Сколько попыток в секунду может сделать взломщик паролей? - PullRequest
0 голосов
/ 17 февраля 2019

Поиски в Google показывают, что взломщики паролей могут быстро пробовать миллионы комбинаций и легко взламывать множество паролей.

Мои исследования не показывают, могут ли они на самом деле совершить так много попыток в реальной атаке.Как эти взломщики паролей должны взаимодействовать с серверами?Заполняют ли они формы автоматически?Когда я отправляю пароль IRL, на получение ответа уходит несколько секунд.Это значительно увеличило бы время, необходимое для взлома пароля!Это должно обеспечить большую защиту от этих взломщиков паролей!

Распределяют ли взломщики паролей попытки ввода пароля среди множества компьютеров, чтобы они могли их одновременно использовать?Разве это не тривиально, чтобы серверы веб-сайтов распознавали автоматическую атаку?Есть ли какой-нибудь более быстрый способ, которым взломщикам разрешается делать много попыток (и почему серверы разрешают это делать)?

Ответы [ 2 ]

0 голосов
/ 17 февраля 2019

Скорость взлома паролей зависит от типа хэша, возможностей оборудования, используемого программного обеспечения и количества хэшей.Существует также гонка вооружений между атакующими и защитниками, которая со временем отливается и течет, поэтому ответ на ваш вопрос будет относиться только к той бурной эпохе, которую он задал.Поэтому, хотя другой ответ уже был принят, и, хотя вопрос, вероятно, является дубликатом, стоит время от времени давать окончательный ответ.

Во-первых, похоже, что нам необходимо уточнить разницу между онлайн и оффлайн атаки.

Если кто-то пишет программное обеспечение для автоматизации процесса онлайн-атаки - пытается составить список имен пользователей и паролей для активноговеб-интерфейс - они (будем надеяться) быстро столкнутся с механизмами, предназначенными для этого (только 5 неудачных попыток для данного имени пользователя или с данного IP-адреса в определенное время и т. д.).

В отличие от этогоБольшинство программ для взлома паролей нацелено на автономную атаку - когда злоумышленник получил хеш-пароли, хранящиеся в серверной части, и может переместить их на свою собственную платформу для массовой атаки.

Таким образом, обсуждения по взлому паролей обычно сосредоточены вокруг автономных атак, потому что важна модель угрозы, если субъект угрозы крадет ваши хеши и может атаковать их с помощью платформыих выбор .

Скорость взлома в автономном режиме здесь полностью зависит от множества факторов:

  • насколько хорошо хранился пароль (насколько "медленным" хешявляется);

  • аппаратное обеспечение, доступное атакующему (обычно больше графических процессоров = лучше);

  • и для хорошо хранимых хешей, которые «засолены», сколько хэшей подвергается атаке (меньше уникальных солей = более быстрая атака, поэтому атака на один хеш будет намного быстрее, чем атака намиллион соленых хэшей и т. д.)

Итак, чтобы поставить некоторые реальные цифры на ваш вопрос:

  • Один из самых распространенных тестов, используемых для сравненияпроизводительность взлома паролей составляет NTLM (хэш, используемый системами Windows для хранения локальных паролей).Он полезен для тестов, потому что он чрезвычайно распространен, интересен для многих моделей атак, а также очень «быстр» (легче взломать) хэш.Недавно (февраль 2018 года) hashcat продемонстрировал способность взламывать хеш-коды NTLM на одной карте NVIDIA 2080Ti со скоростью 100 миллиардов хешей в секунду (раскрытие:Я член команды Hashcat).При таких скоростях подавляющее большинство стратегий запоминания паролей, которые используют люди, с большой вероятностью могут быть взломаны злоумышленником с помощью правильных инструментов и ноу-хау.Только самые сильные пароли (случайные или основанные на случайной парольной фразе - и достаточной длины / энтропии) недоступны для атакующего.

  • В отличие от одного из самых медленных хэшей (и лучший для защитника) bcrypt .Bcrypt имеет фактор стоимости, который удваивает стоимость для атакующего с каждой итерацией.Рекомендуются хеши Bcrypt «стоимостью 12» или около того, но даже относительно «быстрая» стоимость bcrypt (стоимость 5) на том же GPU 2080Ti может быть взломана только со скоростью примерно 28 000 хешей в секунду .При такой скорости могут быть быстро взломаны только самые слабые пароли, пароли средней прочности имеют «стойкость в цифрах» и их труднее взломать навалом (но все же можно взломать, если намечен хэш для одного человека), и любой достаточно надежный парольобычно будет вне досягаемости атакующего.

Опять же, это ответы на определенный момент времени, и их необходимо адаптировать к конкретной модели угрозы.

Кроме того, имейте в виду, что утечки хэша пароля навсегда .Защитники должны хранить пароли сегодня таким образом, чтобы они были устойчивы к взлому в течение многих лет в будущем , включая оценку будущих аппаратных возможностей, закон Мура и т. Д.

0 голосов
/ 17 февраля 2019

Hashcat - самая быстрая и самая продвинутая утилита для взлома паролей.Он может работать на процессорах и графических процессорах.Он может использовать несколько ядер в графическом процессоре и может быть распараллелен для использования нескольких ядер и плат.Количество проверенного пароля зависит от применяемого механизма защиты паролем.Смотрите тест здесь .Современные механизмы защиты паролем, такие как BCrypt и Argon2, имеют функции против быстрого поиска паролей как memorySizeKB и parallelism.

Системный администратор может использовать Hashcat для проверки паролей своих пользователей.Если не легко найти, с порогом со временем, то это хороший.В противном случае предложите пользователю сменить пароль.Конечно, должны быть правила, запрещающие простые пароли.Минимальная длина, цифры, буквенные цифры и т. Д. *

Злоумышленники, получив доступ к системе, загружают файл паролей и могут использовать Hashcat.Это не ввод пароля для входа снова и снова.Если это так, система входа в систему начинает задерживать механизм входа в систему или блокировать учетную запись пользователя.

Реальное преимущество заключается в том, что люди склонны использовать те же пароли и для других сайтов.Как только злоумышленники найдут некоторые пароли пользователя на взломанном сайте x, они могут попробовать другой сайт, чтобы убедиться, что пароль тот же или нет.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...