Ekspresowe łamanie haseł

348 miliardów kombinacji zgadywanych na sekundę — takim wynikiem może pochwalić się klaster komputerowy Jeremiego Gosneya, jednego z ekspertów ds. łamania haseł. Jego moc obliczeniowa pochodzi od 25 procesorów graficznych Radeon HD (10 kart 7970, 4 dwuprocesorowe 5970, 3 dwuprocesorowe 6990 i jeden akcelerator 5870), które współpracują dzięki opartej na Linuksie platformie Virtual OpenCL (VCL). W testach prędkości Gosney wykorzystywał oclHashcat-plus — szeroko dostępną aplikację do odzyskiwania haseł, która umożliwia przeprowadzanie ataków m.in. za pomocą metody słownikowej oraz brute-force.

Na rozszyfrowanie typowego, 8-znakowego hasła w firmie, które składa się z małych i wielkich liter, symboli i cyfr (w sumie 958 kombinacji), klaster potrzebuje maksymalnie pięć i pół godziny. Odgadnięcie 9-znakowego hasła zajmuje już ponad 500 godzin, a 10-znakowy ciąg to przeszkoda na ponad pięć i pół roku. Wyniki te dotyczą haseł NTLM — przestarzałego rozwiązania, które mimo implementacji w każdej współczesnej wersji Windows, od czasów Visty jest domyślnie wyłączone. Z kolei 14-znakowe hasło z Windows XP, wykorzystujące hashowanie LM, stanowiłoby problem przez zaledwie sześć minut.

W starciu z powszechnie stosowanymi algorytmami szyfrującymi, wydajność klastra zauważalnie spada. W przypadku haseł zakodowanych przy użyciu MD5 jest to ok. 180 mld kombinacji na sekundę, dla SHA1 wartość spada do ok. 63 mld, a dla SHA512crypt i bcrypt wyniki to odpowiednio 364 tys. i 71 tys. Maszyna jest jednak czterokrotnie szybsza niż poprzednia, która posłużyła Gosneyowi do odkodowania blisko 90 procent z 6,5 mln haseł użytkowników portalu LinkedIn.

© dobreprogramy

Komentarze

Jany   7 #1 10.12.2012 14:48

Fajny ^^

Jaahquubel_   8 #2 10.12.2012 14:49

"Maszyna jest jednak czterokrotnie szybsza niż poprzednia, która posłużyła Gosneyowi do odkodowania blisko 90 procent z 6,5 mln haseł użytkowników portalu LinkedIn."
O kwak! Weź tu miej konto na LinkedInie...

Samurai   11 #3 10.12.2012 14:50

O w mordę ;/

porterneon   4 #4 10.12.2012 14:52

Jezeli aplikacja blokuje konto uzytkownika na np 30s, po trzykrotnie nieudanej prubie logowania, to moc obliczeniowa tego kompa jest bezuzyteczna.

AndrzejG   6 #5 10.12.2012 14:52

10x 7970... Może wreszcie przestał by mi się przycinać saper i mahjong w wersji Modern UI :P

abbbik   6 #6 10.12.2012 14:55

10 + 4 + 3 + 1 nie równa się 25 fizycznych kart :/ ...szczegół, ale jednak.

Shaki81 MODERATOR BLOGA  18 #7 10.12.2012 14:55

Same karty graficzne to za mało a jaka jest reszta sprzętu? Bo zdjęcia w tym pdf'ie są, tylko jakiejś specyfikacji brak :(

  #8 10.12.2012 14:57

To kiepściutko 4xamd 5970 przetwarza 28 mialiarda haszy MD5 na sekundę http://blog.zorinaq.com/?e=42 więc 180 mln nie robi wrażenia

  #9 10.12.2012 14:57

@porterneon
Na linkin baza wyciekła i były to SHA1
Co innego gdy ktoś łamie hasło zdalnie

semtex   11 #10 10.12.2012 15:00

Spokojnie panowie, żeby na tym coś robić to trzeba mieć małą elektrownię atomową, rachunki za prąd skutecznie obronią nasze hasła :D

mikryb   1 #11 10.12.2012 15:01

@porterneon "Jezeli aplikacja blokuje konto uzytkownika na np 30s, po trzykrotnie nieudanej prubie logowania, to moc obliczeniowa tego kompa jest bezuzyteczna."
Do złamania hasła używa się jego zakodowanej wersji, którą trzeba jakoś wcześniej przechwycić. Kodujemy różne kombinacje i porównujemy z zakodowaną wersją prawdziwego hasła. Jak wersje zakodowane będą identyczne to złamaliśmy hasło.

  #12 10.12.2012 15:02

"Z kolei 14-znakowe hasło z Windows XP, wykorzystujące hashowanie LM, stanowiłoby problem przez zaledwie sześć minut"
Bitch please - jesli mamy dostęp do dysku to wystarczy np użyć Hirens Boot CD i kasujemy hasło - komp może wybić że hasło było wpisane źle czy coś a potem normalnie się włączy - testowanie na win XP/Vista/7

emanio1   3 #13 10.12.2012 15:03

@shaki81 nie jestem ppewny ale tutaj glownym atrybutem kompa jest agp wiec jesli mozna w ten sposob wkorzystac kart to wlasnie one odszyfrowuja dane. cos takiego jak w blenderze gdzie mozna wykorzystac procek do renderowania jak i odwrotnie. jednakze ,pewny nie jestem... pozdrawiam

dragonn   8 #14 10.12.2012 15:08

@porterneon nie masz pojęcia o czym mówisz, żadna tego typu aplikacja nie działa poprzez wpisywanie losowego hasła do jakiegoś okienka, nawet opóźnienie rzędu 0,1s jest za dużo, stanowczo za duże. Cokolwiek ma być rozszyfrowane jest najpierw rozbrajane na cześci i proste i wyciągane jest zaszyfrowany hash hasła i to jest łamane.

BasTekpew   3 #15 10.12.2012 15:09

@abbik tutaj chodzi o 25 procesorów graficznych bo hd5970 i hd6990 to karty z 2 procesorami, widać w artykule wkradł się błąd

Manyek   5 #16 10.12.2012 15:09

7kW of electricity

Heh, to "tylko" 7 000 Wat potrzeba do napędzenia takiej maszyny :P

  #17 10.12.2012 15:37

@Porterneon
Jeszcze tylko czekac, az ktos sie spyta jak to spiac w crossfire.

rradek   6 #18 10.12.2012 15:43

Chyba sobie takie coś zakupie

mir.on   4 #19 10.12.2012 15:48

Chyba już czas zmienić hasła na popularnych portalach jak Linkedin, Facebook na 9-cio i wyżej znakowe.

soanvig   7 #20 10.12.2012 15:59

Ludzie, jeśli mamy dostęp do sprzętu, na którym jest hasło do systemu, to zawsze da się coś zrobić - zresetować BIOS i tym samym hasło na BIOSa poprzez wyjęcie baterii. Zresetować hasło w Windowsie poprzez Linuxa lub bootowalne programy... Jak się ma dostęp do sprzętu to nic nie stanowi problemu. Tutaj chodzi o łamanie wirtualne.

redone   4 #21 10.12.2012 16:00

pff a ludzie sie smieja jak mowi im jak dlugie hasla mam :D

Krzysztof C.   3 #22 10.12.2012 16:06

soanvig dam Ci dostęp do mojego komputera, nieograniczony, proszę przebrnij przez True Crypta ;)

Napisałem kiedyś poradnik na forum dotyczący bezpiecznego zarządzania hasłami i nic od tamtej pory się nie zmieniło. Moc tej maszyny jest na zadowalającym poziomie w przypadku użycia solidnych słowników. Brute-force to ostateczność i to też w przypadku takim, że wiemy jak długie jest hasło.

Reasumując — długość hasła minimum 16 znaków, jak największy zakres znaków i manager haseł. Śpimy wtedy spokojnie.

WODZU   9 #23 10.12.2012 16:13

@porterneon
Żeby tylko więcej stron internetowych stosowało takie rozwiązanie...

supernovaGIZMO   5 #24 10.12.2012 16:40

Oto przykładowe mocne hasło

X#6r&*B0+q9^3$2c(%7

virusek_   4 #25 10.12.2012 16:43

@Dwiokus
Błąd w artykule, w oryginale jest 180 miliardów na sekundę (G/s), albo ktoś nie wie ze Giga to miliard a Mega to milion :)

Wilczeek   7 #26 10.12.2012 16:43

@BasTekpew
Faktycznie masz rację, chodziło o procesory graficzne, a nie akceleratory jako całość.

  #27 10.12.2012 16:52

Fajny! Ciekawe, czy gdybym łamał nim hasła to musiałbym wyłączyć grzejnik ;)

soanvig   7 #28 10.12.2012 17:22

@Krzysztof C.
Hasło można nawet najzwyczajniej w świecie w plikach zmienić. Nie znam się na tym, ale choćbyś miał niezłamywalne szyfrowanie, to ja nie mam zamiaru zgadywać twojego hasła, tylko je zwyczajnie zmienić, podstawiając w miejsce twojego moje, też zaszyfrowane tym samym algorytmem.

Humanoid   5 #29 10.12.2012 17:49

@soanvig | 10.12.2012 17:22
Przykładem może być podmiana linuksowego pliku /etc/shadow - jeśli się nie mylę.

aragorn9   5 #30 10.12.2012 18:22

@soanvig to nie jest takie proste. Jako webmaster mogę powiedzieć jak to wygląda z hasłami do stron. Oczywiście po pierwsze hasła sa zapisane w bazie danych nie w zwykłym tekstowym pliku dzięki czemu dostęp do takich danych jest ograniczony do osób które maja nadane prawa przez administratora. Teraz powiesz, no tak admin wejdzie i zmieni coś sobie. I ty pies pogrzebany, admin nic nie zrobi bo nie da rady. Z drugiej strony po co adminowi hasło jak ma i tak dostęp do wszystkich danych? Oczywiście nie może czegoś takiego wykorzystać bo jest to złamanie prawa. Wracając do hasła, przechowywanie haseł w czystej postaci jest zabronione i karane tak wiec podmiana zwykła nie wchodzi w grę. Hasło jest zaszyfrowane no ale ok widzimy, że jest program i może udać nam się je złamać, no i właśnie tutaj wkracza pojecie "soli". Jest to dodatkowy ciąg znaków tworzony przez algorytm często autorski programisty. Tak więc aby się zalogować poprawne musi być i hasło zaszyfrowane i sól.

  #31 10.12.2012 19:37

@soanvig: Ale jak masz TrueCrypta czy inne szyfrowanie dysku to nie zmienisz żadnego pliku z hasłami do systemu, bo nie masz dostępu do dysku póki nie rozszyfrujesz.

@aragorn9: Przechowywanie haseł w czystej postaci nie jest zabronione.

dragonn   8 #32 10.12.2012 20:29

@soanvig druga sprawa - złamanie hasła np. do kompa ma sens - dużo osób stosuje to samo hasło wszędzie - łamiąc hasło do systemu możesz uzyskać dostęp do FB, e-mail, itd, a złamanie hasła na te usługi jest dużo trudniejsze bo trzeba jakoś przechwycić hash hasła.

ra-v   7 #33 10.12.2012 20:42

@porterneon
*** Jezeli aplikacja blokuje konto uzytkownika na np 30s, po trzykrotnie nieudanej prubie logowania, to moc obliczeniowa tego kompa jest bezuzyteczna. ***
Prawie jak u mnie na domowym, 10s przerwy na każdą złą próbę logowania + poprzestawiane porty;-) Ale tylko przez to że jakieś barany-boty próbowały się 812 razy logować w 2 dni na mój PC. Gdyby miał proste hasło ciekawe co bym zastał na kompie.

@dragonn | 10.12.2012 15:08#14
*** Cokolwiek ma być rozszyfrowane jest najpierw rozbrajane na cześci i proste i wyciągane jest zaszyfrowany hash hasła i to jest łamane. ***
Tylko jak ten hasz wyciągnąć Już "łatwiej" chyba zrobić atak z wielu komputerów.

  #34 10.12.2012 22:34

Ja też uważam, że tylko menager haseł na USB (wyciągasz i mogą cię cmoknąć) i hasła tak jak u mnie przynajmniej 20-znakowe i możliwie jak największa ilość znaków,chociaż nie wszystkie strony obsługują znaki specjalne.

aptu   5 #35 10.12.2012 23:45

Dlaczego tak szybko wyciągnięto 90% haseł z 6.5mln bazy hashy LinkedIn? Bo większość ludzi to idioci dla których hasła typu "123456" lub "password" to szczyt tego co są w stanie zapamiętać.

Tutaj jest analiza 1.3mln odkodowanych haseł http://pastebin.com/5pjjgbMt

Do komentujących. News jest o maszynce do masowego łamania haseł gdy mamy dostęp do hashy tych haseł. To nie jest news o włamywaniu się do komputerów.

Azi   5 #36 11.12.2012 00:46

W newsie zabrakło słowa "teoria". Pewnie ma taką moc obliczeniową, tylko przykład jej wykorzystania jest do niczego.
Jaj zauważył porterneon, nijak to się nie ma do szybkości łamania pojedynczego hasła, wystarczy rozsądny tzw. "timeout", (15 minut?), po 3-5 próbach nieudanego zalogowania blokada i niech to robią xx lat - nie wpisuję cyfry, nie będę tego liczył bo to bez sensu - użytkownik, który założył hasło pewnie będzie dawno wąchał kwiatki od spodu. Jaki z tej wydajności sens? zapytajcie się sami siebie...

Azi   5 #37 11.12.2012 00:59

Sorki za komentarz za komentarzem, ale za aptu:
Wykradzenie hash-y do haseł to szukanie kluczy, które pozwalają dostać się do bazy tychże haseł, więc to nie to samo - w dużym uproszczeniu, ale jednak. Tak padła baza haseł LinkedIn-a, po prostu włam na serwer, ściągnięcie plików i późniejsza ich obróbka.
Pojedyncze hasło WPA-2 do wi-fi (załóżmy, że mamy 3 próby i 10 minut przerwy ;-) ) zajęłoby tyle, że do najlepszego McDrive nie zdążyliby dowozić towaru dla ekipy próbującej złamać hasło - prędzej hakerzy zdechliby z głodu ;D

Tak z przymrużeniem oka ;-)

  #38 11.12.2012 08:09

http://xkcd.com/936/

Polecam na temat mocy hasła

  #39 11.12.2012 08:12

10x 7970 w jednej obudowie , wie ktoś jaki zasilacz to ciągnie ? Bardzo fajna kopareczka bitcoinów by była.

  #40 11.12.2012 10:34

Zamiast tego, to wziałby się za kopanie Bitcoin, trochę by zarobił :D

  #41 11.12.2012 10:40

"Dwiokus (niezalogowany) | 10.12.2012 14:57 #8
To kiepściutko 4xamd 5970 przetwarza 28 mialiarda haszy MD5 na sekundę http://blog.zorinaq.com/?e=42 więc 180 mln nie robi wrażenia"

W artykule jest błąd. Klaster przetwarza 180 miliardów MD5, wartość jest podana w podlinkowanym PDFie.

Songokuu   11 #42 11.12.2012 10:48

Z tego wynika jedna bardzo ważna nauka - trzeba wymyślać "sprytne" hasła a nie "jechać" na 1234567890 na wszystkich kontach :P

Swoją drogą to muszę sprawdzić czy BugMeNot jeszcze działa, a może są podobne serwisy?

Axles   12 #43 11.12.2012 12:10

Trochę mała ta obudowa, chłodzenia zewnętrznego nie widać. czyżby zakup kart grafiki i rachunki za prąd spłukały pana Gosney i nie było kasy na obudowę i chłodzenie :P

Krzysztof C.   3 #44 11.12.2012 12:52

@ soanvig i inni myśliciele.

Sorry, że odpisuję z małym poślizgiem, ale już ktoś skutecznie to wyjaśnił. Nic nie podmienisz bo nie ma czego podmieniać.
Podobnie jak nie ma po co się jarać takimi newsami.

Bander zwierz   4 #45 11.12.2012 13:05

Wyznam, że nie całkiem rozumiem postękiwanie co poniektórych. Aplikacje do tworzenia i przechowywania haseł (np. KeePass) są bezpłatne, serwisy internetowe (np. LastPass) w sumie też, co więc szkodzi ustawiać hasła na maksymalnie dopuszczalną długość. Że np. 50 znaków starczy najwyżej na kilka najbliższych lat? A 1000 będzie dobrze?

Przykładowe hasło wygenerowane w KeePassX:
EGfmds}4yCe$.C:;8*m^aC>RE,a=Sn;XtFof.\jJLzGwO2YLWu9kJ7",z%g.+)07,,F:"4t!gV]h;c;KX@R{&xO??SzS'\kOfz/sDAA>;cj^n#bY%aevPh9AB=(IjGWS%aPg\0%?*8H9o~VaBOaA3nps?dqH5pl'UR1'R%1HVX7>&NSCj7|=f>oe]9zX}w8`ht:&V/D.k,i8G5t$(H9g5+48pVwDb$#&m?lJ9Ao~rYe1h&qCacH8SDvDc6+=R{JeepG"Gb?nIQQJW=W:erK,j:`?F7c]*N0nL[y;1RETjTPi=e/|+6OW|lS'd!UkLRQa%K;U0.6Lvr=YU7?Q5dJ+b;Hb&C~bCFmv8uV0d$z;A6qN[uAtxaW+b&E|jhSYsPdBapwhEdcZY.|F7a(H(yuH\d?Ze$+I!?\Lvl(>:.4UE/#gK0Gw9wdH`/{f)lDd42`l0r#)i8EOl1va5U3\Nxlcuolkwj/?y7SpI4)HQvZ*kUy6~(RL=cG8$0HNIf||53>IdHl2jK&2$)\m0JoXZ*"VNh!ZAH0?e{I?#;jZOo%"OM?bZAFZM@v+ogZI/y[X3krRbq;TSUh2.6:?iDYN%4Y(hV0OnDKM*AcS+6@QSrc(%[KX!`p9r4"=rlfn"Q.>01Ll[zM,C3d{+0Eb]sf$.?3kN;Zo+N$9}.VU$+Kmy|*K9SnC~]\t2^x*Ms|{X|fQBYVD+A;`IijzOZ;4?H+0QFTU}Dou{R3GZ3`ch,%*7~f'\E~fe$n';%\*/s.RMOdZoU9Ull]6l""`!GopZZ

Tylko który portal internetowy je zaakceptuje ;)
Toż to ponad 6,5 kilo Bitów...

Wilczeek   7 #46 11.12.2012 17:15

@pioruns1:
Faktycznie, poprawione.

  #47 11.12.2012 20:10

(..)Wyniki te dotyczą haseł NTLM — przestarzałego rozwiązania, które mimo implementacji w każdej współczesnej wersji Windows, od czasów Visty jest domyślnie wyłączone. (..)

haha dawno nie słyszałem takiej głupty :)

  #48 21.02.2013 12:01

0c6d8ecfad7503ac292d204fda3ab15c proszę o rozkodowanie za browara

  #49 26.08.2013 00:42

@soanvig: mozesz pomóc mi złamać hasło na skype?

dzikiwiepsz   8 #50 26.02.2014 22:46

WoW ile ten komputer ma kart graficznych aż 8 to dość dużo

sebacalka   2 #51 27.02.2014 12:09

karty graficzne? co one w tym robią? spodziewałem się np. 10 rdzeniowego procesora lub coś takiego, ale karty graficzne?

Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.