hotmail password crack (not a joke)

Pozdrav!

tak bom reko..prebral sem par zanimivih člankov kako uspešno crackati hotmail account (gmail, yahoo etc.) in trdijo da je to enostavno nemogoče. Med drugim so izpostavli dva ki jima je to uspelo (kao genija). Jaz pa bi rad vas povprašal, če vam je uspelo slučajno.

Ps; nena pišem zato, da bi odkril načine, zato NOČEM niti da napišete ime kakih programov ali opišete načine kako vam je uspelo, le zanima me ali se da ali ne.
Ps2: Govorim o načinu crackanja gesla nekoga, ki se še nikoli ni na vašem računalniku prijavil, torej da nebi moglo nikjer v domačem računalniku biti še zabeleženo to geslo.

Hvala,

Lp, Tadej

No jaz bom tako rekel, men so vdrli v moj gmail 2x in so uspesno spremenil geslo in je trajalo nekaj časa, da sem jih takrat nazaj dobil, pa nism mel nobenega trojanca, virusa, ne obiskujem čudnih strani..., prvic sem sam bil kriv, ker sem imel slabo geslo, drugič pa je bilo geslo že malo boljše pa jim je vseeno uspelo. Zdaj mam 19 mestno geslo z ciframi, velikimi in malimi črkami, pike pa taki znaki pa je ze 3 cca leta mir bogu hvala. Dobim pa na drugi mail ki ga imam pri operaterju in je določen mail za resetiranja passworda vsake toliko časa da je nekdo hotu resetirat geslo, torej nekaj se dogaja v tej smeri pomoje

Če ma človek enostavno geslo, ne predolgo bi lahko z bruteforce šlo, je pa dolgotrajen postopek.

Em, ne vem če. Za bruteforcanje potrebuješ dostop do baze oz. hash od nastavljenega gesla, nad katerim se lahko potem bruteforce zneseš. V primeru omenjenih Google/Hotmail/Yahoo spletnih emailov pa lahko poskušaš edino z vnašanjem gesla v za to namenjeno polje na strani, kar pa gre bistveno bistveno počasneje in je tudi s strani ponudnikov omejeno zaradi zaščite pred podobnimi napadi.

Aha, ok, ampak to se obnese samo, če je oseba res tako neumna, da za geslo uporablja kako ime/rojstni dan bližnjih ali kaj podobnega, obenem pa jo mora napadalec tudi osebno poznati in imeti dostop do omenjenih podatkov. Že povsem enostavno geslo, ki nima očitne povezave z lastnikom računa (npr. "traktor") pa je odporno na tak "napad".

Ampak to nikakor ni crackanje gesla, zgolj malenkost avtomatizirano ugibanje. Kakega dictionary attacka pa, ker nimaš hasha, ne moreš izvesti, kaj šele kakega bolj obsežnega bruteforce napada.

Berem par postov v tej temi in moram napisat par stvari.

Tudi pri brute force napadu (tudi na daljavo) že dolgo obstajajo programske rešitve, ki poleg golih matematičnih iteracij uporabljajo različne druge tehnike. Vedenjske raziskave v kombinaciji s statistiko, pa se pride daleč. Osebni podatki dan danes tudi niso več nobena skrivnost. Napadi z različnih lokacij in velikega števila računalnikov niso neka velika težava.

Torej...

Minimalno uporabljate gesla dolga 8 naključnih znakov, ki vsebujejo najmanj eno veliko, eno malo črko, eno številko in po možnosti še en poseben znak (procent, zvezdica, plus, itd.). Tako boste dosegli vsaj približno zadovoljivo entropijo gesla.

Nikoli ne uporabljajte besed iz slovarja, niti če povežete dve skupaj. Nikoli ne uporabljajte besed iz slovarja, ki imajo na koncu dodano eno samo številko. Pri različnih dostopih ne uporabljajte istih gesel. Res ne. Če pa že morate, močno(!) kompenzirajte s kompleksnostjo gesla. Ampak res, NE. Menjajte gesla vsake toliko časa.

Upoštevajte, da nikoli ne veste, kako je geslo shranjeno pri ponudniku storitve. Ja, v nekaterih primerih je to še vedno lahko navaden plain text. In ja, vdori se dogajajo. Forumi, webmaili in podobne storitve niso varne. Do vašega hasha / teksta gesla ima lahko dostop x ljudi, tudi če nikoli ne pride do vdora.

MadPanterjeva izkušnja ni osamljen primer.

Če bo kdo res tako moder, da bo za mail oz. forume uporabljal tako smešno lahko geslo, kot je "traktor", pa naj. Samo ne se jokat pol...

Če moreš udirat v sistem se obrni na uporabnika, človek je daleč najbolj šibka točka varnostnega mehanizma.
No, edina izjema so MS produkti.

Ne pokažejo se kar tako, če je nastavljen master password. V tem primeru bo Firefox ponovno vprašal za master passowrd, tudi če ga je uporabnik že prej vpisal (ko je recimo obiskal neko shranjeno stran, pol ure nazaj). Ampak ja, tako shranjevanje gesel ima pomanjkljivosti.

Gesla vam najdejo preko drugih programov. Točno tako ja. V firefoxu recimo ni bilo nastavljenega master passworda in potem se jih da prebrati preprosto ven iz tekstovnih datotek. Obstaja kar nekaj takih virusov.

Firewall zna pomagati proti "klicanju domov".

Outbound firewall na ravni procesa , ne porta :) ?

jaz sem si naštimal tako geslo da ga sedaj niti sam ne morem več uganiti

Bolj slednje, sploh glede na to, da prave hekerje prav malo briga mail naslov od nekega povprečneža. Jasno, froci z internetzom so pa nekaj drugega.