Vlákno názorů k článku SuperGenPass: neukládejte si hesla, generujte je od Smokie - Pred par mesiacmi bol tu, alebo inde clanok...
-
Smokie (neregistrovaný)
Pred par mesiacmi bol tu, alebo inde clanok o tom, ze je vyhodne mat dlhe hesla, aj ked jednoduche (napriklad vety), pretoze ich velka sila spociva v ich velkej dlzke.
Tak v com je heslo "ytA0NbYJKX" silnejsie ako "kyticka.www.root.cz"? Mne automaticky pripada ako silnejsie a bezpecnejsie to dlhsie, povodne v nehashovanej verzii.
-
bubu (neregistrovaný)
nie je, pretože slovníkový útok len ťažko môže skúšať kombinácie slov, ešte snáď pár najpoužívanejších, ale aj tam nevie, či sú slová oddelené medzerami, niečim iným alebo neoddelené, či sa veta začína veľkým písmeno, atď, atď.
U niektorých diskutérov mám pocit, že si myslia, že slovníkový útok bude také heslo odhaľovať slovo po slove. Takže pre nich: jedinou metódou by bolo vygenerovať zo slovníka (napr. pol milióna slov) všetky ich kombinácie a tie potom skúšať, s medzerami aj bez nich, s podčiarnikmi, pomlčkami..., pričom jedna kombinácia = jeden samostatný pokus. Počítač totiž nepovie "dve slová už máš správne". Alebo nakŕmiť ten slovník popri slovách aj pár používanými kombináciami slov. Prvé bude strašne pomalé a pridanie jedného cudzieho slova do vety to ešte úžasne skomplikuje, druhé bude len o 0,0000000000001% účinnejšie než skúsiť na to viacslovné heslo útočiť obyčajným slovníkom.
Ospravedlňujem sa všetkým, ktorým sú tieto triviálnosti jasné.
-
KapitánRUM (neregistrovaný)
2 DgBd
Ty se nějak vyznáš Božínku, docela mě překvapuje, že tyhle názvy sypeš z rukávu :-P2 Vít Šesták (v6ak)
Používat na webové aplikace slovníkový útok je konina, si to někdy vyzkoušej, i když použiješ bot-net o 1000 strojích, tak hádat hesla o 7-ti znacích je Hollywood. Viz: KytickaPro dutohlávky:
Standardní nastavení Apache nedokáže obsloužit naráz zrovna moc klientů, takže nemá smysl nechávat útočit bot-net větší než 300. Na větších serverech to začne zabíjet DDOS nebo IDS. Servery velkých poskytovatelů mají nastavené IDS tak, že nechají první 100 pokusů a dalších 100 pokusů můžeš udělat až za 24 hodin.A co chceš nastavit?
7 znaků, musíš zahrnout 0-9,a-z,A-Z,běžné symboly _- a diakritiku.
Tak si spočítej počet kombinací pro sedm znaků.A násob to dál o prefixy:
www.root.cz
.root.cz
root.cz
rootcz
wwwroootcz
rootcz
wwwroot
rootA ještě jednou to vynásob o stejný počet sufixů (jestli víš, co to je).
A ještě jednou o kombinaci prefixu a sufixu.
A znova, protože ten člověk nedává www.root.cz ale www.root.cz1.To v té aplikaci budu 100x rychleji, když si počkám na zveřejnění bezpečnostní džuzny (prodleva zveřejnění-oprava), nebo když nějakou sám najdu.
Takže, se prosím raději dál věnuj baletu.
-
Hlavně jsem chtěl říct, že přidáním ".root.cz" se až tak moc bezpečnost hesla nezvýší, dokonce možná by přidání jednoho náhodného znaku na začátek nebo na konec pomohlo více. Obtížná proveditelnost bruteforce (ať už slovníkoveho, či jiného) na mnohé servery je věc druhá. Pak by ale měla byť relativně v bezpečí i celkem slabá hesla.
-
KapitánRUM (neregistrovaný)
A proto hromada uživatelů žije spokojeným životem s heslem "prdel", "prdelka", "hovno", "cacora", "cacorka", "hanicka", "janicka" nebo "Pepa".
App, nedávno to někdo ZNOVU zkoušel.Vzal bot-net o 1000 strojích, seznam e-mailových schránek jednoho poskytovatele a seznam 100 nejpoužívanějších hesel, točil méně než 20 hesel/den, aby nespustil IDS.
Úspěšnost byla až ZNEPOKOJIVĚ vysoká !!!!
Jinak s heslem o 7-8 znacích, kde je alespoň jedno číslo, můžeš žít celkem dlouho.Jen tak pro pobavení:
http://www.security-portal.cz/clanky/50-nejpou%C5%BE%C3%ADvan%C4%9Bj%C5%A1%C3%ADch-hesel-pro-web-v-%C4%8Dr
http://paul27.ic.cz/?p=13
http://www.freerainbowtables.com/phpBB3/viewtopic.php?f=2&t=1502&start=855 -
KapitánRUM (neregistrovaný)
Pár slov o IDS:
Někteří poskytovatelé mají nastavené IDS tak, že systém prvních X hesel skutečně ověří, pak se IDS aktivuje a systém už neověří ani platné heslo, i když se tváří, že ověřuje jako vzteklý. Takže se nedá poznat, jestli se jen rochníte v bahně, nebo skutečně něco lovíte. IDS může být nastavený na účet, cookie, IP nebo kombinaci všeho. A pokud IDSku už jednou spadnete do seznamu, dá si na Vás "víc pozor". To ovšem záleží jen na konkrétní implementaci IDS.Existují dva opravdu efektivní postupy IDS.
A) kdy se dál tváří, že ověřuje, ale neověřuje (Předpokládá se, že pokud normální člověk zkusí padesát hesel, unaví se a zkusí to nejdříve zítra, nebo zavolá na technickou podporu, takže 50 až 100 pokusů jako limit IDS je BOHATÁ rezerva, ostatně kdo si pamatuje 50 hesel, které by mohl zkusit?)B) kdy IDS od určité doby začne házet success, tj. že se Vám to povedlo, jenže když to zkusíte, dostanete se do "fiktivního" účtu. Pokud se Vám vrací success pro každé heslo a je to dobře udělané, musíte to zkontrolovat osobně a je to taky konec.
Jiný případ jsou třeba herní účty, kde se dají hesla ověřovat opravdu hromadně a provozovatel se s IDS neobtěžoval, tam Vám botnet o 1000 strojích celkem pomůže. Nicméně "ukradené" herní předměty budou stejně zabaveny a "závadné" účty smazány.
Doplním, že i jen trochu dobré IDS samozřejmě pozná slovníkový i brute force útok jako AAA, AAB, AAC, AAD, AAE...
-
> Jiný případ jsou třeba herní účty, kde se dají hesla ověřovat opravdu hromadně
> a provozovatel se s IDS neobtěžoval, tam Vám botnet o 1000 strojích celkem
> pomůže. Nicméně "ukradené" herní předměty budou stejně zabaveny a "závadné"
> účty smazány.Proto se veci z vykradenych uctu co nejrychleji vymeni na aukci za zloto, ktere se nasledne proda za skutecne penize.
-
piCZa (neregistrovaný)
Vase polemika neresi pripad tiche kradeze hashovane db hesel a nsledneho hledani hesel k hashum ve sve rezii.
Ono totiz proflaknuti kompromitace je vlastne znehodnoceni ukradenych dat. Proto pochybuji, ze kdyz nekdo dela brute force nebo slovnikovou variantu takoveho utoku, ji dela primo oproti sluzbe na kterou utoci.
-
Přesně tak, uhádnout heslo tímto způsobem je prakticky nemožné, viz: http://www.cleverandsmart.cz/lamani-hesel-on-line-utok/.
-
Navic by se asi dalo ocekavat, ze vetsina utoku na Internetu se deje s predpokladem, ze heslo bude anglicky nebo v jinem dostatecne proflaknutem jazyce. Pouziti cestiny a slovenstiny, eventuelne v kombinaci s nejakym jinym jazykem, nejspis znacne zvysuje bezpecnost hesel. Navic, sklonovani ve slovanskych jazycich zpusobi, ze kazde slovo se v utocnikove slovniku stane hned celou sbirkou tvaru, s a bez diakritiky a utocnikuv slovnik vesele bobtna. A to jeste treba utocnik nemuze vedet, jestli jsem se treba nerozhodl psat s diakritikou, ale bojkotovat "é" a psat "e".
Zajimalo by mne, jestli vubec existuje slovnik realne pouzitelny k utokum proti ceskym a slovenskym heslum.
-
Proč je bezpečnější?
Jestli je to delší - ale zase je to pravidelnější, může využít bigramy a různé pravděpodobnostní znaky. A i hash lze pro dnešní účely vyrobit dostatečně dlouhý (třeba SHA512 a kódování aspoň base64). Kdyby byl hash příliš krátký, z principu by kolize šly počítat snadno a i hashovací funkce jako taková by nebyla bezpečná.
Při útoku hrubou silou nebo slovníkem ale nemůže být zahashovaná verze bezpečnější nebo ne o moc (ledaže by s tím útočník nepočítal). vždy totiž mohu dělat útok srubou silou a zakončit to hashem. Jeden náhodný znak nakonec by heslo proti tomuto útoku zřejmě zabezpečil lépe než hash na konci.
Zatím zahashovaná a nezahashovaná hesla vycházejí zhruba nastejno, jen u zahashovaných hesel je menší pravděpodobnost, že by s tím útočník počítal.
Při útoku ze strany poskytovatele ale jasně vítězí v bezpečnosti zahashovaná hesla, pokud přidáváme doménu. Řekněme, že by root.cz chtěl moje heslo zneužít pro přihlášení ke Google. Z kyticka.root.cz by viděl, že asi má použít kyticka.google.com, kyticka.mail.google.com, kyticka.docs.google.com nebo něco takového. Možností zas až tolik není. Pokud ale uvidí c9238f28af458b8d3cb9cfbcc1f8b399, těžko si z toho odvodí 789893b9f74d3a0f9d1d4788c1b2b494, ec6b55754312ecf27bcbbfcc47d50e1b nebo 8af1185fe85f2be0c3f48afb2f78d942. Zde používám MD5, kdo chce, může použít třeba zmíněné SHA512. Pak z toho budou obludnosti jako
aee4b4193725be549dde892cd1935cd830094da84aa5c903cbbb5f072f191a3bc0e6508f2f19f04477438a2b54015deeb3a36601c6b1ce19f39a57734d0c8362, ale princip bude stále stejný.Kdo by nazážel na maximální délku hesla, může zkusit třeba base64 nebo nějaký větší kalibr. Není problém vymyslet baseXXX, kde XXX je počet prvků množiny všech povolených znaků.
-
Karel (neregistrovaný)
Miliardy, to je dost málo. Každopádně zde několika lidem uniká princip slovníkového útoku. On se prakticky ničím neliší od útoku "obvyklého". Při obvyklém útoku si řeknete, že budete zkoušet všechna hesla obsahující 1 až 10 znaků z množiny "01234...AZ!@#$%^&*_" apod. Při omezení na ASCII to dává 128-32=96 znaků. Při délce 10 to pak znamená 96^10 kombinací. 66*10^18.
Slovníkový útok funguje obdobně. Budu zkoušet všechny kombinace typu ABABA. Kde A je jedno ze slov ve slovníku a B je jeden ze znaků [žádný znak + ASCII]. Pokud slovník má 10000 slov, pak počet kombinací je 10000^3 * 97^2. 94*10^14. Tedy o dost slabší. A to se bavíme o slovníku s 10000 slovy, což je kupříkladu na angličtinu úctyhodný počet a i v češtině by to přes všechno to skloňování dalo zabrat. Přeci jen se bavíme o 10000 slovech, což při 5 znacích na slovo je 50 tisíc znaků, neboli 25 normostran textu. A to jsme se ještě nedostali ke kombinacím slovníků, kdy budu přepokládat formát ABC, kde C bude slovník webových domén druhého řádu, kde každou uvedu i v kopii s "www.".
Nepodceňujte slovníkové útoky a nepřeceňujte hesla v podobě lidsky čitelných vět. Naivní věty typu "Ema má mámu" jsou silou na úrovni hesel "pepa1". Když už, tak ať je věta dlouhá a sekněte tam nějakou chybu (Ema má mmámu).
-
bubu (neregistrovaný)
Aj pridanie domény, ku ktorej heslo patrí, bezpečnosť zvyšuje, pretože ten stroj, ktorý útok povedie, o tom nebude vedieť. Ty stále vychádzaš z predpokladu, že niekto uhádne tvoju úvahu. Lenže to sa prakticky nedá. Normálny útok skrátka bude skúšať najprv najkratšie kombinácie písmen (či už slovníkové alebo všetky), potom bude skúšať dlhšie a dlhšie. Úvaha, že možno je v tom aj názov domény, príliš nepomôže, pretože stroj netuší, aké dlhé bude to ďalšie slovo, netuší v akom tvare je tam tá doména pridaná (môžem dať vvv.koreň.česko, je vcelku jednoduché si stvoriť pravidlo, ktoré nie je ťažké dodržať u každej domény, napr. cz-root-vévévé alebo 3dabljú). Stroj nevie, či som tú doménu pridal pred slovo, po slove alebo medzi dve slová a najmä, nemá nijakú istotu, že som použil práve doménu a nie trebárs dátum narodenia alebo meno manželky.
Týchto pár jednoduchých úvah ukazuje, že je je asi plytvaním času skúšať trebárs pridanie tej domény či čokoľvek iné a útok sa začne celkom štandardne atam platí, že čím dlhšie heslo, tým bezpečenejšie, vrátane toho "Ema má mamu". Výnimkou môže byť situácia, keď obeť osobne poznám, ale ani vtedy to nebude ľahké. Plus môže byť výhodné skúsiť nejakú databázu najčastejšie používaných hesiel.
-
Pokud na rootu se stejnou (řekněme) pravděpodobností budu k heslu přidávat .root.cz jako .mail.google.com, .is.muni.cz a další, pak lze tu doménu skutečně považovat za část hesla. Pokud ale budu v různých podobách přidávat jen .root.cz nebo .www.root.cz, pak heslo zesiluji spíš jen o tu podobu. Pokud by se něco takového stalo běžnou praktikou, útočník by přece toho mohl využít. Řekněme, že by bylo deset často používaných podob, připojovaly by se na začátek i na konec a byly by s "www." i bez. Celkem bych měl 40 možností. Pokud ale vezmu náhodně nějaký alfanumerický znak anglické abecedy, mám 2*26+10=62 možností. Pro většinu uživatelů tedy bude z tohoto hlediska dlouhodobě výhodnější přidat jeden náhodný znak (nebo pro jistotu dva), protože ten zesílí heslo více. Ačkoli je to kratší, je zde menší předvídatelnost, tak to může zlepšit bezpečnost hesla více.
-
bubu. (neregistrovaný)
Ale stále to platí len v prípade, že by sa to pridávanie domény stalo pravidlom, čo sa nestane. Podobných pravidiel si totiž užívatelia vymyslia tisíce. Nemá teda zmysel začať testovať kombináciu slovník + www.root.cz (+ najbežnejšie obmeny toho root.cz) aby sa nakoniec ukázalo, že to heslo bolo abc123. Jednoducho, pokiaľ neviem aké dlhé je to heslo, nemá zmysel začínať dlhými kombináciami namiesto tých najkratších. Opakujem, aj použitie domény má desiatky obmien, z ktorých nie všetky musia útočníka vôbec napadnúť a existuje plno ďalších podobných fínt ako si uľahčiť pamätanie hesiel (pridať do hesla login, dvakrát login, login s nejakým prefixom, pridávanie svojho mena, dátumu narodenia, prezývky...). Útočník nemá odkiaľ vedieť, ktorú z týchto fínt (a či vôbec nejakú) používam. K tomu loginu ešte dodám, že tie ozaj dôležité servery blokujú zapamätanie si loginu browserom a chcem veriť, že ho majú uložený v šifrovanej podobe.
Ale moja pôvodná reakcia sa týkala ani nie tak požitia domény v hesle ako celkovej využiteľnosti zapamäteľnej vety. A tam si myslím, že je bezpečnosť vďaka dĺžke tej vety vždy lepšia ako bezpečnosť nejakého bubu248bubu, napriek tomu, že obsahuje bežné slová.
-
VfB (neregistrovaný)
zejména na českých webech bych namísto češtiny (kterou tam každý očekává) použil jiný jazyk, například korejštinu, ruštinu nebo japonštinu (které mají ještě tu výhodu, že nepoužívají "dafeultně" latinku, se kterou neasijští hackeři pracují xD navíc takové heslo má tu výhodu, že takové heslo, si můžete napsat nebo vytisknout na papírek někde k monitoru a heslo je i tak poměrně bezpečné (písmenka, které neznáte se nejen špatně pamatují ale i velice komplikovaně zadávají na klávesnici)
