🏇🏿 🏸 🐺 लिंक्डइन हैक पासवर्ड जनरेटर / सत्यापनकर्ता 💂🏼 🏰 😳

लिंक्डइन के लिए मिलान किए गए पासवर्डों का विश्लेषण करने के बाद, एक जनरेटर के साथ संयुक्त रूप से एक पासवर्ड जनरेटर बनाने का विचार आया, जो आसानी से मिलान किए गए पासवर्ड की अनुमति नहीं देता है। लंबाई का सबसे सरल विश्लेषण, विशेष पात्रों की उपस्थिति यहां पर्याप्त नहीं है - कुछ पासवर्ड बहुत आसानी से "टुकड़ों" से एकत्र किए जा सकते हैं और सैद्धांतिक रूप से बताए गए की तुलना में उन्हें छांटने में बहुत कम समय लगता है। और इस बात की कोई गारंटी नहीं है कि जनरेटर प्रोग्राम आपको ऐसा कोई पासवर्ड नहीं देगा - एक दुर्घटना, यह एक दुर्घटना है। मेरी रचना मुद्दे के पूर्ण समाधान का ढोंग नहीं करती है, बल्कि यह प्रतिबिंब के लिए एक अवसर है, लेकिन यह काफी कार्यात्मक है (स्रोत कोड और थोड़ा विश्लेषण भी मौजूद है)।

विश्वसनीयता बनाम विश्वास

प्रारंभ में, मैं एक तरह की वेब सेवा के रूप में विचार तैयार करना चाहता था, लेकिन इसके बारे में बेहतर सोचा; एक सक्षम उपयोगकर्ता को पहले यह सोचना चाहिए कि उसका संभावित पासवर्ड कहां जा सकता है, लेकिन नेटवर्क प्रौद्योगिकियों के लिए इस प्रश्न का कोई स्पष्ट उत्तर नहीं है, और ऐसी सेवाओं पर भरोसा न करने के सभी कारण हैं। आपने अभी पासवर्ड दर्ज किया है, और AJAX'om यह पहले से ही खींचा हुआ है और सर्वर पर सहेजा गया है। कोई धन्यवाद नहीं।

एक अज्ञात डेस्कटॉप एप्लिकेशन इस संबंध में बेहतर नहीं है, इसमें चुपचाप इंटरनेट पर अनुरोध भेजने के लिए कई विशेषताएं हैं। यह इस वजह से है कि मैं स्वयं जनरेटर कार्यक्रमों का उपयोग नहीं करता हूं। और एंट्रोपी के स्रोतों की विशाल सूची के बावजूद, इस बात की कोई गारंटी नहीं है कि आपका पासवर्ड किसी के डेटाबेस में नहीं होगा।

इसलिए, मैं स्वयं एक स्रोत कोड (C # में, इस तथ्य पर आधारित है कि मैं विकास पर कुछ घंटे से अधिक नहीं बिताना चाहता था) पर एक कार्यक्रम प्रस्तावित करता हूं और इसे स्रोत से बनाने की जोरदार सलाह देता हूं।

पासवर्ड जनरेशन

सबसे सरल और सबसे सार्वभौमिक पीढ़ी की योजना कुछ एन्ट्रापी प्राप्त करना है और इसे दिए गए वर्णों के साथ लक्ष्य लंबाई की एक स्ट्रिंग में बदलना है।

रूपांतरण के लिए एक मानक मानक समाधान है , जो हैश फ़ंक्शन को एन्ट्रापी पूल (यानी, कुछ यादृच्छिक मूल्यों) के प्रभावी दृढ़ संकल्प के रूप में बुलाता है:

string generatePassword(string charset, int length) { byte[] result; SHA1 sha = new SHA1CryptoServiceProvider(); result = sha.ComputeHash(seed); // <---    // create password StringBuilder output = new StringBuilder(); for (int i = 0; i < result.GetLength(0) && output.Length < length; i++) output.Append(charset[result[i] % charset.Length]); // update seed for (int i = 0; i < result.GetLength(0); i++) addToSeed(result[i]); return output.ToString(); }

रैंडम वैल्यूज़ को खुद अलग-अलग तरीकों से टाइप किया जा सकता है:

हार्डवेयर समाधान
सिस्टम वातावरण (स्मृति में मान, प्रक्रिया गुण),
ऑनलाइन सेवाओं से डेटा प्राप्त करना,
उपयोगकर्ता बातचीत।

लेकिन मैं पहले तीन बिंदुओं को आदर्श रूप से पूरी तरह से बेमानी मानता हूं, लेकिन वास्तव में खराब भविष्यवाणी भी की। इस बात की कोई निश्चितता नहीं है कि हार्डवेयर सेंसर नहीं टूटेगा और "एक ही चीज" नहीं देगा, सिस्टम का वातावरण पर्याप्त गतिशील नहीं हो सकता है, और इंटरनेट सेवा विशेष रूप से व्यक्तिगत लाभ के लिए उत्पन्न डेटा को वापस कर सकती है (और बचा सकती है)। ये यादृच्छिक संख्याएं हैं, और यहां तक कि उन्हें देखने का अवसर होने के बावजूद, हमें कुछ भी समझ में नहीं आता है।

तो यह डेटा का उपयोग करने का निर्णय लिया गया था, जिसे प्राप्त करने की प्रक्रिया उपयोगकर्ता पर निर्भर करती है, और माउस आंदोलनों को बचाने के लिए सबसे सरल और सबसे सुविधाजनक विकल्पों में से एक है। प्रत्येक आंदोलन को निर्देशांक और समय की विशेषता होती है, जो कि सामान्य रूप से भविष्यवाणी की जा सकती है, लेकिन विशिष्ट संख्या में, हमेशा अलग और लगभग यादृच्छिक होती है, खासकर यदि आप एक उच्च रिज़ॉल्यूशन (प्रोसेसर टिक्स) के साथ एक काउंटर के साथ समय को मापते हैं।

 void handleMouseData(int x, int y) { /* store information in seed array */ addToSeed(x); addToSeed(y); addToSeed(ticks()); }

कोड का वह छोटा हिस्सा जो पर्यावरण से एन्ट्रापी के गठन से संबंधित है, इस सरल कार्य में निहित है:

 int ticks() { long timer; if (QueryPerformanceCounter(out timer) == false) { // high-performance counter not supported throw new Win32Exception(); } /* ignore significant bits due its stability - we prefer using fast-changing low bits only */ return (int)timer; }

QueryPerformanceCounter काउंटर का सिस्टम के आधार पर एक अलग रिज़ॉल्यूशन है, और वर्तमान प्रोसेसर लोड, प्रक्रियाओं की संख्या, संदर्भ स्विच के तथ्य के आधार पर इसका मूल्य बदलता है। एक मात्रा, जो, हालांकि इसकी एक अनुमानित वृद्धि है, लेकिन विशिष्ट संख्या में इसे व्यक्त करना बहुत मुश्किल है।

नतीजतन, हम अच्छे पासवर्ड प्राप्त करते हैं, उपयोगकर्ता को कुछ मुश्किल संयोजनों पर क्लिक करने के लिए मजबूर किए बिना, पीढ़ी के अंत के लिए घंटों की प्रतीक्षा करें, और कार्यक्रम के जटिल इंटरफ़ेस से ग्रस्त हैं। मैं इंटरफेस के डिजाइन में साफ-सुथरा होने का ढोंग नहीं करता (नीचे दिए गए स्क्रीनशॉट को महसूस करते ही यह और भी मज़ेदार हो गया), लेकिन मैं यह मानता हूं कि कॉम्बो बॉक्स में पोक करने और जनरेट किए गए विकल्पों में से आपको जो पसंद है उसे चुनने के अलावा और कोई सुविधाजनक उपाय नहीं है।

हैकिंग टाइम का अनुमान

प्रत्यक्ष गणना के लिए, कुल समय की गणना निम्नलिखित मापदंडों के आधार पर की जा सकती है:

फ़ंक्शन की गति जांचें
वर्णमाला शक्ति
वर्णों की संख्या।

वर्णमाला की शक्ति एक विशिष्ट पासवर्ड के अक्षरों से युक्त न्यूनतम (एक उचित विवरण मानदंड के साथ) है। आमतौर पर, ये फॉर्म के सेट होते हैं:

छोटे अक्षर
अपरकेस अक्षर
आंकड़े
विशेष संकेत।

इसलिए, समय की गणना करने के लिए, हम केवल उन वर्णों की जांच करते हैं जिनसे हमारा पासवर्ड सेट होता है, और सेट शक्ति में सभी वर्ण शामिल होते हैं:

 double bruteforceCombinations = Math.Pow(26 * upper + 26 * lower + 10 * numeric + specials.Length * special, pwd.Length);

हैशिंग गति अलग-अलग एल्गोरिदम के लिए भिन्न होती है, मैं लोकप्रिय तरीकों के लिए मोटे तौर पर अनुमानित मूल्यों के साथ एक सूची प्रदान करता हूं (लेकिन वास्तव में हम यह नहीं जानते हैं कि सर्वर पर किसका उपयोग किया जाता है, इसलिए यह केवल सबसे लोकप्रिय एल्गोरिदम का सबसे तेज छोड़ना सही होगा, अब यह एमडी 5 है)।

और मूर के कानून के बारे में मत भूलना, यही वजह है कि "दरार करने के लिए लाखों साल" का दावा करने वाली सभी गणना बहुत भोली लगती हैं। यद्यपि कंप्यूटिंग शक्ति की वृद्धि की गतिशीलता की भविष्यवाणी निश्चित रूप से नहीं की जा सकती है, वर्तमान विकास दर का उपयोग करना कुछ भी नहीं से बेहतर है।

और अब, वास्तव में, मुख्य बात अपघटन द्वारा हमले के समय का अनुमान लगाना है।

यह इतना मुश्किल नहीं है, आपको बस प्रासंगिक संयोजनों के शब्दकोश के शब्दों में हमारे पासवर्ड के न्यूनतम टूटने की गणना करने की आवश्यकता है (अक्सर पाया सब्सट्रेटिंग) == पासवर्ड की लंबाई। और शब्दकोष की "शक्ति" की गणना == इसमें शब्दों की संख्या। लंबाई की डिग्री में संयोजनों की कुल संख्या अभी भी "शक्ति" है।

यदि हमारा पासवर्ड "Good123Password" है, तो यह "गुड", "123", "पासवर्ड" में विघटित हो जाता है, जो व्यक्तिगत रूप से बहुत आम हैं और क्यूब के माध्यम से पुनरावृति के लिए आवश्यक समय सिर्फ "बहुत कम" है।

सवाल, ज़ाहिर है, ऐसे शब्दकोश की गुणवत्ता है, लेकिन फिर, कोई भी विकल्प कुछ भी नहीं से बेहतर है। मैं इस कार्यक्रम से जुड़ा हुआ था जो लिंक्डइन पर एक ऑडिट के बाद प्राप्त हुआ था, जो कि 2.5 मिलियन पासवर्ड में पाए जाने वाले सबसे लगातार संयोजनों से बना था। शब्दकोश ही 40 किलोबाइट है।

परिणाम

कार्यक्रम और स्रोतों से लिंक: dl.dropbox.com/u/243445/md5h/pwdmaster.zip

अच्छे परिणामों में से एक तथ्य यह है कि अधिकांश छद्म-यादृच्छिक रूप से उत्पन्न पासवर्ड संभावित संयोजनों में विघटित नहीं होते हैं। यदि अन्य कार्यक्रमों में जनरेटर में स्पष्ट त्रुटियां, या खामियां नहीं होती हैं, और वे पीढ़ी की गुणवत्ता में मेरी तुलना में बदतर नहीं हैं, तो "आप ध्वनि से सो सकते हैं।" 14-वर्ण अल्फ़ान्यूमेरिक संयोजनों के लिए पासवर्डों का हिस्सा एक डिक्शनरी में प्रदर्शित किया गया है (ताकि डिक्शनरी सर्च डायरेक्ट सर्च की तुलना में तेज़ हो) एक प्रतिशत से भी कम है।

लिंक्डइन हैक पासवर्ड जनरेटर / सत्यापनकर्ता

विश्वसनीयता बनाम विश्वास

पासवर्ड जनरेशन

हैकिंग टाइम का अनुमान

परिणाम

More articles: