishning radikal
usuli - noyob elektron qurilmadan qo‘shimcha tarzda foydalanib, ikki omilli
autentifikatsiyaga o‘tish.