Je možné při útoku offline hrubou silou vynutit všech 8 znaků znaků?

Podle tohoto odkazu s rychlostí 1 000 000 000 hesel / s, prolomení 8místného hesla složeného z 96 znaků trvá 83,5 dne. Výzkum prezentovaný na hesle ^ ^ 12 v Norsku ukazuje, že 8místná hesla NTLM již nejsou bezpečná. Na stroji je lze za 6 hodin prolomit ~ 8 000 $ v roce 2012.

Je důležité vzít v úvahu, který algoritmus se používá k vytvoření těchto hashů (za předpokladu, že hovoříte o hashovaných heslech). Pokud se použije nějaký výpočetně intenzivní algoritmus, pak rychlost prolomení hesla lze výrazně snížit. Ve výše uvedeném odkazu autor zdůrazňuje, že „nový klastr, i při čtyřnásobném zvýšení rychlosti, může provést pouze 71 000 odhadů proti Bcrypu ta 364 000 odhadů proti SHA512crypt. „

Komentáře

• Můj základní notebook i3 provádí při handshake WPA 1500 odhadů za sekundu. .
• U jedné iterace MD5 nyní tlačí malá pole GPU (< 20 karet) do oblasti 100 miliard za sekundu. Velká pole (zpravodajská agentura) budou o několik řádů rychlejší.
• Je třeba mít na paměti, že hesla NTLMv1 jsou obzvláště snadná, a proto by neměla být extrapolována. Kvůli tomu, jak NTLM hashuje hesla, trvá 16místné heslo, které se prolomí jen dvakrát déle než 8místné.
• Nezapomeňte na soli ‚ . Pokud šifrovací algoritmus používá soli libovolné délky, je ‚ skutečně nemožné vytvořit všechny možné hashe se všemi možnými solemi (‚ d potřebujete nový duhový stůl pro každou možnou sůl).
• Nikdo tu nemluví o duhových stolech. Tato odpověď hovoří o útoku na databázi odcizeného hesla, která pravděpodobně obsahuje sůl prostého textu pro každý uživatelský účet. Bez soli žádné účty s duplicitními hesly ‚ nevyžadují žádnou další práci, ale i při použití soli bude útok probíhat po jednom účtu, aniž by byly vyžadovány duhové tabulky. Duhové tabulky zastaraly, jakmile se zefektivnilo pokaždé paralelně zpracovávat všechny hashe, často pomocí GPU.

Viděl jsem, že se to do roku 2018 neaktualizuje.

Hashcat přeruší plné pokrytí 8 znaků (a-zA- Z0-9! – =) heslo za 26 dní na jednom 1080 Nvidia GPU.

Zde je obrázek těžební soupravy s GPU, které lze také stejně dobře nastavit pro hash cracking:

Komentáře

• odkaz
• Na výše uvedeném odkazu můžete vidět, že uhodnutí hesla znaků a-zA-Z 8 na jedné kartě 1080 v mém počítači trvá 1: 35H. souprava obsahuje libovolný počet karet.
• Přidání SHA256 8 CHARS a-zA-Z0-9. Ověřeno a nefunkční. odkaz
• SHA256 8 znaky všechny znaky bez optimalizace pravidla – 26denní samostatná karta + 19 karet základní deska od společnosti Asus, odkaz a odkaz
• Lidé, ‚ dávám tomu tečku. Dostal jsem povolení k úpravám, takže ano. Jediným problémem je, zda jednu plošinu lze nazvat anoth eh a to nemůže. Může být hardware stejný? Tak určitě. Ale nejsou rovnocenné.

Možná? ano, ale jaká doba zotavení hrubou silou je přijata, jak je to možné? Některá čísla pro 8 znaků PW, pokud jsou náhodně vybrána z 94 znakové sady:

• Windows PW (NTLM: 1), s použitím výše zmíněné 25 GPU pro obnovení zotavení: průměrně 2,2 hodiny
• WiFi (PBKDF2 / SHA1: 4096) využívající systém obnovy 8 GPU: v průměru 98 let
• 7ZIP (PBKDF2 / SHA256: 262144) využívající systém obnovy 8 GPU: 26 století

U některých případů je to tedy „možné“, u některých agentur může být ve všech výše uvedených případech ano.

Předpokládejme, že vaše sada „získaných“ hashů obsahovala 5 milionů hash hesel, dokonce i v případě 98letého případu WiFi bude 1. den nalezeno průměrně 145 klíčů. Pokud je vaše heslo mezi nimi, pak se setkáte s tím, že i v případě WiFi je to skutečně možné! …. pokud jsou moje výpočty správné

Vím o jedné skromné ukázce (únor 2012, odkaz ), který prohlásil, že na systému s 25 GPU je síla provést 400 miliard odhadů za sekundu. V takovém případě by 8místné heslo bylo vyfouknuto za méně než 6 hodin; dříve v závislosti na metodě hrubou silou. Ale to předpokládá, že útočník má přístup k souboru, ve kterém je uloženo šifrované heslo. Upřímně řečeno, je to snadné, pokud máte přístup k samotnému počítači. I když se na pevný disk nedostanete, útočník by jednoduše vyměnil klávesnici za počítač, který by odesílal „stisky kláves“ mnohem rychleji, než byste dokázali napsat. Kvůli rychlosti připojení USB to může trvat déle, ale lidské rychlost psaní není v této věci dobrým odkazem.

Jako poznámku …..

Pokud jde o znaky použité v hesle, není to tak jednoduché jak uvádí většina lidí. Nejdůležitější je to, co útočník očekává, že bude muset vyzkoušet, ne to, jaké znaky jste si vybrali. Jinými slovy, nejdůležitější je, jaké znaky používají KAŽDÝ v systému, nejen vy. Například náhodná sekvence „X“, „Y“ a „Z“ je stejně těžké uhodnout jako náhodná posloupnost všech písmen abecedy … pokud útočníci nevědí, že dáváte přednost X, Y a Z. pokud navzdory dostupnosti 100 číslic je útočníkovi známo, že každý používá pouze X, Y a Z, může útočník zúžit útok hrubou silou a negovat výhodu 100 číslicový bezpečnostní systém. Princip tohoto je totožný s principem slovnického útoku. To je důvod, proč sysadmins může přinutit každého používat různé typy znaků; aby se ujistil, že potenciální vetřelec musí vyzkoušet všechny obměny.

Tím nechci říci, že konkrétní znaky použité v hesle neovlivní rychlost, s jakou je heslo přerušeno. To znamená, že když někdo řekne „8místné heslo trvá 10 let,“ 10 let je MAXIMÁLNÍ čas potřebný. Přesnější prohlášení by bylo: „Testování všech kombinací 8místných hesel trvá 10 let.“ Faktem však je, že některá hesla by byla uhádnuta mnohem rychleji v závislosti na výběru postavy a způsobu útoku. Například pokud vaše heslo se 100místným alfanumerickým systémem (např. 0-9 …… AZ) a útok hrubou silou používá postupné odhady, bude heslo začínající na „0“ prolomeno alespoň 100x rychlejší než heslo, které začíná POSLEDNÍM znakem v této sekvenci (řekněme „Z“). Je však obtížné se s tím vypořádat, protože nikdy nevíte, jaké pořadí může útočník použít. Považuje například útočník za první číslici A nebo 0? A je Z nebo 9 poslední číslice? Nebo pokud útočník ví, že každý používá hesla začínající znaky na konci abecedy, může zkusit hrubou sílu v opačném pořadí a heslo začínající na „0“ bude bezpečnější.

Rychlost prolomení hesel je bohužel stejně velká jako počet číslic, jako je předvídatelnost lidského chování.

Komentáře

• “ osmimístné heslo by “ ve skutečnosti “ bylo vyfukováno za méně než “ 1 milisekundu.
• OP uvedl, že se jednalo o offline útok, takže útočník má ‚ soubor ‚ a váš vlastní komentář z klávesnice také ‚ zřejmě neplatí.
• Pohled na výpisech hesla lze předpokládat, že první znak je velké písmeno a poslední číslo (např. Heslo1). Stejně tak je první znak zřídka číslo, pokud zbytek hesla není všechna čísla. Analýza těchto vzorů se používá k optimalizaci algoritmů prolomení hesla. Takže ano, optimalizované algoritmy tl; dr: založené na analýze použití hesla mohou dramaticky zkrátit čas prolomení hesel pomocí čistě náhodných permutací.

Nezaměňujte techniky prolomení hesla s hrubou silou.

Brute force znamená v zásadě začít s 1 znakem zkoušet všechny možné abecedy a poté přejít na 2 znaky, 3, 4 atd …

Jakmile se použije algoritmus nebo heuristická logika, již se to nenazývá brutální silou.

Proč tedy lidé stále mluví o brutální síle ? Důvodem je, že pro použití techniky hrubou silou nepotřebujete žádné speciální myšlení a počet lidí schopných spustit techniku hrubou silou je pravděpodobně 10krát větší než počet těch, kteří si mohou stáhnout crackovací nástroj z internetu a opravdu to použijte k prolomení hesla.

Dalším důvodem je, že kdybych si vybral tvrdé 8místné heslo, jako je j$d1Ya+3, „chytré“ techniky moc nepomohou, takže někteří lidé chtějí pochopit, jak dlouho bude trvat hrubá síla, než bude fungovat.

Z blog bit9 :

Aby bylo možné heslo považovat za bezpečné, musí být skutečně náhodné a jedinečné.

Co to znamená být opravdu náhodný?

Mnoho lidí často volí pro své heslo základní slovo, například „heslo“, a transformuje je logicky na „složité“. Nahradí tedy písmena speciálními znaky nebo číslicemi a přidají velká písmena. Takže z hesla, které bylo „heslo“, se stane P @ 55w0rD. Ve skutečnosti, pokud by každé písmeno mohlo být velkým, malým nebo zvláštním znakem, existuje 6 561 (38) verzí „hesla“ – což je daleko od nerozbitného množství.

Tedy hacker použití techniky hrubé síly nezačíná jen „aaaaaaaa“ a přejde na seznam, „aaaaaaab“, „aaaaaaac“ atd. Použije inteligenci k prolomení. Tato inteligence nejčastěji zahrnuje použití běžných základních slov. Nejen, že se pokusí prolomit velmi jednoduché „heslo“, ale také všech 6 561 verzí, aby zahrnoval komplexní „P @ 55w0rD“.

Existuje přibližně 220 000 základních slovníkových slov, což znamená, že i když jste přidali až tři číslice navíc k vašemu transformovanému heslu založenému na základních slovech a vytvořenému jako „P @ 55w0rD123“, jeho rozbití by počítači trvalo přibližně 26 minut – bez ohledu na to, jak dlouhé je heslo. S úplnou náhodností hesla nemohou hackeři o vašem hesle vytvářet běžné základní slovní předpoklady a omezit prostor hrubou silou.

Ale to není vše. Zabezpečené heslo musí být také jedinečné.

Co to znamená být jedinečným?

Některé společnosti bohužel stále ukládají do svých databází namísto hašování skutečná textová hesla, takže pokud jde o hackera dostane do systému, má nyní více základních slov, která přidá do svého seznamu. Takže pokud používáte stejné heslo nebo dokonce základní slovo pro dva účty a jeden z nich je ohrožen, bez ohledu na to, jak dlouhý nebo náhodný je, je hash a heslo nyní známé. Hacker se poté může přihlásit k libovolnému účtu, pro který používáte stejné heslo. To také znamená, že pokud někdo jiný používá vaše heslo nebo jeho verzi, jak je uvedeno výše, jste kompromitováni.