Wachtwoord T&p/E$v-O6,1@} in 11 seconden gekraakt
Complexe wachtwoorden van veertien karakters zijn dankzij SSD harde schijven supersnel te kraken. In maart van dit jaar kwam het Zwitsers beveiligingsbedrijf Objectif Sécurité en de uitvinder van de rainbow table met de gratis online XP hash cracker. Zoals de naam al doet vermoeden moet een aanvaller in dit geval over een hash van een wachtwoord beschikken. Is dit echter het geval, dan volstaan ook te korte complexe wachtwoorden niet meer.
Biometrie
De hash van het wachtwoord '72@Fee4S@mura!' werd in vijf seconden gekraakt, terwijl '(689!!!”QTHp' na acht seconden sneuvelde. Daniel Dieterle probeerde als laatste de hash van het wachtwoord 'T&p/E$v-O6,1@}', waarvoor de kraaksoftware in totaal elf seconden nodig had.
"Ik denk dat deze demonstratie bewijst dat het alleen vertrouwen op wachtwoorden geen goede beveiligingsmaatregel is. Veel bedrijven en overheidsinstanties migreren weg van alleen wachtwoorden naar tweevoudige authenticatie methoden. Biometrie en smartcards worden in beveiligde gebouwen steeds populairder", besluit Dieterle.
SHA-512 is wat dat betreft net iets sterker.
De aanvaller de mogelijkheid geven online zonder beperkingen te testen, of nog erger, offline, is natuurlijk buitengewoon stom. Als-ie het maar 3 of 6 of 10 keer mag proberen is zelfs een pincode van vier cijfers redelijk veilig.
is dit een MD5 of SHA1 kraken met als resultaat het onversleutelde wachtwoord.
of hebben we het hier over een bruteforce aanval ? Dit laatste lijkt me onwaarschijnlijk als je gebruik maakt van rainbow tables. maar over welke encryptie hebben we het hier.
Van de site. Je moet dus wel een windows password hash hebben.
Wat ze dus eigenlijk zeggen is dat ze heel snel kunnen zoeken met behulp van een SSD. Wow.
Als ik bij google op 'T&p/E$v-O6,1@}' zoek dan doen ze er maar 0.23 seconden over!!!! ;)
Ja ik ken de rainbowtables. Alleen blijft bij mij de vraag spelen over welke encryptie hebben we het hier ? Dit lijkt me van belang om reeël te kunnen beoordelen hoe snel nu werkelijk snel is .....
Ik dacht.. revolutionair, maar het valt erg tegen.
Tsjaa.. Met een LM rainbowtable is het snel te doen!
Het echte werk was het maken van de hashverzameling.
En trouwens, is dat hash cracken niet zonde van de hash?
</sarcasm>
http://www.google.nl/search?q=pass+the+hash
Niet correct ;-)
Een kort voorbeeld. Je log-in wachtwoord op windows wordt door het OS bijgehouden in de vorm van de hash. Als je inlogt en je wachtwoord opgeeft, wordt deze gehasht en vergeleken met de opgeslagen hash.
Rainbow tables zijn dan eigenlijk simplistisch uitgelegd een verzameling van de combinatie "hash - wachtwoord" die op voorhand zijn berekend voor een beperkt aantal combinaties. Beperkt in die mate dat jer tabellen bestaan voor max 6 letters/cijfers, max 14 letters met rare tekentjes erbij en verzin maar verder...
Voor gebruik te maken van deze rainbow table dien je dus de opgeslagen hash te bemachtigen van op het OS, waarna je er de rainbow table op los kan laten. Indien de hash er in voor komt, geeft die een wachtwoord weer die hiermee overeenkomt.
In feit kan dit zelfs anders zijn dan het oorspronkelijke wachtwoord, maar dit heeft dan weer te maken met de doeltreffendheid van het gebruikte hashalgoritme wat weer een ander verhaal is ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
