DEFCON 17. 400.000 Passwörter hacken oder einem Mitbewohner erklären, warum die Stromrechnung gestiegen ist. Teil 1

Ursprünglicher Autor: Matt Weir
  • Übersetzung
Grüße an alle und vielen Dank, dass Sie meine Präsentation in diesem Jahr zur letzten DEFCON-Konferenz gemacht haben. Ich weiß das wirklich zu schätzen und werde versuchen, Sie nicht zu enttäuschen. Mein Name ist Matt Weir und ich studiere an der University of Florida. Bevor wir direkt über das Knacken von Passwörtern sprechen, möchte ich sagen, dass ich mit einem sehr guten Team arbeite und seine Mitglieder gerade anrufe. Dies ist mein Vorgesetzter, Professor Dr. Sidir Eggrvol, der meine Hand auf meine Präsentation legte, und Professor Brenot de Medeiros. Ich möchte auch dem Nationalen Institut für Justiz und dem Nationalen Zentrum für Kriminalforschung "White Collars" für die Finanzierung meiner Forschung danken.



Ich weiß das wirklich zu schätzen, weil diese Hilfe meine Forschung ein wenig legitimiert hat. Denn als ich zum Wissenschaftsrat ging, um das Thema meiner Forschung zu genehmigen, begann ich das Gespräch mit der Tatsache, dass es das Knacken von Passwörtern widmete. Diese Worte lösten eine empörte Reaktion aus, daher musste ich erklären, dass es zum Beispiel notwendig ist, die Schänder von Minderjährigen und andere solcher Verbrecher zu fassen und vor Gericht zu stellen.

Daher besteht der Hauptzweck meiner Forschung darin, die Rechtsprechung zu unterstützen.

Die Strafverfolgungsbehörden sind stark genug in der Verschlüsselung, also würde ich ihnen nicht dabei helfen, ich hätte einfach nicht genug Verstand dafür. Ich entschied mich, die Probleme zu untersuchen, die mit Angriffen auf Benutzer verbunden sind, da dies viel einfacher ist als das Hacken komplexer Chiffren. Ich wollte ein weiterentwickeltes Modell entwickeln, wie Menschen ihre Passwörter in der Praxis erstellen und dann in einer angriffssicheren Passwortstrategie verwenden.

Das erste, was wir brauchen, ist eine Vorstellung davon, wie Menschen ihre Passwörter erstellen. Wir haben ein wenig Zeit verbracht, online zu gehen und offene Passwortlisten zu finden. Sie tauchen dort aus verschiedenen Gründen auf, zum Beispiel, einige Hacker hacken die Website und stellen eine Liste von Benutzerpasswörtern auf, um sie allen zu sagen: "Sehen Sie, wie cool ich bin"! Wir haben diese Passwörter gesammelt und analysiert.

Es gibt viele Hacker-Foren, elektronische Anzeigetafeln und ähnliches, in denen wir auch Passwörter gesammelt haben. Jetzt sehen Sie selten einfache Textkennwörter, aber das ist eine großartige Sache, denn wir müssen sie nur finden und lesen. Die meisten Passwörter werden jedoch gehasht. Um zu verstehen, wie sie von Benutzern erstellt werden, müssen wir sie zuerst knacken.

Dies ist in der Tat gut für uns, da es uns zwingt, uns auf praktische Ziele zu konzentrieren. Ich meine, wir können uns nicht einfach zurücklehnen und beim Wein trinken Forschungsarbeiten schreiben. Wir müssen tatsächlich versuchen, das anzuwenden, was wir in unseren Passwortlisten erhalten haben, und zu überprüfen, wie es funktioniert. Ich war wirklich daran interessiert, wie Sie einen wirksamen Schutz gegen Hackerangriffe schaffen und Passwörter verbessern können, indem Sie effektivere Strategien zur Passworterstellung verwenden, die auf den Erkenntnissen basieren, die durch das Hacken gewonnen wurden.

Ich denke, es ist viel einfacher, etwas zu hacken, anstatt es zu reparieren. In dieser Präsentation werde ich versuchen, eine detaillierte Beschreibung der verwendeten Werkzeuge und Kleinigkeiten zu vermeiden. Ich werde nicht die nächsten 50 Minuten damit verbringen, jede Befehlszeile des J-Programms zu analysieren.ohn the Ripper , der dazu dient, Passwörter anhand ihrer Hashwerte wiederherzustellen, oder Seite für Seite analysieren, wie oft Personen Namen von Sportmannschaften als Passwörter verwenden. Ich möchte deine Zeit nicht verschwenden.

Wenn Sie an den Details interessiert sind, können Sie meinen Passwort-brechenden Blog www.reusablesec.blogspot.com oder die Website mit meinen Tools und Dokumentation besuchen , die im Internet unter www.reusablesec.sites.google.com kostenlos verfügbar ist . Bitte hinterlassen Sie Ihre Kommentare und fühlen Sie sich frei zu sagen, wenn Sie denken, dass wir etwas Dummes tun. Ich schätze solche Kommentare sehr, weil sie die Wirksamkeit unserer Arbeit am besten beurteilen können.

Sie müssen auch nicht fieberhaft etwas aufnehmen oder haben Angst, einige der auf dem Bildschirm blinkenden Folien zu überspringen, da diese Präsentation auf der Konferenz-CD verfügbar ist. Außerdem können Sie diese Folien aus dem Internet herunterladen. Ich habe auch ein paar zusätzliche Tools auf die Disc aufgenommen. Ich werde kurz über die verwendeten Tools sprechen: Dies ist unser Wörterbuch, das auf der Grundlage der Online-Version von RainbowCrack Tables erstellt wurde , mehrerer Skripts zur Kennwortknackung, Analyseskripts, die wir zur Analyse von Kennwortlisten verwendet haben, und mehreren von uns zusammengestellten Kennwortlisten.

Es ist bemerkenswert, dass wir wahrscheinlich die größte Sammlung einzeiliger ASCII-Codierungen von Passwörtern im Internet haben. Man kann also sagen, dass meine Eltern stolz auf mich sein können. Ich stelle fest, dass die Benutzer sogar auf diese Weise Passwörter erstellen, sodass Sie sie verwenden und hacken können.



Sie können sagen: „Oh mein Gott, die Passwörter sind scheiße! Benutzer sind Idioten, weil sie dumme Passwörter erstellen, und im Allgemeinen sind wir alle zum Scheitern verurteilt! “ Ja, ich könnte Zeit damit verbringen, mich über Benutzer lustig zu machen, weil es Spaß macht, aber überhaupt nicht produktiv ist. Ich meine, wir wissen seit vielen Jahren, dass das Feuer heiß ist, das Wasser nass ist und der Benutzer einfach ein 1-2-3-Passwort wählt. Das ist nicht neu. Aber als Sicherheitsgemeinschaft müssen wir herausfinden, was wir dagegen tun sollen.

Um nicht zu sagen, dass ich ein Optimist bin, aber ich bin nicht zu pessimistisch hinsichtlich der Zukunft von Passwörtern. Ich meine, wir hängen an diesen Sternen fest, die ausgefüllt werden müssen, und wir werden sie immer verwenden, weil sie wirklich gut sind.

Es gibt viele verschiedene Faktoren, die es Ihnen ermöglichen, jegliches "Wasser" loszuwerden und nur Sicherheit zu hinterlassen. Das Knacken von Passwörtern wird schwierig, da die Benutzer anfangen, eine starke Verschlüsselung, stärkere Passworthashes und Kennwörter zu verwenden, und Passwörter besser auf Passwörter reagieren. Ich denke, deshalb besteht ein großes Interesse daran, Passwörter zu knacken. Ich hoffe, dass Windows 7 endlich einen Espen-Einsatz im Herzen von XP hält , und es gibt immer weniger Fälle, in denen der WEP- Sicherheitsalgorithmus verwendet wird.für Wi-Fi-Netzwerke, obwohl es noch recht weit verbreitet ist. Ich meine, wir sollten an dem Problem arbeiten, Passwörter vor Hacking zu schützen, anstatt das vorhandene System zu zerstören.

Dieser Ansatz wird die Situation tatsächlich verbessern. Daher möchte ich mich darauf konzentrieren, was eine Passwort-Hacking-Sitzung darstellt, welche Techniken verwendet werden und welche Schritte erforderlich sind, um Passwortlisten zu knacken.

Ich möchte mich auf zwei verschiedene Fallstudien konzentrieren. Zunächst haben wir eine Kennwortdatenbank für das Hacken mit CISSP- Daten erstellt - eine unabhängige Informationssicherheitszertifizierung. Wir sammelten eine Menge Passwörter überall, aber diese beiden Quellen, phpBB.com und webhostingtalk.comwaren die besten, denn es gab sehr viele Passwörter im öffentlichen Bereich.

Daher sprechen wir zuerst über das Hacken von Passwörtern aus der phpbb.com- Liste und dann über die Ergebnisse von Hackerangriffen auf webhostingtalk.com . Ich werde keinen Einführungskurs in CISSP arrangieren , weil Sie die Sprache und Terminologie kennen. Danach mache ich eine kurze Pause, und Sie können mithilfe des TrueCrypt- Programms Fragen zur Forschung stellen sowie über einige Passwörter und nicht standardmäßige Passwörter sprechen. Sprechen wir also über die Grundlagen des Crackings von Passwörtern.



Es gibt zwei verschiedene Arten von Passwörtern und dementsprechend zwei Möglichkeiten, sie zu knacken, und sie unterscheiden sich sehr voneinander. Das erste ist Online-Passwörter. Sie wissen aus den Filmen, dass Sie möglicherweise überhaupt keinen Zugriff auf die Website haben, wenn Sie das Kennwort nicht kennen. Daher versuchen Sie, dorthin zu gelangen, indem Sie verschiedene Benutzernamen und Passwörter verwenden. Die Hauptsache ist, dass Website-Ersteller versuchen, sich mithilfe von zusätzlichen Funktionen vor Hackern zu schützen, beispielsweise um die Anzahl der Versuche, Berechtigungsdaten einzugeben, zu begrenzen.

Der zweite Weg besteht darin, Offline-Kennwörter zu hacken, wenn Sie einen Kennwort-Hash herunterladen und ihn auf Ihrem Computer hacken. Dies sind große Probleme in der Computerforensik. Daher müssen Sie versuchen, Kennwörter zu knacken, bevor die Polizei mit einem Haftbefehl einbricht und die Tür mit den Füßen aufstößt. Gleichzeitig werden sie die Festplatte entfernen, auf der Ihr Programm installiert wird, um TrueCrypt zusammen mit den geknackten Kennwörtern zu hacken . Außerdem erfordert das Cracken von Kennwörtern offline einen sehr leistungsfähigen Computer und viel Zeit.

Nachdem der Angreifer die Website gehackt und alle Passwörter und Benutzernamen heruntergeladen hat, ist er nur durch die Zeit begrenzt, nach der er gefangen werden kann.

Die Frage ist, warum ein Hacker Passwörter knacken sollte, wenn er einfach über einen Router vollen Zugriff auf die Site erhalten kann. Die Antwort ist, dass die Leute überall dasselbe Passwort verwenden, so dass Sie einfacher auf E-Mails, Bankkonten und PayPal-Konten zugreifen können .

Das haben wir nicht getan. Nachdem wir Passwörter geknackt hatten, haben wir sie niemals zur Verifizierung, zum Zugriff auf eine Website oder in das Konto einer Person verwendet. Ich sage das nicht, weil ich glaube, dass hier viele Bundesbeamte im Publikum sind, sondern weil dies wirklich nicht gut ist.

Es gibt also drei verschiedene Schritte, wenn ein Passwort geknackt wird. Ich möchte sie unterscheiden, weil ich später darauf zurückkommen werde. Ich hatte in jeder dieser drei Stufen Probleme.

Die erste Stufe betrifft das autonome Passwort-Cracking. Computerforensik geht davon aus, dass Sie bereits einen Passwort-Hash haben, in unserem Fall wurde die gesamte Festplatte des Computers mit diesen Daten gefüllt. Der erste Schritt, den Sie machen müssen, ist zu versuchen, zu erraten, was der Benutzer für das Passwort erwartet hat. Zu diesem Zweck verwenden Sie den ersten Versuch, das Kennwort123 . Dann hasst du es und bekommst einen Satz Buchstaben und Zahlen 52F8A73082B1290 . In den meisten Fällen wird ein einfacher und schneller MD5- Hash- Algorithmus verwendet . Danach vergleichen Sie diesen Satz mit Ihrem echten Benutzerkennwort-Hash, z. B. 82503CA693453D1 . Wenn es passt, haben Sie das Passwort gehackt. Aber seit 52F8A73082B1290 ≠ 82503CA693453D1, versuchen Sie es erneut und verwenden Sie den Affenschatz . Du wiederholst es immer wieder, bis es dir langweilig wird und du dieses Ding nicht aufgibst.



Links: Wie Verschlüsselungsexperten sich vorstellen.

"Sein Laptop ist verschlüsselt." Lassen Sie uns einen Millionen-Dollar-Entschlüsseler erstellen und hacken! “
"Es wird nicht gehen, es ist eine 4096-Bit-Chiffre!"
- „Verdammt! Unser krimineller Plan ist gescheitert!

Richtig: wie es normalerweise passiert.

"Sein Laptop ist verschlüsselt." Wir geben ihm etwas zu trinken und schlagen ihn mit diesem 5-Dollar-Schraubenschlüssel, bis er uns das Passwort sagt!
"

Sprechen wir über die "Highlights" in Passwörtern. Diese Informationen werden zum Passwort hinzugefügt, um das Hacken zu erschweren. Es kommt vor, dass zwei verschiedene Personen sich dafür entschieden haben, dasselbe Passwort zu verwenden. In diesem Fall können Sie beispielsweise dem Benutzernamen "defcon" verschiedene Benutzernamen hinzufügen. In diesem Fall unterscheiden sich die Hashes sehr voneinander.



Dies ist besonders wichtig für Passwörter, die im Netzwerk gespeichert sind. Oft als "Highlight" zum Passwort "Microsoft"Leute fügen ihren eigenen Benutzernamen hinzu, aber in Wirklichkeit ist das eine schlechte Idee. Denn die "Rosinen" schützen auch vor Angriffen mit der Hash-Suche. Normalerweise kopiert ein Hacker einfach alle Kennwort-Hashes auf einmal. Wenn er ein Kennwort knacken muss, scannt er einfach den gestohlenen Hash, und dies geschieht sehr schnell. Wenn Sie jedoch die "Highlights" verwenden, kann der Hacker dies nicht, bevor er den Hashwert jedes einzelnen Benutzers auf das Vorhandensein von "Highlights" hinkt.

Unter der Annahme, dass die Leute für jedes Microsoft- Kennwort eine „Begeisterung“ haben , möchte ein Hacker möglicherweise keine ganze Tabelle mit Benutzernamen erstellen. Er weiß jedoch, dass es unter ihnen einen sehr beliebten Namen "Administrator" geben kann.Die Menschen sind es gewohnt, ihm zu vertrauen. In diesem Fall kann ein Hacker Erfolg haben.

Beim Erstellen von "Highlights" müssen Sie daher folgende wichtige Punkte beachten:

  • Das ist kein Geheimnis. Nun, wenn Sie das Prinzip der "Hervorhebung" von Kennwörtern geheim halten, müssen Sie jedoch vor allem die Sicherheit des Kennworts selbst sicherstellen.
  • Benutzer müssen das nicht wissen. Ich meine nicht, dass der Benutzer nicht wissen sollte, dass Kennwörter auf dem Server gespeichert sind. Ich meine, dass das "Highlight" für jeden Benutzer eindeutig sein muss.
  • "Hervorheben" schützt, wenn ein Angreifer nur einen Benutzer und nicht eine ganze Reihe von Passwörtern angreift. In diesem Fall werden Hash-Suchangriffe verhindert.

Diese Methode schützt den Benutzer jedoch nicht vor Angriffen anderer Art, und Sie müssen immer noch darüber nachdenken, wie Sie einen Passwort-Hash-Hack für einen Verbrecher relativ teuer machen können.

Und jetzt gehen wir direkt zum Thema Passwort-Cracking.



Normalerweise fragen mich die Leute, welche Art von Hardware ich beim Knacken von Passwörtern verwende. Ich habe einen Desktop-Computer mit einem 2,4-GHz-Dual-Core-Prozessor, 3 GB RAM und einer NVidia GeForce 8800GTS - Grafikkarte , die bereits 2 Jahre alt ist. Dies ist keine spezielle Kennwortknackmaschine. Ich benutze dieses MacBook auch ein bisschen . Also habe ich nur 2 Computer.

Nach ein paar Wochen Forschung stieg die Stromrechnung leider um 75%.

Es ist schwierig, Ihrem Mitbewohner zu erklären, wenn die Kühler Ihrer Computer während der letzten 2 Wochen ohne Unterbrechung brüllen. Nachdem ich die Arbeit beendet hatte, war der Stromverbrauch jedoch wieder normal.

Jetzt verbringe ich fast alle Operationen, die das Passwort knacken, auf einem Computer im Institutslabor. Ich habe die Generation des RainbowCrack Table- Wörterbuchs verwendet . Wenn Sie hören, dass die Leute über Sie sagen, wenn Sie ganze Racks mit so etwas wie Play Station 3 und ein ganzes Botnetz haben, um Passwörter zu knacken, dann möchten Sie sagen: „Weißt du, Alter, ich habe nur ein Labor von Dell. Bei der Betrachtung von Bedrohungsmodellen sollte daher bedacht werden, dass ein Angreifer definitiv mehr Ressourcen dazu verwenden kann. Zum Beispiel beim Hacken einer Website wiephpBB.com . Dies ist die Phpbb- Software- Site . Es wurde am 14. Januar 2009 gehackt, und diese Liste wurde Anfang Februar im Internet veröffentlicht. Der Angreifer hat zahlreiche Informationen zu Kennwort-Hashes, Benutzernamen der Website, E-Mail-Konten und einer sehr detaillierten Beschreibung des Angriffs veröffentlicht.



Es war eine ziemlich gute "Lese-Angelegenheit", und die Liste selbst enthielt etwa 259.000 MD5-Hashes von Passwörtern ohne "Highlights" und 83.000 Hash-Passwörter mit "Highlights", die mit dem Hash- Algorithmus phpbb3 erstellt wurden . Dies ist jedoch ein neuer und eher seltener Algorithmus. Daher haben wir in unserer Forschung nur Passwörter mit traditionellen MD5- Hashes geknackt. Passwörter haben wir mit "highlight" von der Betrachtung ausgeschlossen, da deren Hacken eine zu zeitaufwendige Aufgabe ist und wir nicht wirklich herausgefunden haben. Daher haben wir uns auf die MD5- Passwortliste konzentriert . Passwörter mit "Highlights" sind also viel besser geschützt, und jeder Hacker würde es vorziehen, mit etwas einfacher umzugehen.

Ich möchte jedoch noch einmal betonen, dass Sie, wenn Sie angegriffen werden und Ihre Kennwortliste aufgedeckt wird, trotzdem „heilen“ und den Angriff als ernstes Ereignis betrachten müssen, da der Angreifer das Ergebnis seines Diebstahls später verwenden könnte.

Als Nächstes haben wir uns die Liste der Passwörter für eine gehackte Webhostingtalk- Site angesehen.. Ein oder zwei Wochen lang benutzte der Hacker Online-Passwort-Cracking und versuchte, etwa 117 Tausend Konten zu hacken. Als Ergebnis gelang es ihm, 28.635 Passwörter zu erhalten, was 24% der Gesamtzahl ausmachte. Nach der Analyse des Ergebnisses kann man also sagen, dass es dem Hacker gelingt, selbst bei einem starken Online-Angriff nicht mehr als ein Viertel aller verfügbaren Passwörter zu knacken.

Als nächstes werde ich die Wirksamkeit des Online-Passwort-Hackings vergleichen. Die Ergebnisse stammen von der Website http://www.hashkiller.com/ , die meisten beziehen sich auf Deutschland. Aber Babelfischviel besser - sie haben nicht nur ihre eigenen Online-Foren zum Passwort-Cracker, sondern sie verfolgen auch die Leistung der meisten anderen Cracker-Communities. Laut Statistiken beträgt der Erfolg des Online-Hackings 20 bis 40% aller Kennwörter, die Hacker haben. Es gibt MD5- Hacker-Tools , die Hashes für Online-Passwörter von vielen Websites sammeln. Sie können von diesem Link heruntergeladen werden: http://sourceforge.net/projects/md5-utils/ . Derzeit gibt es 33 Standorte, an denen diese Dienstprogramme verwendet werden können.

Ich möchte Sie darauf hinweisen, dass es hier ernsthafte Datenschutzprobleme gibt. Wenn Sie der Meinung sind, dass diejenigen, denen Sie Kennwort-Hashes senden, sie einfach für die Sammlung aufbewahren, dann sind Sie eine sehr vertrauensvolle Person.

Heute gibt es mehrere beliebte Tools zum Hacken von Passwörtern.



Das populärste ist John the Ripper , freie Software, und ich empfehle es zuerst. Der Hauptgrund für seine Beliebtheit, in der sie sogar bezahlten Programmen voraus ist, ist die Verfügbarkeit von Open Source-Code. Wenn Sie Passwörter knacken wollen, wird dieses Programm mit allem fertig, was Sie wollen. Meine Lieblingsoption in JtR ist STDIN . Wenn Sie sich an die Einführungsfolien erinnern, muss ich in diesem Fall keine Stufe 1 und 2 durchführen. Ich kann mein eigenes „Ratgeberprogramm“ schreiben und die Ergebnisse dann an JtR übertragen. Und er wird die Hashes entschlüsseln und versuchen, Passwörter zu knacken. Wenn Sie also über die Methode zum Generieren von „Rätseln“ nachdenken, also Varianten von Benutzerpasswörtern, können Sie den Code kompilieren und dieses Programm verwenden, es ist äußerst leistungsfähig.

Am Anfang habe ich mich wie ein Idiot verhalten, obwohl es schwer ist daran zu glauben. Ich habe die alte Version dieses Programms verwendet, ohne nach Updates zu suchen, und wusste nicht, dass sie Schwierigkeiten hatte, mit einer großen Liste von Passwörtern umzugehen. Es dauerte ewig. Im Januar haben die Entwickler einen Patch veröffentlicht, aber ich habe zu spät davon erfahren.

Deshalb habe ich versucht, von JtR auf das Programm Cain & Able (Cain und Abel) umzusteigen , für das ich mich immer noch ein bisschen schäme. Weil JtRständig aktualisiert, und Sie können die Newsletter-Updates abonnieren, und wenn es nicht meine Dummheit wäre, wäre alles perfekt.

So viel Zeit habe ich trotz der Probleme mit JtR mit dem Hacken von Passwörtern verbracht :

  • 4 Stunden - 38% der Passwörter geknackt;
  • 1 Woche - 62% der Passwörter geknackt;
  • 1 Monat und 1 Woche - 89%;
  • Insgesamt wurden 98% der Passwörter geknackt, 95% davon mit einem eindeutigen MD5- Hash .

Die Zahlen sind unterschiedlich, da viele Personen dieselben Kennwörter verwenden. In der Tat ist das sehr schlecht. Aber ich bin nicht der einzige, der damit Erfolg hat. Ich habe DefCon- Kontakte verwendet , um mit verschiedenen Leuten über dieses Thema zu sprechen. Zum Beispiel hat Brandon Enright 95% der Passwörter mit einem MD5- Hash gehackt , und er hat 2525 Passwörter geknackt, mit denen ich versagt habe, und ich habe 2677 Passwörter geknackt, die er nicht knacken konnte. Aus Gründen der Vertraulichkeit haben wir mit ihm keine Liste von Passwörtern in Form von einfachem Text, sondern eine digitale Form von Daten ausgetauscht.

Ich habe einen Brief von einer anderen Person erhalten, der berichtet, dass sein Ergebnis 97% erreicht hat, und ich glaube ihm. Weil wir immer noch lernen, wie man Passwörter knackt, und ich bin nicht der coolste Hacker, sondern nur ein Student, der dieses Geschäft lernt. Wahrscheinlich gibt es bessere Möglichkeiten zu hacken.

Es ist uns gelungen, genügend Passwörter zu knacken, nicht weil ich viel Geld hatte oder ein Elite-Hacker war, sondern weil sie wirklich schwach waren und die durchschnittliche Länge dieser Passwörter nur 7,2 Zeichen betrug. Nur 6% dieser Passwörter enthielten Großbuchstaben und nur 1% Sonderzeichen, und 51% enthielten nur Kleinbuchstaben. Dies ist ohne Berücksichtigung von 5% der Passwörter, die wir nicht knacken konnten.

Ich möchte anmerken, dass wir nur begrenzte Ressourcen hatten. Wir konnten nicht überall einen Brute-Force- Angriff einsetzenweil sie zeitlich begrenzt waren. Deshalb mussten wir zwischen verschiedenen Angriffsstrategien wählen, weil wir sie nicht alle ausprobieren konnten. Wir mussten uns im Vorfeld eine Vorstellung davon machen, wie der Benutzer sein Passwort erstellt hat, und abhängig davon die Angriffsmethode wählen. Deshalb haben wir versucht, nicht alle Passwörter zu knacken, sondern nur die typischsten.

Ich möchte sagen, dass eine Person einfach ein wirklich starkes Passwort erstellen muss, Sie müssen nur etwas Einzigartigkeit geben. Tun Sie, was andere tun, und dann wird es für einen Hacker schwierig sein, Ihr Passwort zu knacken. Normalerweise müssen Sie nur ein Kennwort erstellen, das so lange ist, dass es schwierig ist, es mit Brute-Force zu knacken. Es ist jedoch schwierig, alle dazu zu bringen, einzigartig zu sein. Diese Eigenschaft ist standardmäßig nicht in einer Person "eingebettet". Dank diesem können Sie Passwörter knacken.

Ich möchte Sie über diese Art von Angriff auf Benutzerpasswörter wie einen Wörterbuchangriff oder einen Wörterbuchangriff informieren. Wenn ich von "Wörterbuchangriff" spreche, meine ich nicht nur Wörter in ein Wörterbuch eingeben, sondern auch Wortbildungsregeln verwenden, z. B. zwei Zahlen am Ende von Wörtern hinzufügen oder ein Wort mit einem Großbuchstaben schreiben.

Es gibt zwei Hauptgründe, warum Dictionary Attack fehlschlagen kann. Die erste ist „Analphabetismus“, wenn Sie das Wort einfach nicht so schreiben, wie es im Wörterbuch erscheint. Zum Beispiel schreiben Sie zibra123 , während ein Wort wie zibra stehtim Wörterbuch-Nr. Das zweite ist, wenn Sie beim Erstellen komplexer Wörter keine Wortbildungsregeln verwenden, dh Sie fügen nicht einfach die Zahlen 123 am Ende des Kennworts hinzu. Wenn Sie also ein wirklich sicheres Kennwort erstellen möchten, sollten Sie die Wörter im Wörterbuch nicht verwenden.

Wenn Sie viele Wortformen verwenden möchten, sollten Sie die Größe des Eingabewörterbuchs verringern und umgekehrt. Je weniger Wortbildungsregeln Sie verwenden, desto größer kann das Wörterbuch sein.



Menschen neigen dazu, eine redundante Sammlung von Eingabewörterbüchern zu erstellen. Dadurch werden sie anfällig für Brute-Force- Angriffe.. Ich nenne es das "Crazy Cat-Girl" -Syndrom, das 50-60 Katzen im Haus verursacht, und sie verschmutzen alles in der Umgebung. Überlegen Sie sich bei der Erstellung von Passwörtern, ob Sie Wörterbücher verwenden, und denken Sie darüber nach, wie umfangreich sie sein sollten, und blasen Sie das Vokabular nicht übermäßig auf. Überlegen Sie, was für die Sicherheit am besten geeignet ist - 1 Wörterbuch oder 40.

25:15 Min.

Fortsetzung:

DEFCON-Konferenz 17. Hacken von 400.000 Passwörtern oder Erklären eines Mitbewohners, warum die Stromrechnung gestiegen ist. Teil 2


Danke, dass Sie bei uns bleiben. Magst du unsere Artikel? Möchten Sie weitere interessante Materialien sehen? Unterstützen Sie uns, indem Sie eine Bestellung aufgeben oder Freunden empfehlen, 30% Rabatt für Habr-Benutzer auf ein einzigartiges Analogon der Einstiegsserver, die wir für Sie erfunden haben: Die ganze Wahrheit über VPS (KVM) E5-2650 v4 (6 Kerne) 10 GB DDR4 240 GB SSD 1 Gbps $ 20 oder wie kann ich den Server freigeben? (Optionen sind für RAID1 und RAID10 verfügbar, bis zu 24 Kerne und bis zu 40 GB DDR4).

VPS (KVM) E5-2650 v4 (6 Kerne) 10 GB DDR4 240 GB SSD 1 Gbit / s bis Dezember kostenlos, wenn Sie für einen Zeitraum von sechs Monaten bezahlen, können Sie hier bestellen .

Dell R730xd 2 mal billiger? Nur wir haben 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TV ab 249 $in den Niederlanden und in den USA! Lesen Sie mehr darüber, wie Sie ein Infrastrukturgebäude bauen. Klasse C mit Servern Dell R730xd E5-2650 v4 im Wert von 9000 Euro für einen Cent?

Jetzt auch beliebt: