PC Pro - Vse od prihoda programljivih grafičnih procesorjev (GPGPU) poslušamo, da so uporabni za reševanje problemov, za katere so centralni procesorji prepočasni. Že pred tremi leti so se začeli pojavljati superračunalniki, ki izkoriščajo tudi moč grafičnih procesorjev, opazne pohitritve pa z GPGPU dosežemo tudi na namiznih računalnikih. Eno izmed početij, ki jih opazno pospešijo, je razbijanje gesel.
Jon Honeyball s PC Pro je uporabil grafično kartico Radeon 5770 in brezplačni program ighashgpu za razbijanje gesel z grobo silo (brute-force) z GPU-jem in Cain & Abel za uporabo CPU-ja. Ugotovil je, da je prijavno geslo za NTLM, ki sestoji iz šestih znakov (male in velike črke ter številke), moč zlomiti v vsega štirih sekundah na grafičnem procesorju, medtem ko CPU porabi poldrugo uro. Jasno, kompleksnost problema povečamo z daljšanjem gesla in vključevanjem več posebnih znakov. Devetmestno geslo vzame 43 let na CPU-ju in zgolj 48 ur na GPU-ju, s paralelizacijo pa še dosti manj.
Problem je seveda trivialno rešljiv z daljšanjem gesel, a tu hitro trčimo na neprilagodljivost človeškega uma. Kdor bi od zaposlenih zahteval, da uporabljajo 20-mestna gesla, ki vsebujejo velike in male črke, številke, posebne znake in ločila, bi tvegal, da bodo gesla visela z raznoraznih listkov na monitorjih. In s tem praktično nismo storili ničesar za dvig varnosti.
Ja no, sej vohljač NE VE kakšne znake vse uporabljaš. Lahko sicer proba srečo, pa ne vključuje posebnih znakov/ločil/ipd., temveč samo črke in številke in morda nikoli ne bo odkril gesla. Dovolj je že pika za geslom npr.
Za vsa gesla npr. uporabljaš eno pravilo v smislu 5. znak je ločilo klicaj, 10. pa "lojtra", neglede na preostale znake oz. dolžino. Pa je že bolj kompleksno geslo in precej izboljša varnost.
Sploh pa problem, ker dodajajo še dodatne grafične pod sli, CF, več CPUjev. Pač ne bomo logirani 24ur na dan in po 365 dni v letu, keš ven z neta, če je kaj vezano gor pa bo.
Ja, ampak nekaj tisočkraten. Večina ni pripravljena na kaj takega, "popravilo" tega pa zna trajati kaj precej časa.
Zakaj ? Valjda ne boš izzival usode s prekratkim ključem. In ker ti že dva znaka prineseta več kot teh 1000x, to pomeni, da si se šel zaj* z noro kratkimi passwordi.
Za password valjda uporabiš tako dolg ključ, da ti o tem ni treba razmišljat.
Tole je že malce out of date... avtor programov Passwords Pro in Inside Pro (http://insidepro.com) je že cca. 2-3 leti nazaj pripravil program za razbijanje gesel s pomočjo grafičnih kartic.
Kaj pri grafičnih je pa treba gledat da je čim hitrejše? Kakšno grafično ki je x2 (ima dva GPU - primer ATI Radeon™ HD 4870 X2) ali kakšno novejšo boljšo zmogljivejšo grafično? lep pozdrav
Kako dolgo bo potem še varen AES, z 256-bitnimi ključi? Najbolj varno bi bilo odkriti strong encryption s poljubno dolgimi ključi. Saj imamo že napol zastojn TB+ diske, kaj je par gigabajtov za enkripcijski ključ?
NTLM?!? Are you kidding??? NTLM je staro jajce, ki uporablja res zanič algoritme in je zato deprecated/odsvetovan za uporabo.
Implementers should be aware that NTLM does not support any recent cryptographic methods, such as AES or SHA-256. It uses cyclic redundancy check (CRC) or message digest algorithms (RFC1321) for integrity, and it uses RC4 for encryption. Deriving a key from a password is as specified in RFC1320 and FIPS46-2. Therefore, applications are generally advised not to use NTLM.[6]
Human stupidity is not convergent, it has no limit!
Js uporabljam 10-12 mestna gesla za "zajebane" stvari. Sicer pa redno uporabljam tudi 20mestna gesla, vendar zelo poredko...
That sentence makes a lot of sense.
Sori. Želel sem reči, da za mail like ipd uporabljam 10-12mestne kode. Za elektronsko bančništvo pa 20mestno (+ "time key generator" al žeton po domače...) Forumi ipd. uporabljam krajše kode...
Prvo se posnifa WPA handshake, kar se da narediti povsem pasivno. In ko imaš ta handshake, pa lahko na njemu v miru dela bruteforce
V miru ja..kok tisoc let? :p
Ne resno pri wpa je trenutno dovolj 10 random crk/stevilk, kar je vec tok bolje. Sicer pa bi se za to rabu vsaj 100 da ne recem raje 1000 ali pa celo 10000 high end gpujev da bi skrekal v normalnem casu.
Prvo se posnifa WPA handshake, kar se da narediti povsem pasivno. In ko imaš ta handshake, pa lahko na njemu v miru dela bruteforce
V miru ja..kok tisoc let? :p
Ne resno pri wpa je trenutno dovolj 10 random crk/stevilk, kar je vec tok bolje. Sicer pa bi se za to rabu vsaj 100 da ne recem raje 1000 ali pa celo 10000 high end gpujev da bi skrekal v normalnem casu.
Kolko uporabnikov pa poznas da daje random gesla ? Večinoma folk daje za geslo neko besedo ali par besed + doda neke dobro poznane modifikacije in se s tem počuti varno. No pri brutforcanju 50K gesel na sekundo ali 180M gesel na uro vidiš, da vse kar ma za osnovo neko slovarsko besedo + modifikacije ni kaj prida varno.
1700 miljonov hashev na sekundo. (generiranje in preverjanje) Razlika (GPU-CPU) je pri md5 hashih manj očitna kot pri NTML hashih, zaradi samega algoritma.
To so GPU pravljice, še sploh pa razbiti geslo z brute force, to je še pravljica. Mogoče lahko razbiješ geslo ki je sestavljeno iz dveh delov kot na starih loginih. Bolj vprašanje software in hardware, kot gpu ali cpu.
To so GPU pravljice, še sploh pa razbiti geslo z brute force, to je še pravljica. Mogoče lahko razbiješ geslo ki je sestavljeno iz dveh delov kot na starih loginih. Bolj vprašanje software in hardware, kot gpu ali cpu.
Na svojem ubogem mlinčku lahko md5 hash 6-mestnega gesla (velike, male črke, številke) "razbijem" v 6 min. (150 Mhash/sec).
