Nieuws
image

Wachtwoord T&p/E$v-O6,1@} in 11 seconden gekraakt

dinsdag 26 oktober 2010, 14:39 door Redactie, 22 reacties

Complexe wachtwoorden van veertien karakters zijn dankzij SSD harde schijven supersnel te kraken. In maart van dit jaar kwam het Zwitsers beveiligingsbedrijf Objectif Sécurité en de uitvinder van de rainbow table met de gratis online XP hash cracker. Zoals de naam al doet vermoeden moet een aanvaller in dit geval over een hash van een wachtwoord beschikken. Is dit echter het geval, dan volstaan ook te korte complexe wachtwoorden niet meer.

Biometrie
De hash van het wachtwoord '72@Fee4S@mura!' werd in vijf seconden gekraakt, terwijl '(689!!!”QTHp' na acht seconden sneuvelde. Daniel Dieterle probeerde als laatste de hash van het wachtwoord 'T&p/E$v-O6,1@}', waarvoor de kraaksoftware in totaal elf seconden nodig had.

"Ik denk dat deze demonstratie bewijst dat het alleen vertrouwen op wachtwoorden geen goede beveiligingsmaatregel is. Veel bedrijven en overheidsinstanties migreren weg van alleen wachtwoorden naar tweevoudige authenticatie methoden. Biometrie en smartcards worden in beveiligde gebouwen steeds populairder", besluit Dieterle.

Reacties (22)
26-10-2010, 14:49 door Anoniem
LM -> 2x7; paupers
26-10-2010, 15:01 door Anoniem
Het betreft hier dan ook een zeer verouderde encryptie.

SHA-512 is wat dat betreft net iets sterker.
26-10-2010, 15:07 door Anoniem
Ik neem dit allemaal met een korreltje SALT.......

Mike
26-10-2010, 15:12 door Anoniem
henk, die is pas paupers
26-10-2010, 15:13 door Anoniem
Goh, en hoe lang duurde het om de pincode 7812 te kraken? 0,0001 seconde?

De aanvaller de mogelijkheid geven online zonder beperkingen te testen, of nog erger, offline, is natuurlijk buitengewoon stom. Als-ie het maar 3 of 6 of 10 keer mag proberen is zelfs een pincode van vier cijfers redelijk veilig.
26-10-2010, 15:46 door Preddie
leuk bericht maar ik mis de definitie van kraken ?

is dit een MD5 of SHA1 kraken met als resultaat het onversleutelde wachtwoord.

of hebben we het hier over een bruteforce aanval ? Dit laatste lijkt me onwaarschijnlijk als je gebruik maakt van rainbow tables. maar over welke encryptie hebben we het hier.
26-10-2010, 15:53 door Martijn Brinkers
Zoals Mike al op een cryptische wijze duidelijk wilde maken, dit werkt alleen als er geen gebruik wordt gemaakt van een SALT. Stel je maakt gebruik van een X-bits salt dan moeten er 2^X rainbow tables worden gemaakt. Maw, al gebruik je een kleine SALT dan zal hun rainbow table niet meer werken.
26-10-2010, 15:57 door Anoniem
Ik meen dat XP voor zijn wachtwoorden MD4 gebruikt. Maar het is inderdaad onduidelijk of ze de originele waarde gerecoverd hebben (lijkt me onlogisch want MD4 is een hash).
26-10-2010, 16:09 door N4ppy
"Feel free to enter any windows password hash and to have it cracked below. This should take only a few seconds in average. The demo cracks passwords made of 52 mixed case letters, 10 numbers and 33 special characters of length up to 14 (XP special tables on steroids)."

Van de site. Je moet dus wel een windows password hash hebben.

Wat ze dus eigenlijk zeggen is dat ze heel snel kunnen zoeken met behulp van een SSD. Wow.

Als ik bij google op 'T&p/E$v-O6,1@}' zoek dan doen ze er maar 0.23 seconden over!!!! ;)
26-10-2010, 16:19 door SirDice
Door Predjuh: of hebben we het hier over een bruteforce aanval ? Dit laatste lijkt me onwaarschijnlijk als je gebruik maakt van rainbow tables. maar over welke encryptie hebben we het hier.
Rainbow tables zijn ook een vorm van brute force. Je probeert immers alle mogelijke combinaties. Het verschil is alleen dat je bij rainbow tables de hashes al van te voren hebt berekend.
26-10-2010, 16:23 door Preddie
Door SirDice:
Door Predjuh: of hebben we het hier over een bruteforce aanval ? Dit laatste lijkt me onwaarschijnlijk als je gebruik maakt van rainbow tables. maar over welke encryptie hebben we het hier.
Rainbow tables zijn ook een vorm van brute force. Je probeert immers alle mogelijke combinaties. Het verschil is alleen dat je bij rainbow tables de hashes al van te voren hebt berekend.

Ja ik ken de rainbowtables. Alleen blijft bij mij de vraag spelen over welke encryptie hebben we het hier ? Dit lijkt me van belang om reeël te kunnen beoordelen hoe snel nu werkelijk snel is .....
26-10-2010, 16:28 door SirDice
Door Anoniem: LM -> 2x7;
Alles naar uppercase, aangevuld tot 14 karakters met nullen. Vervolgens gesplitst in 2 keer 7 karakter strings waar een DES encryptie over heen gaat met een, inmiddels bekende, secret. Het resultaat daarvan wordt weer aan elkaar geplakt en opgeslagen. Zelfs zonder rainbow tables is dat tegenwoordig wel in een uurtje ofzo te doen.


Ik meen dat XP voor zijn wachtwoorden MD4 gebruikt. Maar het is inderdaad onduidelijk of ze de originele waarde gerecoverd hebben (lijkt me onlogisch want MD4 is een hash).
Dat is irrelevant. Het gaat er om dat dat wachtwoord dezelfde MD4 hash oplevert. Het systeem vergelijkt alleen dat. Als twee verschillende wachtwoorden dezelfde hash opleveren maakt het, voor het systeem, niet uit welke je gebruikt. Beide zullen geaccepteerd worden.
26-10-2010, 16:37 door Anoniem
Hahaha...
Ik dacht.. revolutionair, maar het valt erg tegen.
Tsjaa.. Met een LM rainbowtable is het snel te doen!
26-10-2010, 18:53 door Anoniem
De anoniem van 26.10 om 15.13 is nog niet tegengesproken: beperkt aantal pogingen belemmert deze wijze van technisch wachtwoord kraken. Correct? Ik ben niet thuis in de materie, dus de vele termen zeggen me verder niks.
26-10-2010, 19:24 door sjonniev
Het is eerder hash opzoeken dan hash cracken...
Het echte werk was het maken van de hashverzameling.

En trouwens, is dat hash cracken niet zonde van de hash?
26-10-2010, 19:44 door Anoniem
Nee echt? Je kunt met heel snel geheugen, heel snel een string-comparison doen? Ga toch weg!

</sarcasm>
27-10-2010, 00:12 door Anoniem
waarom zou je willen kraken, als je blijkbaar al over de complete hash beschikt?
27-10-2010, 11:15 door Anoniem
Door Anoniem: De anoniem van 26.10 om 15.13 is nog niet tegengesproken: beperkt aantal pogingen belemmert deze wijze van technisch wachtwoord kraken. Correct? Ik ben niet thuis in de materie, dus de vele termen zeggen me verder niks.
Precies! Hoe kan een brute force attack slagen indien na bijvoorbeeld 3 foutieve login pogingen een account voor een bepaalde tijd gelocked is?
27-10-2010, 13:46 door Anoniem
Door Anoniem: waarom zou je willen kraken, als je blijkbaar al over de complete hash beschikt?
indeedle, pass the hash bro!
http://www.google.nl/search?q=pass+the+hash
27-10-2010, 14:16 door Prlzwitsnovski
Door Anoniem: waarom zou je willen kraken, als je blijkbaar al over de complete hash beschikt?
Om er achter te komen wat het wachtwoord wat bij die hash hoort is mischien :)
27-10-2010, 14:47 door Anoniem
Door Anoniem: De anoniem van 26.10 om 15.13 is nog niet tegengesproken: beperkt aantal pogingen belemmert deze wijze van technisch wachtwoord kraken. Correct? Ik ben niet thuis in de materie, dus de vele termen zeggen me verder niks.

Niet correct ;-)

Een kort voorbeeld. Je log-in wachtwoord op windows wordt door het OS bijgehouden in de vorm van de hash. Als je inlogt en je wachtwoord opgeeft, wordt deze gehasht en vergeleken met de opgeslagen hash.

Rainbow tables zijn dan eigenlijk simplistisch uitgelegd een verzameling van de combinatie "hash - wachtwoord" die op voorhand zijn berekend voor een beperkt aantal combinaties. Beperkt in die mate dat jer tabellen bestaan voor max 6 letters/cijfers, max 14 letters met rare tekentjes erbij en verzin maar verder...

Voor gebruik te maken van deze rainbow table dien je dus de opgeslagen hash te bemachtigen van op het OS, waarna je er de rainbow table op los kan laten. Indien de hash er in voor komt, geeft die een wachtwoord weer die hiermee overeenkomt.

In feit kan dit zelfs anders zijn dan het oorspronkelijke wachtwoord, maar dit heeft dan weer te maken met de doeltreffendheid van het gebruikte hashalgoritme wat weer een ander verhaal is ;-)
27-10-2010, 14:52 door SirDice
Door Anoniem: De anoniem van 26.10 om 15.13 is nog niet tegengesproken: beperkt aantal pogingen belemmert deze wijze van technisch wachtwoord kraken. Correct? Ik ben niet thuis in de materie, dus de vele termen zeggen me verder niks.
Nee, dit kraken gebeurd "off-line". M.a.w. er zit geen mechanisme tussen die het aantal (mislukte) pogingen bij houdt.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search