Практическое исследование безопасности паролей: анализ стойкости к атакам перебором и по словарю с использованием теоретически обоснованных моделей сложности

Пароли остаются самым распространённым способом подтверждения личности, но именно они чаще всего становятся «точкой входа» после компрометации хранимых данных. Реальный риск связан не только с тем, что злоумышленник получает хеши, – важнее то, как быстро он может перебрать возможные варианты и насколько эффективно его словарные стратегии уменьшают пространство поиска. На практике стойкость часто подменяют рассуждениями о «длине» без привязки к конкретной вычислительной стоимости хеширования и к тому, как пользователи формируют пароли и парольные фразы. В этих условиях возникает вопрос: как теоретически обоснованные модели сложности соотносятся с измеряемой скоростью хеширования и дают ли они сопоставимые оценки времени атаки для перебора и словаря.

Цель проекта – сопоставить стойкость парольных данных к двум типовым стратегиям атак: перебору и атаке по словарю, опираясь на модели сложности и практические параметры хеширования. Для достижения этой цели требуется систематизировать сценарии компрометации и векторы атак, сформулировать теоретические оценки трудоёмкости через пространство поиска и среднее число попыток, а затем формализовать классы паролей и построить словари с вариациями слов и грамматически ограниченными фразами. Далее нужно связать вычислительные затраты на хеширование с ограничениями атакующего (параллелизм и GPU-ускорение), проверить согласованность теоретических предсказаний с измерениями скорости хеш-функций и перевести результаты в сопоставимые метрики риска. По итогам следует предложить рекомендации по выбору параметров KDF и требованиям к длине и структуре паролей, а также наметить направления продолжения работы с длинными парольными фразами.

Объект исследования – парольные данные, хранящиеся в виде хешей при аутентификации пользователей. Предмет – зависимость трудоёмкости атак от структуры паролей и параметров хеширования, выраженная через модели сложности (размер пространства поиска, вероятностные распределения и ожидаемое число попыток), а также связь этих оценок с фактической скоростью вычисления хешей на графических ускорителях. Такой фокус позволяет рассматривать не абстрактную «стойкость», а конкретные условия, при которых атака становится осуществимой по времени.

Методическая основа проекта опирается на теоретический анализ литературы и практических рекомендаций по защите паролей, чтобы уточнить, какие допущения корректны для перебора и словарных атак. Для оценки атак используются модели сложности, привязанные к вычислительным затратам: трудоёмкость переводится в оценку времени успешной атаки через скорость хеширования и ограничения атакующего. Чтобы параметризовать реалистичные входные данные, проводится формализация классов паролей (короткие/длинные строки, варианты с числами и суффиксами, парольные фразы с грамматическими правилами) и строятся словари двумя способами – вариациями базовых слов с добавлением числовых комбинаций и генерацией фраз из слов с заданными ограничениями. В эмпирически-вычислительной части измеряется (или моделируется) скорость хеширования для выбранных алгоритмов на GPU с учётом стоимости KDF, после чего измерения подставляются в теоретические модели для сопоставления оценок времени перебора и словарной атаки.

Дальнейшая логика работы связывает угрозы и выбор параметров защиты через единую «мостовую» схему: сначала фиксируются типовые сценарии компрометации парольных данных и объясняется, как схема хеширования (наличие соли и стоимость/итерации) меняет темп атак, а затем вводятся модели сложности, которые переводят размер поиска в ожидаемое число попыток и итоговую вычислительную нагрузку. Такой подход нужен, чтобы не сводить оценку к грубым оценкам перебора, а учитывать различия между равномерным поиском в пространстве вариантов и поиском, направленным на вероятные структуры паролей.

Затем проект переходит от общих рассуждений к формализации входных классов: определяются короткие и длинные строки, форматы с числами и суффиксами, а также парольные фразы, собираемые из слов с грамматическими ограничениями. Это дает возможность построить словари с контролируемым размером и предсказуемыми правилами генерации – от вариаций «слово + числа» до комбинированных фраз, где структура ограничивает хаотичность. С опорой на эти конструкции сопоставляются модели стойкости к перебору и к атаке по словарю, включая проверку того, насколько словарные стратегии сокращают пространство поиска относительно полного перебора при тех же параметрах хеширования.

Ключевой связующий этап опирается на скорость хеширования: измерения и вычислительная часть уточняют реальную цену KDF для выбранных алгоритмов на GPU и затем переносят эту цену в оценки времени атак. Благодаря этому результаты перестают быть только теоретическими: появляется возможность проверить согласованность моделей с практическими допущениями о производительности и оценить, какие параметры хеширования сильнее всего снижают эффективность перебора и словарных стратегий. На основе итогов формируются прикладные рекомендации по усилению парольной политики и настройке KDF, а также задаются направления продолжения – в частности, сбор статистики по поддержке длинных парольных фраз (в том числе свыше 64 символов) и разработка инструмента для GPU-ориентированного тестирования Argon2 и scrypt.