DEFCON 17. 400,000 पासवर्ड हैक करना, या एक रूममेट को कैसे समझाना है कि बिजली का बिल क्यों बढ़ा है। भाग 1

मैं सभी का अभिवादन करता हूं और इस वर्ष के DEFCON सम्मेलन के समापन पर अपनी प्रस्तुति देने के लिए धन्यवाद देता हूं। मैं वास्तव में इसकी सराहना करता हूं और आपको निराश नहीं करने की कोशिश करता हूं। मेरा नाम मैट वियर है, मैं फ्लोरिडा स्टेट यूनिवर्सिटी में स्नातक छात्र हूं। इससे पहले कि हम सीधे पासवर्ड क्रैक करने के बारे में बात करना शुरू करें, मैं कहना चाहता हूं कि मैं एक बहुत अच्छी टीम के साथ काम करता हूं और अभी इसके सदस्यों का नाम बताता हूं। यह मेरे नेता, प्रोफेसर, डॉ। सिदिर एगरग्रीव हैं, जिन्होंने मेरी प्रस्तुति में हाथ डाला और प्रोफेसर ब्रेनो डी मेडेइरोस ने। मैं अपने शोध के वित्तपोषण के लिए नेशनल इंस्टीट्यूट ऑफ जस्टिस और व्हाइट कॉलर नेशनल क्रिमिनल रिसर्च सेंटर को भी धन्यवाद देना चाहता हूं।



मैं वास्तव में इसकी सराहना करता हूं क्योंकि इस मदद ने मेरे शोध को थोड़ी वैधता दी है। क्योंकि जब मैं अपने शोध के विषय को मंजूरी देने के लिए वैज्ञानिक परिषद में गया, तो मैंने इस तथ्य के साथ बातचीत शुरू की कि यह हैकिंग पासवर्ड के लिए समर्पित है। इन शब्दों ने एक अप्रिय प्रतिक्रिया को उकसाया, इसलिए मुझे यह बताना पड़ा कि बाल मोलेस्टर और इस तरह के अन्य अपराधियों को पकड़ने और उन पर मुकदमा चलाने के लिए क्या आवश्यक था।

इसलिए, मेरे अनुसंधान का मुख्य उद्देश्य न्यायशास्त्र में मदद करना है।

एन्क्रिप्शन में कानून प्रवर्तन एजेंसियां ​​काफी मजबूत हैं, इसलिए मैं इसके लिए उनकी मदद नहीं करने जा रहा था, मेरे पास इसके लिए पर्याप्त दिमाग नहीं होगा। मैंने उपयोगकर्ताओं पर हमलों से जुड़ी समस्याओं की जांच करने का फैसला किया, क्योंकि यह जटिल सिफर को क्रैक करने की तुलना में बहुत आसान है। मैं एक बेहतर मॉडल विकसित करना चाहता था कि कैसे लोग वास्तविक जीवन में अपने पासवर्ड बनाते हैं, और फिर इसे हमले-प्रतिरोधी पासवर्ड बनाने की रणनीति में उपयोग करते हैं।

पहली चीज जो हमें चाहिए वह है इस बात का अंदाजा लगाना कि लोग अपना पासवर्ड कैसे बनाते हैं। हमने इंटरनेट पर सर्फिंग करने और खुली पासवर्ड सूची खोजने में थोड़ा समय बिताया। वे विभिन्न कारणों से वहां दिखाई देते हैं, उदाहरण के लिए, कुछ हैकर साइट में हैक करते हैं और सभी को बताने के लिए उपयोगकर्ता पासवर्ड की एक सूची बनाते हैं: "देखो मैं कितना शांत हूं!" हमने ये पासवर्ड एकत्र किए और विश्लेषण किया।

कई पटाखे फोरम, बुलेटिन बोर्ड और इंटरनेट पर पसंद हैं, जहां हमने पासवर्ड का "कैच" भी एकत्र किया है। अब आप शायद ही कभी सरल पाठ पासवर्ड देखते हैं, लेकिन यह एक बहुत अच्छी बात है, क्योंकि हमें बस इतना करना है कि उन्हें खोजें और पढ़ें। हालांकि, अधिकांश पासवर्ड हैशेड हैं, इसलिए यह समझने के लिए कि लोग उन्हें कैसे बनाते हैं, हमें पहले उन्हें क्रैक करने की आवश्यकता है।

यह वास्तव में हमारे लिए अच्छा है, क्योंकि यह हमें व्यावहारिक लक्ष्यों पर ध्यान केंद्रित करता है। मेरा मतलब है, हम सिर्फ शराब पीते समय शोध पत्र नहीं लिख सकते हैं। हमें वास्तव में आगे बढ़ना चाहिए और हमारी पासवर्ड सूचियों में जो मिला है उसे लागू करने की कोशिश करें और जांचें कि यह कैसे काम करता है। मुझे वास्तव में दिलचस्पी थी कि हैकिंग के खिलाफ प्रभावी सुरक्षा कैसे बनाई जाए और पासवर्ड को बेहतर बनाने के लिए, उन्हें तोड़ने के दौरान प्राप्त ज्ञान के आधार पर पासवर्ड बनाने के लिए अधिक प्रभावी रणनीतियों का उपयोग किया जाए।

मुझे लगता है कि इसे ठीक करने के बजाय किसी चीज़ को हैक करना बहुत आसान है। इस प्रस्तुति में, मैं उन उपकरणों और trifles के विस्तृत विवरण से बचने की कोशिश करूँगा जिनका मैंने उपयोग किया था। मैं अगले 50 मिनट J ohn द रिपर प्रोग्राम की प्रत्येक कमांड लाइन को पार्स करने के लिए नहीं जा रहा हूं, जो अपने हैश से पासवर्ड को पुनर्प्राप्त करने के लिए कार्य करता है, या पेज द्वारा पेज का विश्लेषण करता है कि लोग कितनी बार स्पोर्ट्स टीमों के पासवर्ड का उपयोग करते हैं। मैं आपका समय बर्बाद नहीं करना चाहता।

यदि आप विवरणों में रुचि रखते हैं, तो आप मेरे पासवर्ड क्रैकिंग ब्लॉग, www.reusablesec.blogspot.com, या मेरे उपकरण और प्रलेखन के साथ साइट पर जा सकते हैं, जो www.reusablesec.sites.google.com पर इंटरनेट पर स्वतंत्र रूप से उपलब्ध हैं। कृपया अपनी टिप्पणी छोड़ें और यह कहने में संकोच न करें कि यदि आपको लगता है कि हम कुछ मूर्खतापूर्ण बातें कर रहे हैं। मैं वास्तव में इस तरह की टिप्पणियों की सराहना करता हूं, क्योंकि यह हमारे काम की प्रभावशीलता का मूल्यांकन करने का सबसे अच्छा तरीका है।

आपको बुखार पर कुछ भी लिखने की ज़रूरत नहीं है या स्क्रीन पर टिमटिमाती एक स्लाइड को याद करने से डरना चाहिए, क्योंकि यह प्रस्तुति कॉन्फ़्रेंस सीडी पर उपलब्ध है, इसके अलावा, आप इन स्लाइड्स को इंटरनेट से डाउनलोड कर सकते हैं। मैंने डिस्क पर कई अतिरिक्त उपकरण भी रिकॉर्ड किए। मैं संक्षेप में उपयोग किए जाने वाले उपकरणों के बारे में बात करूंगा: यह हमारा शब्दकोश है, जो इंद्रधनुष क्रैब टेबल्स के ऑनलाइन संस्करण के आधार पर बनाया गया है, पासवर्ड क्रैक करने के लिए कई स्क्रिप्ट, पार्सिंग के लिए स्क्रिप्ट जो हम पासवर्ड सूचियों और उपयोगकर्ता पासवर्डों की कई सूचियों का विश्लेषण करने के लिए उपयोग करते हैं, जिन्हें हमने खुद संकलित किया था।

यह उल्लेखनीय है कि हमारे पास संभवतः इंटरनेट पर पासवर्ड नमूनों के एकल-पंक्ति ASCII एन्कोडिंग का सबसे बड़ा संग्रह है। इसलिए आप कह सकते हैं कि मेरे माता-पिता को मुझ पर गर्व हो सकता है। मैं ध्यान देता हूं कि लोग इस तरह से भी पासवर्ड बनाते हैं, इसलिए आप इसका लाभ उठा सकते हैं और उन्हें क्रैक कर सकते हैं।



आप कह सकते हैं: “हे भगवान, पासवर्ड एक बकवास है! उपयोगकर्ता बेवकूफ हैं क्योंकि वे बेवकूफ पासवर्ड बनाते हैं, और सामान्य तौर पर, हम सभी बर्बाद होते हैं! ” हां, मैं उपयोगकर्ताओं का मजाक बनाने में समय बिता सकता हूं क्योंकि यह मजेदार है, लेकिन पूरी तरह से अनुत्पादक है। मेरा मतलब है, हम कई वर्षों से जानते हैं कि आग गर्म है, पानी गीला है, उपयोगकर्ता केवल 1-2-3 पासवर्ड का चयन करेगा। यह कोई नई बात नहीं है। लेकिन हमें सुरक्षा समुदाय के रूप में यह पता लगाना चाहिए कि इसके बारे में क्या करना है।

मैं यह नहीं कहूंगा कि मैं आशावादी हूं, लेकिन मैं पासवर्ड के भविष्य के बारे में बहुत अधिक निराशावादी नहीं हूं। मेरा मतलब है, हम इन छोटे सितारों पर "अटक" रहे हैं जिन्हें भरने की आवश्यकता है, और हम हमेशा उनका उपयोग करेंगे क्योंकि वे वास्तव में अच्छे हैं।

कई अलग-अलग कारक हैं जो आपको केवल सुरक्षा छोड़कर, किसी भी "पानी" से छुटकारा पाने की अनुमति देते हैं। पासवर्ड हैक करना मुश्किल हो जाता है क्योंकि लोग मजबूत एन्क्रिप्शन, मजबूत पासवर्ड हैश का उपयोग करना शुरू कर रहे हैं और पासवर्ड के लिए अधिक जिम्मेदार हैं। मुझे लगता है कि इसीलिए पासवर्ड क्रैकिंग में इतनी दिलचस्पी है। मुझे उम्मीद है कि विंडोज 7 आखिरकार एक्सपी के दिल में एक महत्वपूर्ण हिस्सेदारी रखता है, और हम वाई-फाई नेटवर्क के लिए WEP सुरक्षा एल्गोरिथ्म का उपयोग करने के कम और कम मामलों को देखना शुरू कर रहे हैं, इस तथ्य के बावजूद कि यह अभी भी चारों ओर काफी व्यापक है। मेरा मतलब है, हमें मौजूदा सिस्टम को नष्ट करने के बजाय पासवर्ड को हैक होने से बचाने की समस्या पर काम करना चाहिए।

यह दृष्टिकोण वास्तव में स्थिति में सुधार करेगा, इसलिए मैं इस बात पर ध्यान केंद्रित करना चाहता हूं कि पासवर्ड क्रैकिंग सत्र क्या है, किन तकनीकों का उपयोग किया जाता है और पासवर्ड सूचियों को क्रैक करने के लिए आपको क्या कदम उठाने की आवश्यकता है।

मैं दो अलग-अलग मामलों के अध्ययन पर ध्यान केंद्रित करना चाहता हूं। सबसे पहले, हमने CISSP डेटा का उपयोग करके हैकिंग के लिए एक पासवर्ड डेटाबेस बनाया - सूचना सुरक्षा पर एक स्वतंत्र प्रमाणन। हमने हर जगह बहुत सारे पासवर्ड एकत्र किए, लेकिन ये दो स्रोत, phpbb.com और webhostingtalk.com , सबसे अच्छे थे क्योंकि सार्वजनिक डोमेन में पासवर्ड की बहुत बड़ी सूची थी।

इसलिए, पहले हम phpbb.com सूची से पासवर्ड हैक करने के बारे में बात करेंगे, और फिर webhostingtalk.com हैक करने के परिणामों के बारे में बात करेंगे। मैं CISSP में एक परिचयात्मक पाठ्यक्रम नहीं दूंगा क्योंकि आप भाषा और शब्दावली जानते हैं। उसके बाद, मैं एक छोटा ब्रेक लूंगा और आप TrueCrypt प्रोग्राम का उपयोग करके अनुसंधान से संबंधित प्रश्न पूछ सकते हैं, साथ ही कुछ पासफ़्रेज़ और गैर-मानक पासवर्ड के बारे में बात कर सकते हैं। तो, चलो पासवर्ड क्रैकिंग की मूल बातें के बारे में बात करते हैं।



पासवर्ड के दो अलग-अलग प्रकार हैं और तदनुसार, उन्हें क्रैक करने के दो तरीके हैं, और वे एक-दूसरे से बहुत अलग हैं। पहला ऑनलाइन पासवर्ड है। फिल्मों से, आप जानते हैं कि यदि आप पासवर्ड नहीं जानते हैं, तो आपके पास साइट तक पहुंच नहीं हो सकती है। इसलिए, आप वहां पहुंचने की कोशिश कर रहे हैं, विभिन्न उपयोगकर्ता नाम और पासवर्ड उठा रहे हैं। मुख्य बात यह है कि साइटों के निर्माता अतिरिक्त कार्यों की मदद से खुद को हैकर्स से बचाने की कोशिश करते हैं, उदाहरण के लिए, प्राधिकरण डेटा दर्ज करने के प्रयासों की संख्या को सीमित करना।

दूसरा तरीका यह है कि जब आप पासवर्ड हैश डाउनलोड करते हैं तो पासवर्ड ऑफलाइन क्रैक करें और इसे अपने कंप्यूटर पर क्रैक करें। कंप्यूटर फोरेंसिक में ये बड़ी समस्याएं हैं, इसलिए आपको पुलिसकर्मियों को गिरफ्तारी वारंट के साथ अपने दरवाजे में घुसने से पहले पासवर्ड को क्रैक करने की कोशिश करनी होगी। साथ ही, वे उस हार्ड ड्राइव को हटा देंगे, जिस पर आपका ट्रू क्रिप्ट क्रैकिंग प्रोग्राम फटा पासवर्ड के साथ स्थापित किया जाएगा। इसके अलावा, ऑफ़लाइन पासवर्ड हैक करने के लिए बहुत शक्तिशाली कंप्यूटर और बहुत समय की आवश्यकता होती है।

वास्तव में, एक हमलावर ने एक साइट को हैक करने के बाद और सभी पासवर्ड और उपयोगकर्ता नाम डाउनलोड किए, यह केवल उस समय तक सीमित है जिसके बाद उसे पकड़ा जा सकता है।

सवाल यह है कि हैकर को पासवर्ड क्यों क्रैक करने चाहिए, यदि वह राउटर के माध्यम से साइट तक पूरी पहुंच हासिल कर सकता है। इसका उत्तर यह है कि लोग हर जगह एक ही पासवर्ड का उपयोग करते हैं, इसलिए आपके लिए अपना ईमेल, बैंक खाता, और पेपैल खाते तक पहुंचना आसान हो जाता है।

हमने ऐसा नहीं किया। पासवर्ड क्रैक होने के बाद, हमने उन्हें किसी भी वेबसाइट या किसी के खाते तक पहुंच के लिए सत्यापन के लिए उपयोग नहीं किया। मैं यह नहीं कहता क्योंकि मुझे लगता है कि दर्शकों में कई संघीय एजेंट हैं, लेकिन क्योंकि यह वास्तव में खराब है।

इसलिए पासवर्ड तोड़ते समय तीन अलग-अलग चरण होते हैं। मैं उन्हें अलग करना चाहता हूं, क्योंकि मैं बाद में उन्हें संदर्भित करूंगा। मुझे इन तीन चरणों में से प्रत्येक में समस्याएं थीं।

पहला चरण ऑफ़लाइन पासवर्ड क्रैकिंग के बारे में है। कंप्यूटर फोरेंसिक मानता है कि आपके पास पहले से ही एक पासवर्ड हैश है, हमारे मामले में कंप्यूटर की पूरी हार्ड डिस्क इन डेटा से भरी हुई थी। तो, पहला कदम जो आपको उठाना चाहिए, यह अनुमान लगाने की कोशिश करें कि उपयोगकर्ता किस तरह के पासवर्ड के साथ आया था। ऐसा करने के लिए, आप पहले प्रयास का उपयोग करते हैं, मान लीजिए पासवर्ड 123। फिर आप इसे हैश करें और अक्षरों का एक नंबर प्राप्त करें और संख्या 52F8A73082B1290 । ज्यादातर मामलों में, एक सरल और तेज़ एमडी 5 हैश एल्गोरिथ्म का उपयोग किया जाता है । उसके बाद, आप इस सेट की तुलना उपयोगकर्ता के वास्तविक पासवर्ड के हैश से करते हैं, उदाहरण के लिए, 82503CA693453D1 । यदि यह मेल खाता है, तो आप पासवर्ड क्रैक करते हैं। लेकिन 52F8A73082B1290 CA 82503CA693453D1 के बाद से, आप फिर से प्रयास करते हैं और मंकी123 हंच का उपयोग करते हैं। आप इसे बार-बार दोहराते हैं जब तक कि आप ऊब नहीं जाते और छोड़ देते हैं।



बाएँ: एन्क्रिप्शन विशेषज्ञ इसकी कल्पना कैसे करते हैं।

“उनका लैपटॉप एन्क्रिप्टेड है। चलो एक मिलियन डॉलर डिकोडर बनाएं और इसे हैक करें! "
"यह काम नहीं किया, यह एक 4096-बिट सिफर है!"
- “धिक्कार है! हमारी आपराधिक योजना विफल रही है! ”

अधिकार: जैसा कि आमतौर पर होता है।

“उनका लैपटॉप एन्क्रिप्टेड है। चलो उसे एक पेय दें और उसे इस पांच-डॉलर की रिंच के साथ हरा दें जब तक कि वह हमें पासवर्ड नहीं बताता है! "
"मैं सहमत हूँ!"

चलो पासवर्ड में "ज़ेस्ट" के बारे में बात करते हैं। यह जानकारी पासवर्ड में इसके खुर को जटिल करने के लिए जोड़ी जाती है। ऐसा होता है कि दो अलग-अलग लोग एक ही पासवर्ड का उपयोग करने का निर्णय लेते हैं। इस मामले में, उदाहरण के लिए, आप "डिफॉन" पासवर्ड में विभिन्न उपयोगकर्ता नाम जोड़ सकते हैं, इस मामले में हैश एक दूसरे से बहुत अलग होगा।



यह नेटवर्क पर संग्रहीत पासवर्ड के लिए विशेष रूप से महत्वपूर्ण है। अक्सर लोग अपने स्वयं के उपयोगकर्ता नाम को एक माइक्रोफ़ोन पासवर्ड के रूप में हाइलाइट के रूप में जोड़ते हैं, लेकिन यह वास्तव में एक बुरा विचार है। क्योंकि "ज़ेस्ट" भी हैश खोज द्वारा हमलों से बचाता है। आमतौर पर, एक हैकर एक समय में सभी पासवर्ड हैश की प्रतिलिपि बनाता है, और यदि उसे पासवर्ड को क्रैक करने की आवश्यकता होती है, तो वह बस चोरी किए गए हैश के माध्यम से देखता है, और यह बहुत जल्दी होता है। लेकिन अगर आप "जेस्ट" का उपयोग करते हैं, तो हैकर तब तक ऐसा नहीं कर पाएगा जब तक कि वह वहां "जेस्ट" की उपस्थिति के लिए प्रत्येक विशिष्ट उपयोगकर्ता के हैश की जांच न कर ले।

मान लीजिए कि लोगों के पास प्रत्येक "Microsoft" पासवर्ड के लिए एक "ट्विस्ट" है, तो हैकर उपयोगकर्ता नाम के साथ एक पूरी तालिका नहीं बनाना चाहेगा। हालांकि, वह जानता है कि उनमें से एक बहुत लोकप्रिय नाम "प्रशासक" हो सकता है, लोगों को उस पर भरोसा करने के लिए उपयोग किया जाता है, इसलिए, इस मामले में, एक हैकर सफलता प्राप्त कर सकता है।

इसलिए, "हाइलाइट" बनाते समय आपको इन महत्वपूर्ण बातों पर विचार करने की आवश्यकता है:

• यह कोई रहस्य नहीं है। यह अच्छा है यदि आप पासवर्ड के लिए "ज़ेस्ट" बनाने के सिद्धांत को गुप्त रखते हैं, लेकिन सबसे पहले आपको पासवर्ड की सुरक्षा सुनिश्चित करने की आवश्यकता है;
• उपयोगकर्ताओं को यह जानने की जरूरत नहीं है। मेरा मतलब यह नहीं है कि उपयोगकर्ता को पता नहीं होना चाहिए कि पासवर्ड सर्वर पर संग्रहीत हैं, मेरा मतलब है कि "हाइलाइट" प्रत्येक उपयोगकर्ता के लिए अद्वितीय होना चाहिए;
• "हाइलाइट" रक्षा करेगा यदि हमलावर का उद्देश्य केवल एक उपयोगकर्ता है, और पासवर्ड का एक पूरा गुच्छा नहीं है। इस मामले में, यह हैश खोज हमलों को रोकता है।

हालांकि, यह विधि उपयोगकर्ता को किसी अन्य प्रकार के हमलों से नहीं बचाती है, और आपको अभी भी सोचना है कि किसी अपराधी के लिए पासवर्ड हैश अपेक्षाकृत "महंगा" कैसे क्रैक करना है।

और अब चलो सीधे पासवर्ड क्रैकिंग मुद्दों पर जाएं।



आमतौर पर मुझसे पूछा जाता है कि पासवर्ड तोड़ते समय मैं किन उपकरणों का उपयोग करता हूं। मेरे पास एक 2.4 GHz ड्यूल-कोर प्रोसेसर, 3 जीबी रैम और एक NVidia GeForce 8800GTS ग्राफिक्स कार्ड के साथ एक डेस्कटॉप कंप्यूटर है, जो पहले से ही 2 साल पुराना है। यह किसी प्रकार की विशेष पासवर्ड क्रैकिंग मशीन नहीं है। मैं इस मैकबुक का भी थोड़ा उपयोग करता हूं तो मेरे पास कुल 2 कंप्यूटर हैं।

दुर्भाग्य से, कुछ हफ्तों के शोध के बाद, बिजली बिल में 75% की वृद्धि हुई।

रूममेट के साथ संवाद करना तब मुश्किल होता है, जब आपका कंप्यूटर पिछले 2 हफ्तों से वस्तुतः नॉन-स्टॉप गर्जना करता है। हालाँकि, मैंने काम खत्म करने के बाद बिजली की खपत सामान्य कर दी।

अब मैं विश्वविद्यालय प्रयोगशाला में कंप्यूटर पर लगभग सभी पासवर्ड क्रैकिंग ऑपरेशन करता हूं। मैं रेनबोक्रैक टेबल डिक्शनरी जनरेशन का उपयोग करता था। जब आप सुनते हैं कि लोग आपके बारे में क्या कह रहे हैं, कि आपके पास प्ले स्टेशन 3 जैसी कुछ चीज़ों के पूरे रैक हैं और पासवर्ड क्रैक करने के लिए एक पूरा बॉटनेट है, तो आप जवाब देना चाहते हैं: "आप जानते हैं, यार, मेरे पास एक लैब डेल है।" इसलिए, जब आप खतरे की मॉडलिंग पर विचार करते हैं, तो यह ध्यान में रखना चाहिए कि एक हमलावर निश्चित रूप से इसमें बहुत अधिक संसाधन फेंक सकता है। उदाहरण के लिए, phpbb.com जैसी साइट को हैक करना । यह एक phpbb सॉफ्टवेयर डेवलपमेंट साइट है । इसे 14 जनवरी 2009 की शुरुआत में हैक किया गया था, और इस सूची को फरवरी की शुरुआत में इंटरनेट पर प्रकाशित किया गया था। हमलावर ने पासवर्ड हैश, साइट के उपयोगकर्ता नाम, ई-मेल खातों, साथ ही हमले का बहुत विस्तृत विवरण के बारे में बहुत सारी जानकारी पोस्ट की।



यह "पढ़ना" बहुत अच्छा था, और सूची में "जेस्ट" के बिना लगभग 259 हजार एमडी 5 पासवर्ड हैश और "जेस्ट" के साथ 83 हजार हैशेड पासवर्ड थे, जो phpbb3 हैश एल्गोरिथ्म का उपयोग करके बनाए गए थे। हालांकि, यह एक नया और दुर्लभ एल्गोरिथम है, इसलिए हमारे अध्ययन में हमने पारंपरिक एमडी 5 हैश के साथ केवल पासवर्ड को क्रैक किया। हमने पासवर्ड को "ज़ेस्ट" के साथ विचार से बाहर रखा, क्योंकि उन्हें हैक करना बहुत समय लेने वाला कार्य है, और हमने वास्तव में इसका पता नहीं लगाया। इसलिए, हमने एमडी 5 पासवर्ड सूची पर ध्यान केंद्रित किया। इसलिए "जेस्ट" वाले पासवर्ड बहुत बेहतर रूप से सुरक्षित हैं, और कोई भी हैकर कुछ आसान से निपटना पसंद करेगा।

लेकिन मैं एक बार फिर इस बात पर जोर देना चाहता हूं कि अगर आप पर हमला किया जाता है और आपकी पासवर्ड सूची सामने आती है, तो भी आपको इसे "ठीक" करना होगा और हमले को एक गंभीर घटना के रूप में देखना होगा, क्योंकि बाद में हमलावर अपनी चोरी के परिणाम का फायदा उठा सकता है।

इसके बाद, हमने हैक किए गए वेबहोस्टिंगटॉक साइट के पासवर्ड की सूची देखी । एक या दो सप्ताह के लिए, हैकर ने ऑनलाइन पासवर्ड क्रैकिंग का उपयोग किया, लगभग 117 हजार खातों को क्रैक करने की कोशिश की। नतीजतन, वह 28,635 पासवर्ड प्राप्त करने में कामयाब रहा, जो कुल का 24% था। इसलिए परिणाम का विश्लेषण करने के बाद, हम कह सकते हैं कि एक शक्तिशाली ऑनलाइन हमले के परिणामस्वरूप, एक हैकर सभी उपलब्ध पासवर्डों के एक चौथाई से अधिक नहीं दरार करने का प्रबंधन करता है।

अगला मैं ऑनलाइन पासवर्ड क्रैकिंग की प्रभावशीलता की तुलना करूंगा। परिणाम http://www.hashkiller.com/ से लिए गए हैं, उनमें से अधिकांश जर्मनी पर लागू होते हैं। लेकिन बैबेल मछली बहुत बेहतर करती है - उनके पास न केवल अपना ऑनलाइन पासवर्ड क्रैकर फ़ोरम है, बल्कि वे अधिकांश अन्य क्रैकर समुदायों की प्रभावशीलता को भी ट्रैक करते हैं। आंकड़ों के अनुसार, ऑनलाइन हैकिंग की सफलता हैकर्स के लिए उपलब्ध सभी पासवर्डों के 20 से 40% तक है। MD5 हैकिंग टूल हैं जो कई साइटों से ऑनलाइन पासवर्ड हैश एकत्र करते हैं। उन्हें इस लिंक पर डाउनलोड किया जा सकता है: http://sourceforge.net/projects/md5-utils/ । वर्तमान में 33 साइटें हैं जहां इन उपयोगिताओं का उपयोग किया जा सकता है।

मैं आपको चेतावनी देना चाहता हूं कि गंभीर गोपनीयता समस्याएं हैं, क्योंकि अगर आपको लगता है कि जिन लोगों को आप पासवर्ड हैश भेजते हैं, वे उन्हें सिर्फ आपके संग्रह के लिए रखेंगे, तो आप बहुत भरोसेमंद व्यक्ति हैं।

आज पासवर्ड क्रैक करने के कई लोकप्रिय उपकरण हैं।



सबसे लोकप्रिय जॉन रिपर (जॉन द रिपर) है, यह मुफ्त सॉफ्टवेयर है, और मैं इसे सबसे पहले सुझाता हूं। लेकिन इसकी लोकप्रियता का मुख्य कारण, जिसके द्वारा यह भी भुगतान किए गए कार्यक्रमों से आगे है, खुले स्रोत कोड की उपलब्धता है। यदि आप पासवर्ड को क्रैक करना चाहते हैं, तो यह प्रोग्राम आपके इच्छित सभी चीजों का सामना करेगा। JtR में मेरा पसंदीदा विकल्प STDIN है । यदि आपको शुरुआती स्लाइड्स याद हैं, तो इस स्थिति में मुझे स्टेज 1 और 2 करने की आवश्यकता नहीं है, मैं अपना खुद का "अनुमान लगा" प्रोग्राम लिख सकता हूं, और फिर परिणाम को JtR में स्थानांतरित कर सकता हूं । और वह हैश को डिक्रिप्ट करेगा और पासवर्ड क्रैक करने की कोशिश करेगा। «», , , .

, . , , , , . , .

JtR Cain & Able ( ), . JtR , , , .

, JtR :

• 4 – 38% ;
• 1 – 62% ;
• 1 1 – 89%;
• 98% , 95% MD5 .

, . . , . DefCon , . , 95% MD5 , 2525 , , 2677 , . , .

, , 97%, . , , , . , .

«» , , , , 7,2 . 6% 1 % — , 51% . 5% , .

, . brute-force , . , . , , . , .

, , . , , . , – , brute-force . , «» . .

, Dictionary Attack , . « », , , , , 2 .

, Dictionary Attack . – «», , . , zibra123 , , zibra , . – , 123. , , .

, , , , .



, input-. , brute-force . « », 50-60 , . , , , , «» . , — 1 40.

25:15

:

DEFCON 17. 400 000 , , . भाग २


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश देकर या अपने मित्रों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg कैसे बनाएँ के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?