Password CrackerJak prolomit/uhodnout heslo

Prolamování hesel je jednou z nejstarších disciplín v útočné bezpečnosti, přesto zůstává stejně relevantní jako kdykoli předtím, protože uživatelé si i nadále vybírají předvídatelné tajné kódy. V tomto tutoriálu si představíme běžné techniky, které útočníci používají k obnovení hesel, nástroje, které tuto práci automatizují, a protiopatření, která mohou administrátoři nasadit k ochraně systémů před těmito útoky.

Co je to prolomení hesel?

Prolomení hesla je proces pokusu o získání neoprávněného přístupu k omezenému systému obnovením tajného klíče, který chrání ověřovací mechanismus. Proces prolomení může zahrnovat porovnávání uložených hashů hesel s předem vypočítaným seznamem slov nebo spouštění algoritmů, které generují kandidátní hesla, dokud není nalezena shoda. Jakmile je shoda nalezena, může se útočník ověřit jako legitimní uživatel, aniž by musel hádat online.

Co je to síla hesla?

Síla hesla je měřítkem účinnosti hesla v odolávání útokům proti prolomení hesla. Síla jakéhokoli hesla je určena třemi vlastnostmi:

• Délka: celkový počet znaků, které heslo obsahuje.
• Složitost: zda používá kombinaci velkých písmen, malých písmen, číslic a symbolů.
• Nepředvídatelnost: zda útočník, který uživatele zná, dokáže heslo snadno uhodnout.

Porovnejme tři hesla: heslo, password1, a #heslo1$V tomto příkladu použijeme indikátor síly hesla v cPanelu. Obrázky níže ukazují sílu každého kandidáta.

Poznámka: použité heslo je heslo; síla je 1, což je velmi slabá.

Poznámka: použité heslo je password1; síla je 28, což je stále slabé.

Poznámka: použité heslo je #heslo1$; úroveň zabezpečení je 60, což je silné. Čím vyšší číslo zabezpečení, tím lepší heslo.

Předpokládejme nyní, že musíme ukládat stejná hesla pomocí MD5 hashování. Použijeme online generátor MD5 hashů k převodu každého hesla na jeho hash hodnotu. Níže uvedená tabulka ukazuje výsledné hashování.

Heslo	Hash MD5	Indikátor síly cPanelu
heslo	5f4dcc3b5aa765d61d8327deb882cf99	1
password1	7c6a180b36896a0a8c02787eeafb0e4c	28
#heslo1$	29e08fb7103c327d68327f23d8d9256c	60

Nyní použijeme veřejný web pro zpětné vyhledávání MD5 k prolomení výše uvedených hashů. Obrázky níže ukazují výsledky prolomení hesla pro každou hodnotu.

Jak je vidět z výše uvedených výsledků, podařilo se nám prolomit první a druhé heslo, které měly nižší čísla síly. Nepodařilo se nám prolomit třetí heslo, které bylo delší, složitější a nepředvídatelnější. Mělo také vyšší číslo síly.

Techniky prolomení hesel

Existuje několik osvědčených technik, které útočníci používají k obnovení hesel. Níže popíšeme nejčastěji používané kategorie.

• Útok na slovník: Tato metoda používá seznam pravděpodobných kandidátů a každý z nich porovnává se zachycenými uživatelskými hesly nebo hashy hesel.
• Útok hrubou silou: Útoky hrubou silou kombinují alfanumerické znaky a symboly pomocí algoritmů k systematickému generování všech možných hesel, dokud není nalezena shoda. Například heslo jako heslo lze také vyzkoušet jako slovo pomocí hybridního pravidla hrubé síly.
• Útok na duhový stůl: Tato metoda se spoléhá na předem vypočítané haše. Předpokládejme, že databáze ukládá hesla jako MD5 haše. Útočník vytvoří další tabulku, která ukládá MD5 haše běžných hesel a porovná zachycený haš s předem vypočítanou tabulkou. Pokud je nalezena shoda, heslo je obnoveno.
• Hádat: Jak název napovídá, tato metoda zahrnuje hádání. Hesla jako například QWERTY, heslo, a administrátor se běžně používají nebo jsou nastaveny jako výchozí. Pokud nebyly změněny, mohou být rychle ohroženy.
• Pavouci: Většina organizací používá hesla, která obsahují firemní informace. Tyto informace lze získat z firemních webových stránek a sociálních médií, jako je Facebook a Twitter. Spidering shromažďuje data z těchto zdrojů za účelem vytváření cílených seznamů slov, které se poté používají při slovníkových a hrubých silových útocích.
• Náplň pověření: Útočníci přehrávají dvojice uživatelských jmen a hesel uniklé z jednoho úniku proti nesouvisejícím službám a zneužívají uživatele, kteří opakovaně používají přihlašovací údaje.

Podrobný seznam slov pro fiktivní společnost by mohl kombinovat: 1976 (rok narození zakladatele); smith, jones (příjmení); acme (název společnosti); built, to, last (klíčová slova vize); golf, šachy, fotbal (koníčky).

Níže uvedená tabulka porovnává techniky podle rychlosti, předpokladů a detekovatelnosti.

Technika	Rychlost	Vyžaduje hash?	Detekovatelné online?
Slovník	rychlý	volitelný	Ano
Hrubou silou	Pomalu	volitelný	Ano
Duhový stůl	Velmi rychlá	Ano	Ne (offline)
Hádej	Proměnlivý	Ne	Ano
Pavouk	Pomalu	Ne	Ano
Pověřovací nádivka	rychlý	Ne	Ano

Password Cracker Tools

Nástroje pro prolomení hesel jsou softwarové programy, které automatizují výše popsané techniky. Jeden takový nástroj jsme již zmínili v příkladu síly, kde veřejné vyhledávání MD5 používá duhovou tabulku k obrácení běžných hashů. Nyní se podíváme na další nástroje, na které se odborníci spoléhají při autorizovaných hodnoceních.

1) John the Ripper
John the Ripper Používá příkazový řádek a přijímá seznamy slov s pravidly pro generování kandidátů. Automaticky detekuje mnoho běžných formátů hash. Program je zdarma, zatímco kurátorované komerční seznamy slov jsou k dispozici samostatně. Navštivte https://www.openwall.com/john/.

2) Cain & Abel
Cain & Abel běží na Windows a obnovuje uživatelská hesla, provádí síťové sniffing a další. Jeho grafické rozhraní ho činí oblíbeným u nováčků. Nástroj není aktivně udržován od roku 2014, proto jej používejte pouze na starších laboratorních systémech. Viz https://sectools.org/tool/cain/.

3) Ophcrack
Ophcrack je křížová platforma Windows program na prolomení hesel, který používá duhové tabulky. Běží na Windows, Linux a macOSa obsahuje modul hrubé síly. Navštivte https://ophcrack.sourceforge.io/.

4) Hashcat
Hashcat je moderní standard pro offline obnovu hesel. Podporuje více než 300 hashovacích algoritmů, využívá akceleraci GPU a nabízí útoky založené na pravidlech. Dokumentace je k dispozici na https://hashcat.net/hashcat/.

5) Hydra
Hydra (THC-Hydra) cílí na online služby, jako jsou přihlašovací formuláře SSH, FTP, RDP a HTTP. Dodává se s Kali Linux a je široce používán v autorizovaných operacích červeného týmu.

Jak se chránit před útoky na prolomení hesla?

Organizace může použít následující opatření ke snížení pravděpodobnosti prolomení hesel:

• Požadujte minimálně 12 znaků a vyhněte se předvídatelným vzorům, jako je 11552266 nebo qwerty1234.
• Hesla ukládejte pomocí pomalé jednosměrné hašovací funkce, jako je bcrypt, scrypt nebo Argon2, spíše než pomocí rychlých hashů, jako je MD5 nebo SHA-1.
• Solí každé heslo před hashováním; soli brání vyhledávání v duhové tabulce, i když je samotný hash rychlý.
• Přijměte zásady pro hesla, které upřednostňují vysoké skóre síly a podporují přístupové fráze, jak doporučuje NIST SP 800-63B.
• Povolte vícefaktorové ověřování (MFA), aby samotné odcizené heslo neumožňovalo přístup.
• Použijte správce hesel k vygenerování jedinečných přihlašovacích údajů pro každou službu a neutralizujte tak útoky typu „credentials stuffing“.
• Nakonfigurujte uzamčení účtů, omezení a nepřetržité monitorování pro včasnou detekci online aktivity hrubé síly.

Hacking Activity: Hack Now!

V tomto praktickém scénáři se chystáme prolomit Windows účet, který používá jednoduché heslo. Windows ukládá lokální přihlašovací údaje jako NTLM hashe (schéma založené na MD4) a k obnovení hodnoty použijeme modul NTLM cracker v Cain and Abel.

Kain a Ábel dokáží prolomit hesla pomocí slovníkového útoku, hrubé síly nebo kryptoanalýzy (předem vypočítané tabulky). My zde použijeme slovníkový útok. Stáhněte si seznam slovníků. 10k-Most-Common.zip z renomovaného zrcadla. Pro tuto demonstraci jsme vytvořili účet s názvem Účty s heslem QWERTY na Windows 7 laboratorních strojů.

Jak prolomit heslo

Níže uvedený návod spojuje každou obrazovku Kaina a Ábela s akcí, kterou je třeba provést. Postupujte podle kroků v daném pořadí na svém vlastním testovacím účtu, nikdy na systému, který nevlastníte.

Krok 1) Otevřete Kain a Ábel.
Spusťte aplikaci; zobrazí se vám následující hlavní obrazovka.

Krok 2) Najděte tlačítko Přidat.
Ujistěte se, že je vybrána karta Cracker, jak je znázorněno výše, a klikněte na tlačítko Přidat na panelu nástrojů.

Krok 3) Vyberte zdroj importu.
Zobrazí se následující dialogové okno. Vyberte Importovat hashe z lokálního systému a klepněte na tlačítko Další.

Krok 4) Revzobrazit importované účty.
Lokální uživatelské účty jsou uvedeny následovně. Přesné výsledky budou odrážet uživatelské účty na vašem laboratorním počítači.

Krok 5) Klikněte pravým tlačítkem myši na cílový účet.
Klikněte pravým tlačítkem myši na účet, který chcete prolomit. V tomto tutoriálu použijeme Účty uživatel.

Krok 6) Otevřete panel útoku slovníkem.
V okně slovníkového útoku klikněte pravým tlačítkem myši do sekce slovníku a vyberte Přidat k oblíbeným jak je uvedeno níže.

Krok 7) Přejděte k souboru se seznamem slov.
Přejděte na 10k-nejčastější.txt soubor, který jste právě stáhli, a vyberte jej.

Krok 8) Revzobrazit obnovené heslo.
Pokud si uživatel zvolí jednoduché heslo, jako např. QWERTY, uvidíte výsledky podobné těm na obrazovce níže, s hodnotou prostého textu vedle uživatelského účtu.

Poznámka: Doba potřebná k prolomení hesla závisí na síle hesla, složitosti seznamu kandidátů a výpočetním výkonu vašeho počítače. Pokud slovníkový útok heslo neobnoví, zkuste dále útok hrubou silou nebo kryptoanalýzu.

Jak je umělá inteligence Reshaping Prolomení hesla a ochrana

Umělá inteligence se stala významnou silou na obou stranách prolamování hesel. Útočníci trénují jazykové modely na uniklých výpisech přihlašovacích údajů, aby předpovídali realistické přístupové fráze, zatímco obránci párují stejné modely s telemetrickými kanály, aby rychleji odhalili kompromitaci.

Zde je návod, jak dnes umělá inteligence mění obor:

• Chytřejší generování seznamů slov: Generativní modely, jako je PassGAN, se učí vzory lidských hesel a vytvářejí seznamy kandidátů, které prolomí více hashů než statické slovníky.
• Hodnocení behaviorálního rizika: Obranná umělá inteligence kontroluje geografii přihlášení, otisky prstů zařízení a ty.ping rytmus, odesílání neobvyklých kontextů k vylepšené autentizaci.
• Detekce anomálií v reálném čase: Klasifikátory strojového učení sledují protokoly ověřování a označují vkládání přihlašovacích údajů nebo zpomalovací kampaně hrubou silou, které pravidla pro podpis přehlédnou.
• Automatizované koučování v oblasti zásad: Platformy pro identitu porovnávají nová hesla s korpusy specifickými pro danou organizaci a navrhují silnější náhrady, než je uživatelé finalizují.
• Ochrana proti phishingu: Umělá inteligence urychluje zavádění FIDO2 a toků přístupových klíčů analýzou rizikových signálů a snižováním tření mezi uživateli.

Spojte monitorování pomocí umělé inteligence s vícefaktorovým ověřováním, moderním hashováním, jako je Argon2, a rychlými informačními kanály o narušení bezpečnosti, abyste měli automatickou obranu před automatizovaným útokem.

Nejčastější dotazy