'90% wachtwoorden binnen seconden te kraken'
Meer dan 90% van de door internetgebruikers gegenereerde wachtwoorden is binnen seconden te kraken, aldus consultancybedrijf Deloitte. "Wachtwoorden die uit tenminste acht karakters bestaan, een getal, gemixte letters en non-alfanumerieke symbolen, werden ooit als robuust beschouwd, maar zijn door de komst van geavanceerde hardware en software eenvoudig te kraken", aldus Duncan Stewart.
"Een machine met algemeen verkrijgbare virtualisatiesoftware en snelle videokaarten kan een wachtwoord van acht karakters binnen vijf uur kraken", stelt Stewart, die hoofd onderzoek bij de Canadese tak van Deloitte is.
Volgens Stewart gaat het overstappen op langere en echt willekeurige wachtwoorden niet werken, omdat mensen die gewoon niet zullen gebruiken. Hij denkt dat multifactor-authenticatie via tokens, mobiele telefoons, creditcards en zelfs biometrie een waarschijnlijkere oplossing zal zijn.
Dan zou je voor elk wachtwoord 8 uur lopen kraken ipv in 1 keer de hele database. Tenzij je geïnteresseerd bent in 1 wachtwoord is het voor de 'hacker' dus zinloos. Daarnaast is het wachtwoord dan al 10-15+ karakters, maar omdat de salt ook opgeslagen of te herleiden is duurt het niet perse langer.
Komt dat dan weer door de hasjiesj......?!?!
Komt dat dan weer door de hasjiesj......?!?!
Dan worden de wachtwoorden waarschijnlijk ook cleartext opgeslagen en maakt het niet uit hoe lang je ze maakt. Als de database benaderbaar wordt, hebben de aanvallers je wachtwoord immers gelijk al.
Niet helemaal. De lengte van de salt maakt niet uit in de snelheid van het brute forcen. Je plaatst alleen een salt om te zorgen dat het niet meer economisch is om een rainbowtable aan te maken voor de aanvaller. De conclusie van de persoon die deze uitspraak doet is vooral dat het met de huidige hashing-algorithmes en de stand van de techniek niet meer handig is om wachtwoorden van 8 tekens te gebruiken. Wachtwoorden langer maken gaat geen oplossing zijn, omdat de techniek steeds sneller wordt en dit soort wachtwoorden niet meer te onthouden zijn.
Passphrases gebaseerd op wordenboek-woorden zijn alleen sterk als de brute-forcer ze niet genereert. Zodra je een stapel hashes krijgt en je weet dat 90% passphrases zijn uit de Engelse taal gaat de kracht van de extra lengte weer ontzettend achteruit. Er zijn immers maar een beperkt aantal woorden en brute-forcers zijn al erg goed in het proberen van iteraties van bestaande woorden. Het enige wat nu extra moet gebeuren is het aan elkaar voegen van meerdere woorden en je bent weer net zo ver als met de enkelvoudige wachtwoorden die op een bestaand woord zijn gebaseerd.
http://xkcd.com/538/ geeft trouwens aan dat bij gerichte aanvallen het sowieso niet uitmaakt hoe lang je wachtwoord is... of dat je 10-factor authenticatie doet.
Wel grappig overigens dat Deloitte (of security.nl) geen verschil maakt tussen 'binnen vijf uur' en 'binnen enkele seconden'
Op mijn reactie dat de enige technische reden die ik kan bedenken is dat het plaintext wordt opgeslagen heb ik nog geen antwoord
Op mijn reactie dat de enige technische reden die ik kan bedenken is dat het plaintext wordt opgeslagen heb ik nog geen antwoord
Ja het mag best wel langer zijn maar dan kijkt ie dus alleen maar naar de eerste tekens.
Die limieten worden wel steeds hoger gezet maar een maximale lengte is soms dus ook bij hashed passwords aanwezig.
vooral het feit dat de lengte niet uitmaakt, na 9 karakters wordt de kraaktijd veel te lang voor bijna alle systemen, zie laatste bladzijde van het artikel: Hitting the wall
Het is gratis en je kan via single sign on doorloggen. Tevens kan ik nu mijn eigen bookmarks aanmaken in de launchpad van mydigipass.com
Om dat te kunnen doen moet je eerst het password bestand te pakken krijgen, dat kan alleen met een succesvolle kraak / hack. als je mazzel hebt is het een dump / export waarin ook de usernames staan (bijv ldap dump), anders moet je ook het username database te pakken krijgen. Dan moet je de hashes kraken.
Het kan ook met brute force inlog pogingen, maar dat duurt echt wel langer dan een paar seconden en grote kans op een lock out. na xxx pogingen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
