Onderzoeker: aanvallers bruteforcen geen lange wachtwoorden
Aanvallers die bruteforce-aanvallen uitvoeren om toegang tot systemen en servers te krijgen proberen alleen korte wachtwoorden, zo stelt Ross Bevington, een beveiligingsonderzoeker bij Microsoft. Bevington analyseerde meer dan 25 miljoen bruteforce-aanvallen via SSH op een honeypot-systeem.
77 procent van deze aanvallen probeerde een wachtwoord van van tussen de één en zeven karakters. Bij slechts zes procent van de aanvallen werd een wachtwoord van meer dan tien karakters geprobeerd. Dertig procent van alle wachtwoorden gebruikt bij de onderzochte bruteforce-aanvallen is zes karakters lang.
Verder ontdekte Bevington dat slechts zeven procent van de bruteforce-aanvallen een speciaal teken bevatte. Het gebruik van tenminste één cijfer kwam bij 39 procent van de aanvallen voor. Tevens laat Bevington weten dat geen van de wachtwoorden die aanvallers gebruikten een spatie bevatte.
Naast het analyseren van wachtwoorden zag de onderzoeker dat het aantal bruteforce-aanvallen op de honeypot-systemen van Microsoft dit jaar met 325 procent is toegenomen ten opzichte van vorig jaar. "Statistieken van SSH en VNC zijn net zo erg", aldus Bevington tegenover The Record.
Dit is natuurlijk geen reden om je wachtwoorden te vereenvoudigen. Echte bedreigingen zijn gerichte aanvallen waarbij ook fishing en social engineering worden toegepast.
Dit is natuurlijk geen reden om je wachtwoorden te vereenvoudigen. Echte bedreigingen zijn gerichte aanvallen waarbij ook fishing en social engineering worden toegepast.
De laatste twee zijn inderdaad het grootste deel van 'hacks'.
Het is wel zo dat voor veel mensen wachtwoordzinnetjes stukken makkelijker te onthouden zijn.
l / p Anoniem / LekkeRKletseNOveRSecurtyNL is toch echt makkelijker te onthouden dan Anoniem / 1&gIu*65^^,)lK
En hoogstwaarschijnlijk net zo veilig.
Kun je vertellen waar ongeveer je een limiet op 7 of 8 tekens "maar al te vaak" tegenkomt ?
Mij is dat namelijk al heel lang niet meer overkomen.
Nu hopen dat je een sterk wachtwoord hebt voor je email en 2FA aan hebt staan...
Nu hopen dat je een sterk wachtwoord hebt voor je email en 2FA aan hebt staan...
Inderdaad maar dat geldt ook als je wel wachtwoorden gebruikt op sites en die opslaat in bv. een password manager. Want met je e-mailadres kan men jouw wachtwoord veranderen bij de site en dan is je opgeslagen wachtwoord onbruikbaar.
Als je het goed hebt geregeld, wordt het account geblokkeerd bij X aantal verkeerde pogingen. Dus de gebruiker heeft er wel last van. Het is tegenwoordig een vaak geziene DoS methode.
Kun je vertellen waar ongeveer je een limiet op 7 of 8 tekens "maar al te vaak" tegenkomt ?
Een jaar geleden zag ik het nog bij sommige sites. Welke dat waren, weet ik niet meer. Ik ben daar natuurlijk niet verder mee gegaan. Als ze al zo slecht zijn op dit gebied, heb ik geen vertrouwen op hun kwaliteiten op andere gebieden.
Daarnaast gebruiken die scriptkiddies ook niet echt recente wachtwoordlijsten. Mijn ervaring is dat dergelijke lijsten wel 10 of meer jaar oud kunnen zijn.
Peter
De limiet bij ING is 20 karakters. EN na 7(? in elk geval beperkt aantal) foute pogingen wordt het account gelocked.
Plus dat ze nu echt die tweede factor (app of scanner) vereisen.
Je "Tja...' alsof er daar iets mis is, is totaal niet terecht .
Als je het goed hebt geregeld, wordt het account geblokkeerd bij X aantal verkeerde pogingen. Dus de gebruiker heeft er wel last van. Het is tegenwoordig een vaak geziene DoS methode.
Kun je vertellen waar ongeveer je een limiet op 7 of 8 tekens "maar al te vaak" tegenkomt ?
Een jaar geleden zag ik het nog bij sommige sites. Welke dat waren, weet ik niet meer. Ik ben daar natuurlijk niet verder mee gegaan. Als ze al zo slecht zijn op dit gebied, heb ik geen vertrouwen op hun kwaliteiten op andere gebieden.
Inderdaad zou ik er dan ook weinig vertrouwen in hebben.
Het zal vast wel bestaan, en mijn eigen set accounts/sites waar ik ervaring mee heb hoeft ook geen heel representatieve steekproef te zijn.
Aan de andere kant : de stelling van de anonieme poster "maar al te vaak" zou betekenen dat er makkelijk meer voorbeelden van te vinden zouden zijn dan iemand (anders) die het vrij recent bij "sommige" sites nog wel zag.
Als ik _ergens_ een device opduikel dat klassiek Unix crypt(3) gebruikt spreek ik niet over "maar al te vaak" .
Daarnaast gebruiken die scriptkiddies ook niet echt recente wachtwoordlijsten. Mijn ervaring is dat dergelijke lijsten wel 10 of meer jaar oud kunnen zijn.
Zou dan veel uitmaken ?
Het zou een aardig hoofdstukje in het een of andere paper kunnen zijn, wijzigende frequenties van top wachtwoorden in de loop van de tijd.
Met de heel natte vinger kan ik speculeren dat opkomende filmsterren/artiesten/songteksten/modewoorden wel iets doen in password dictionaries - maar ik durf niet heel hard te gokken wat voor percentages je gaat missen met een oudere dictionary.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
