Tag Archives: md5

Nedrošas paroles #2009 prologs

Ja tu esi “apgrābstījis” ap 500 000 (skaitlis izdomāts) paroļu hešu, tad tas ne vienmēr nozīmē, ka esi “apgrābstījis” 500 K lietotāju 🙂

Zemāk mēģināšu, no sava skatu punkta, izklāstīt, kā tas tā ir.

Pieņemsim, mums ir M$ pofig lietotājs Jānis.

Ir mums arī paviršs lietotājs Pēteris.

Un ir mums arī lietotāja Anna.

Visi viņi ir piereģistrējušies 10 vienādos brīnumos, kuros pieprasa paroli.

Lietotājs Jānis, būdams kaislīgs antivīrusa programmu fans, izvēlas neko neizvēlēties.

Jānis piereģistrējās 10 resursos ar paroli 1.

Tai pat laikā, paviršais lietotājs Pēteris, M$ sabrīnīts un iebaidīts, piereģistrējās augstāk minētos resursos ar dažādām parolēm:

4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Anna, kā jau parasts lietotājs, lieto drošākās paroles:

10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Un tagad – kā rodas tas 500 K, kas ir gandrīz visi LV interneta lietotāji?

Viss noslēpums slēpjas stulbumā!

Tātad, mums ir 3 (trīs) lietotāji, kas katrs piereģistrējies 10 nevajadzīgos brīnumos, kur pieprasa paroles.

Kopā “iztērētas” 30 paroles.

Zīmējums:

Jāņa paroles – 1

Pētera paroles – 4, 2, 3, 1, 5, 6, 7, 8, 9, 1

Annas paroles – 10, 11, 12, 13, 14, 15, 16, 17, 18, 19

Kā redzams “zīmējumā un grafikos”, dažu un dažas paroles sakrīt.

Sakrīt divas Pētera paroles ar Jāņa parolēm.

Tātad faktiski “paroles” ir tikai 19 gabalas.

Bija labi domāts, ka tās būs 30?

Šajā vietā veidojās pirmais 500 K pārpalikums – “pazūd” 11 paroles.

Paliek – 19.

Nesatraucies, lasītāj, pa 10 gadiem ir izdomātas X metodes, kas nav tik primitīvas, kā es te muldu 😉

Otrs variants

10 Lietotāji un viņu 5 paroles!

A = 12345

B = abc1d

C = a6789

D = defgh

E = i1jhl

F = mn11o

G = ba123

H = prstu

I = vz12a

J = qwert

Nezīmēju grafikus, jo tas būtu jāsaprot, ka “kliedēti viņi ar savam parolēm agri vai vēlu satiksies”.

Nekad nebūs tā, ka visiem un visur būs unikālas paroles, ņemot vērā, ka ir qwerty tastatūra utml.

Rezumē

Līdz ar to, 500 K heši nav 500 K paroles.

Labākajā gadījumā tās ir 316 K.

Labākajā!

Bez tam, daudzi lietotāji veido vairākus paralēlus kontus ar vai bez vienādām parolēm.

Tieši šī iemesla dēļ ir grūti iegūstama populārāko paroļu statistika.

Var mērīt pēc unikālajiem hešiem.
Var mērīt pec visiem hešiem.

Ar 500 K hešu arsenālu ir vieglak piemeklēt vienu konkrētu hešu nekā ar to 1 hešu mocīties atsevišķi.

Par nepielasītām parolēm utml. – citreiz, nākamreiz 😉

Šis bija biedrības “Par drošām parolēm” un Mērkaķkunga izlūkraksts, jo mēs visi taču esam izlūki!

NEdrošas paroles #1

Latviešu nedrošās paroles.

Ievads. Pamparam, ievada nebūs. Kam vajadzēs, tas sapratīs.

Kā var noprast pēc šī bloga dažiem pēdējiem ierakstiem, mums te bija akcija, kuras laikā MD5 hešu nospiedumiem tika pielasīti attiecīgi normālteksti.

Kopumā tika iegūti 11111 (vienpadsmit tūkstoši simtu vienpadsmit) normālteksti (tikai ~87% no 12805). Turpmāk tekstā — paroles.
Varētu jau izkūkot 90% (easy), 95% (supermax), bet 11111 ir pietiekami maģisks skaitlis.

Visas šīs paroles ir uzskatāmas kā nedrošas (jo tika samērā vienkārši piemeklētas). Punkts!

Tad nu te būs tā kripatiņa informācijas.

Nedrošu paroļu analīze

Pēc garuma

1 simbols = 2
2 simboli = 1
3 simboli = 8
4 simboli = 31
5 simboli = 99
6 simboli = 3966
7 simboli = 3097
8 simboli = 2174
9 simboli = 1033
10 simboli = 433
11 simboli = 178
12 simboli = 60
13 simboli = 14
14 simboli = 7
15 simboli = 6
16 simboli = 2

Kopā: 11111.
Vidējais paroles garums: 7.22 simboli.
Vairāk par 16 simboliem netika mēģināts piemeklēt, jo ņestoit.

Secinājumi

Līdz 5 simboli paroles nav pat vērts pieminēt, jo to piemeklēšanas laiks ir minimāls. Tās pat nevar nosaukt par parolēm, bet tikai par paroles butaforiju.

Taču varbūtība sekmīgi piemeklēt paroli, kā redzams, lielāka ir apmēram 6 līdz 9 simbolu garu paroļu robežās.

Kā redzams, iespējams, ne vienmēr ir vērts tērēt datoru resursus piemeklējot 1 – 5 un 11 – x, ja populārākie paroļu garumi ir 6 – 9 simboli paroles garuma robežās. Nu, var ja piemest klāt līdz 10 simboli, bet tas jau prasīs papildus datorresursus.

Kā zināms, jo īsāka parole, jo vieglāk un ātrāk notiek tās piemeklēšana.

(Brute-force (Полный перебор) attack mixalpha-numeric-all:

)

Varbūtības attiecības starp 5 simbolu garu paroli un 6 simbolu paroli ir tik būtiska, ka 6 simbolu garas paroles piemeklēšanas efektivitāte ir acīmredzama.

Piemēram, ja ir izvēle piemeklēt paroli ar simbolu garumu no 1 līdz 10 vai 6 līdz 10, tad varbūtība, ka tiks sekmīgi piemeklēta parole ir par labu otrajam variantam. Laiks, resursi.

Populārākie simboli

a = 7643
s = 6458
i = 5674
e = 4763
r = 3708
n = 3383
1 = 3317
o = 2913
l = 2907
t = 2746
k = 2593
2 = 2492
d = 2223
m = 2211
u = 2158
0 = 1997
9 = 1854
3 = 1772
6 = 1762
8 = 1609
5 = 1584
p = 1489
4 = 1445
7 = 1317
b = 1155
c = 1141
g = 1089
z = 952
v = 932
j = 890
h = 790
x = 575
w = 552
f = 499
y = 408
q = 275

Secinājumi

Līdzīgi ir arī ar simbolu lietojumu.
Ne vienmēr efektīvākais būs pilna mixalpha-numeric-all pilna pārlase, ja daudzi simboli tiek lietoti minimāli vai vispār netiek lietoti.

[abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_+=~`[]{}|\:;”‘<>,.?/]

(1 – 10)

vai

[asiern1oltk2dmu093685p47bcgzvjhxwfyq]

(1 – 10)

?

Kā redzams no grafikiem un skaitļiem, tad iespējams, otrā varianta varbūtības panākumi ir daudz lielāki.

Bet šodien pilnu pārlasi praktiski vairs nelieto neviens lauzējs. Tam ir maskas, tie paši populārakie simboli utml. Nez, kā manā sarakstā gadījās 16 simbolu gara parole, m?
Pačukstēšu — vārdu atkārtošana (piemēram janisjanisjanis).

Tieši šeit, saprašanai, var arī iederēties Monty Hall problem, kas tika pieminēta Mind.toBlog(); blogā. Tas tā par varbūtību.

Pēc simbolu lietojuma, stila, ieradumiem, stereotipiem — nākamajā daļā.

Ieteikumi?
a lietotājam lietot paroli a. Šutka.

http://ru.wikipedia.org/wiki/Brute_force
http://en.wikipedia.org/wiki/Brute_force_attack
http://en.wikipedia.org/wiki/MD5
http://en.wikipedia.org/wiki/Password
http://en.wikipedia.org/wiki/Password_strength

KDLPA #4

Raža.

80 %

80%

Piemeklēti vairāk kā 80% paroļu heši. Domāju, ka varētu izspiest arī 90%, bet pietiks.

Dažas piezīmes.

hash.insidepro.com
Tur viņiem ir tāda online Hash Database.
hash.insidepro.com labums ir tāds, ka vienlaicīgi var pārbaudīt līdz 50 hešiem. Katru dienu datubāze papildinās. cURL.

7 (telefona numuri, etc), 8 (arī numuri), 9, 10 un 11 (personas kodi) simbolu gara ciparu pārlase.
[0-9] līdz 11 simboliem, šķiet, tagad ir visi.
Arī [a-z] līdz 8 simboliem, šķiet, tagad ir visi.

Wordlisti, wordlisti un vēlreiz wordlisti.
Kombinētie wordlisti. Vienam vārdam no viena wordlista tiek piemeklēta vārda otra puse no cita wordlista.
Divu vai vairāku vārdu kombinācijas no wordlistiem.

str_repeat. janisjanisjanis.

Maskas. Piemēram, 4 cipari sākumā, 4 burti beigās un otrādi. 1111aaaa, aaaa1111. Un tādā garā.

Izplatīts paradums: vārds un galā daži cipari.

ToDo: Pie 80% paliekam un rakstām `Nedrošas paroles`.

Kādas datubāzes lietotāju paroļu analīze #3

Desmitajā testā ir mazliet pielabots wordlists. Latviešu vārdnīca, vārdadienas utml, bez diakritiskajām zīmēm.

Tika piemeklētas papildus 134 paroles.

Pie tā paša.
Dažas smukās kombinācijas uz qwerty tastatūras, piemēram, 6yhn7ujm. Kā tas veidojās, var sameklēt bildē.
Mazs, improvizēts qwerty tastatūras smuko (vizuāli uz tastatūras) kombināciju wordlists.

4 paroles.

Laiku nesanāca nomērīt. Kādas pāris stundas ar sagatavošanos. Sāk piegriezties 🙂

Vienpadsmitais tests ar md5oogle.com
MD5 hešu (hash) salīdzināšanai tika izmantots md5oogle.com.
Līdzīgi, kā ar md5decryption.com, bet daudz vienkāršāk un ātrāk.

Tika piemeklētas papildus 668 paroles.

Laiks — aptuveni 2,5 stundas.

Divpadsmitais tests — viltīgais.
Rēķinot, ka jau iepriekš piemeklēta ~1/4 daļa paroļu, iemēģinājām kādas citas datubāzes plaintext parolīšu wordlistu. Nelietojam vienu un to pašu paroli visur!

263. Pamaz.

Laiks — 5 minūtes.

Trīspadsmitais tests.
Izveidots wordlists no apollo.lv, delfi.lv, tvnet.lv, diena.lv, db.lv, http://nekur.lv/top/week mājaslapu dažādiem tekstos izmantotajiem vārdiem.
Random vārdu wordlists.

43.

hansabanka — desmit burti 🙂

Laiks — apmēram 30 minūtes.

Četrpadsmitais tests.
Tāks, ~1/3 ir piemeklētas.

Nav, ko tālāk ākstīties — jāņem rainbow tables 😉 Tīri intereses pēc.
Arvien vairāk nedrošo paroļu lietotāji atkrīt. 1-6 simbolu visas paroles agri vai vēlu tiktu piemeklētas ar rainbow tables. Kļūst sarežģītāk.

http://freerainbowtables.com/

Tika iemēģināts 400 hešu hešlists.

Tika piemeklētas papildus 24 paroles, kas nav sevišķi daudz :/ Bet naverņika.

izmantots md5_mixalpha-numeric-all-space 1-6.
Rēķinām, ka mums ir vairāki tūkstoši hešu, tādēl tikai 1-6 simboli. Ja būtu tikai viens hešs, tad līdz 8 simboli šķiet tīri reāli atminami.
Līdz 1-6 simboli, imho, vārdnīca (wordlist) ir daudz efektīvāka. Ātruma ziņā. Wordlistā daži vārdi ir arī garāki par 6 simboliem. Spornij vapros.

Ctrl + C, jo pārāk ilgi. Noderētu atsevišķs dators (tikai šo darbību veikšanai), jo tās rainbow tables pamatīgi noslogo datoru.

Laiks — aptuveni 7 stundas.

Piecpadsmitais tests.

Līdzīgi, kā devītajā testā, jau piemeklēto paroļu wordlistam, katrai parolei tiek sākumā, beigās un abos galos pielikts klāt pa ciparam 0, 1, 2, 3, 4, 5, 6, 7, 8, 9 un 10.

Lieka 31 parole ir piemeklēta.

Laiks — apmēram 1 stunda.

Dažas jautrībsaites:

http://www.google.lv/search?q=4d9fa555e7c23996e99f1fb0e286aea8
http://www.google.lv/search?q=bcb48dddff8c14b5f452ee573b4db770
http://www.google.lv/search?q=5f4dcc3b5aa765d61d8327deb882cf99
http://www.google.lv/search?q=9b25505fd5c437194b65b2909b1f0396

Uzmini pēc Googles pirmā rezultāta, kas slēpjas zem šiem hešiem! Tā, uz aci 😉

4d9fa555e7c23996e99f1fb0e286aea8 = ?
bcb48dddff8c14b5f452ee573b4db770 = ?
5f4dcc3b5aa765d61d8327deb882cf99 = ?
9b25505fd5c437194b65b2909b1f0396 = ?

Bilance

Kopā atminētas jau 4117 paroles no 12805.

32 %

Pagaidām visefektīvākā metode, šķiet, ir wordlisti.

Nākamajos testos — varbūt rainbow tables un tas, kas nav izpildīts iepriekšējos testos, ja vien šis viss neapniks.

Iepriekšējās sērijās: 12805 « BlackHalt

Arī par tēmu: Par to paroļu pierakstīšanu « BlackHalt

Kādas datubāzes lietotāju paroļu analīze #2

Kādas datubāzes lietotāju paroļu analīze #2

md5 Iepriekšējā pētījumā noskaidrojām to, ko noskaidrojām.

Viss notiek mājas apstākļos :). Vecs dators. Neizmantojam speciālas, advancētas paroļu minēšanas programmas. Izmantojam švakiņos PHP un MySQL.

Ejam tālāk.

Testi

Ceturtais tests bija visilgākais. Arī samērā maza produktivitāte.
MD5 hash salīdzināšanai tika izmantots http://md5decryption.com/

Tika piemeklētas 569 paroles.

Liela daļa pavisam vienkāršas, kas, kā izrādījās, nebija iepriekšējos testos izmantotajās wordlistēs.
Dažas interesantas: qazwsx, qwertyuiop, lollollol, asdfghjkl, ytrewq, ******, P@ssw0rd

Laiks — vairāk kā divas diennaktis.
Piemeklēto, atminēto paroļu heši no tālākiem testiem tiek izslēgti.

Piektajā testā tika izmantotas tā saucamās permutācijas (permutations). Tādas vienkāršas kombinācijas. Cipari no 1 līdz 6. Garums seši simboli. Tāds kā mini bruteforce.
Šis bija vairāk kā tests par to, vai ir vērts veikt lielāku ciparu pārlasi.

Tika piemeklētas 42 paroles.

Kaut kādi rezultāti tomēr bija.

Laiks — aptuveni 30 minūtes.

Sestajā testā princips tāds pats, kā piektajā, bet cipari 0123456789. Garums no 1 līdz 6 simboli. Varētu līdz 7 simboli, bet būtu pārāk ilgi šim testam.
Arī no šī testa tika izslēgti piektā testa rezultāti, kas jau atminēti. Piektā testa rezultāti būtu pieskaitāmi šī testa rezultātiem, bet mēs to nedarām, jo viss te tiek pierakstīts tieši tā, kā tika darīts. Nu, šis jau būtu uzskatams kā bruteforce.

Jocīgi, bet tika piemeklētas `tikai` 457 paroles.

Interesanti, ka tieši sešu simbolu garas paroles bija visvairāk (444). Ar 7 simboliem, droši vien, iebirtu vēl.

Varbūt trīs, pieci simboli tiek uzskatīti par gana īsu paroli. Tā tas, protams, arī ir.
Lietotājam uz tastatūras ir ritmiskāk, ērtāk uzsist pāra reižu, nekā nepāra 🙂 Klik-klik-klik, klik-klik-klik.
Daudzi izskatās dzimšanas dienas skaitļi, piemēram, 280877.

Laiks — aptuveni 12 stundas.

Septītais tests — dzimšanas dienas.
Ar PHP Date/Time funkcijām tika uzģenerēti datumi no 1970 līdz 1998 gadam, kurus varētu izmantot dzimšanas dienu pārlasei.
Sākumā šādā formātā dmY. Piemēram, 01011970.
Tā jau būtu astoņu(!) simbolu gara parole.

Tika piemeklēta 31 parole.

Laiks — aptuveni 3 stundas.

Pie tā paša tika iemēģināts arī d-m-y formāts. Parole ietver divus speciālos (-) simbolus!

Netika atminētas, bet tas nenozīmē, ka šāda stila paroles būtu drošas.

Laiks — aptuveni 3 stundas.

Neatrada, jo tie kuri zina, kas ir speciālie simboli dzimšanas dienu paroles nelietotu. Un tas arī ir pareizi!
d.m.y, d/m/y, d-m-Y un citi datumu formāti tālāk netika mēģināti, jo, iemesls lasāms iepriekšējos teikumos.

Astotais tests savu kļūdu labošanas tests.
Ar jau atminēto paroļu wordlistu tiek nobraukts vēlreiz visam pāri. Aizpildot caurumus, jo ceturtajā testā dažreiz nebija konekcija ar md5decryption.com un tāda garā.

Tika piemeklētas vēl 79 paroles, kuru heši iepriekšējos testos kaut kā bija izkļuvuši cauri.

Laiks — sekundes.

Ja jau tā, tad devītajā testā papildus tika izmantots jau atminēto paroļu wordlists, bet ar dažiem papildinājumiem:
jau atminētais paroles variants ar papildus galā pieliktu ciparu 1. Piemēram, ja jau bija piemeklēta parole juris, tad tagad tika iemēģinātas juris1, ja janis1, tad janis11. Un tādā gara.

Bez 1 pielikšanas galā, tika izmēģināts pielikt galā arī 2, 3, 4, 5, 6, 7, 8, 9, 0, 11, 00, 55, 666, 777.
Citreiz varētu paturpināt arī citas variācijas.

Ar 1 tika piemeklētas 23 paroles.
Ar 2 — 8
Ar 3 — 4
Ar 4 — 5
Ar 5 — 1
Ar 6 — 2
Ar 7 — 7
Ar 8 — nav
Ar 9 — 2
Ar 0 — 1
Ar 11 — 5
Ar 00 — 1
Ar 55 — 2
Ar 666 — 1
Ar 777 — nav

Šajā testā kopā piemeklētas 62 paroles.

Laiks — aptuveni 30 minūtes.

Daži starpsecinājumi.
Plikas ciparparoles, diemžēl, ir samērā populāras.
Daudzi lietotāji savu paroli atceras uz qwerty tastatūras, tas ir, vizuāli. Piemēram, qazqaz, asdfghjkl. Var veidot wordlistus, izmantojot qwerty tastatūras tematiku.
Daži lietotāji paroli veido atkārtojot vienu un to pašu vārdu, piemēram, kakakaka, yopyop.
Parasti lietotāji, iespējams, nemaz neprot(?!) uzdrukāt speciālos simbolus.

Galīgie tematiskie rezumē būs vēlāk. Pēc visiem testiem. Atsevišķā ierakstā.

Kādēļ vispār šis tiek darīts?

Tādēļ, ka es neesmu admins un nezinu lietotāju paradumus.
Tādēļ, ka ir reāla datubāze ar reāliem lietotājiem un nevis kaut kāda mākslīga spriedelēšana.
Tādēļ, ka ir interesanti.
Tādēļ, ka ir iespējams izpētīt samērā liela lietotāju kopuma uzvedību.
Tādēļ, lai informētu lietotājus par viņu nedrošajiem paroļu izvēles paradumiem.

Tavs tāds pats lietotājs…

Varbūt kādam šie testi šķiet muļķīgi vai bezjēdzīgi, bet man tā nemaz nešķiet. Varbūt ir mazliet haotiski, bet visu izšķir galarezultāts. Šis ir process. To visu var salikt pa smukiem plauktiņiem.

Bilance uz šodienu (ieskaitot iepriekšējos testus)

Kopā atminētas 2950 paroles no 12805.

Gandrīz katrs ceturtais — pwned!

23 %

Visas ir uzskatāmas, kā nedrošas paroles!

Kaut kādi rēķini:

Ciparparoles (ctype_digit) — 853
Burtparoles (ctype_alpha) — 1958
Ciparburtparoles (‘^((([a-z]+[0-9]+)+[a-z]*)|(([0-9]+[a-z]+)+[0-9]*))$’) — 135
Paroles ar specsimboliem — 4 OMG, OMG! Programmas kļūda?

Verētu jau būt, ka ir dažas nelielas kļūdas/atkāpes.

Paroļu garumi šajos testos (kopā ar iepriekšējiem):

1 simbols — 2
2 — 1
3 — 7
4 — 24
5 — 56
6 — 1705
7 — 575
8 — 291
9 — 215
10 — 56
11 — 14
Garākas par 11 — 4

Populārāko paroļu dzejolis uz šodienu:

[123456] => 138
[asdasdasd] => 91
[parole] => 69
[qwerty] => 45
[samsung] => 26
[666666] => 21
[000000] => 21
[latvija] => 21
[siemens] => 18
[111111] => 17
[dators] => 17
[kurmis] => 17
[saulite] => 16
[asdasd] => 16
[123123] => 15
[123456789] => 13
[kristaps] => 12
[kaspars] => 12
[kakakaka] => 10
[logitech] => 10
[xxxxxx] => 9
[extreme] => 9
[nezinu] => 9
[martins] => 8
[qazwsx] => 8
[milums] => 8
[madara] => 8
[jaanis] => 8
[celeron] => 8
[123321] => 8
[labais] => 8
[oskars] => 8
[matrix] => 7
[12345] => 7
[aaaaaa] => 7
[sanita] => 7
[master] => 7
[1234567] => 7
[sviests] => 7
[klauns] => 7
[edgars] => 6
[maksis] => 6
[qqqqqq] => 6
[diablo] => 6
[slipknot] => 6
[raivis] => 6
[raimis] => 6
[zemene] => 6
[789456] => 6
[klucis] => 5
[159357] => 5
[lauris] => 5
[susurs] => 5
[walkman] => 5
[andris] => 5
[google] => 5
[mazais] => 5
[resnais] => 5
[password] => 5
[12345678] => 5
[asdfgh] => 5
[1234567890] => 5
[hahaha] => 5
[kartupelis] => 5
[lzorro] => 5
[asshole] => 5
[ramona] => 5
[reinis] => 5
[internets] => 5
[pipele] => 5

Būs arī turpinājums. Pārāk gari šie `palagi`. Pie brutālās burtu pārlases vēl neķērāmies. Interesantāk ir tematiski.

Iepriekšējā piegājiena trešajā testā wordlistā tika izmantotas diakritiskās zīmes, bet tā bija nevajadzīga ekstra. Palaidām garām riga, jurmala, girts utml. Testu jāatkārto bez diakritiskajām zīmēm.
Diakritisko zīmju neizmantošana varētu vainagoties ar papildus xxx paroļu piemeklēšanu, bet tad nāksies otrreiz pie tām iemēģināt paroles ar cipariem galā.

Trešajā piegājienā plānos arī piemeklēt paroles pēc: telefona numuriem, automašīnu numuriem, pasta indeksiem, personas kodiem, IP, e-pastiem, …, kaut ko ar burtiem. Advancētākas datumu pielases.

Kaut kas, kaut kas, hmz: http://www.freerainbowtables.com/en/tables/md5/
Par parolēm: http://www.usewisdom.com/computer/passwords.html

Pagaidām pietiks. Turpinājums sekos…

Saistītais iepriekšējais pētījums.

P.S. ja komentāros ir kādi tematiskie wordlist utml. priekšlikumi, tad rakstiet, bet vispār, pasākumu pamazām ir jāvelk uz nobeigumu.

Ir 23% no 12805
Vai būs 50%?

Lietotāju paroles – paradumi

Kādas datubāzes lietotāju paroļu analīze

Grave, iepriekš pacentās un izanalizēja boot.lv lietotāju paroles, kas bija nonākušas atklātībā.

Asfaltētis Asfaltētis izanalizēja kādas citas datubāzes lietotāju paroles. Arī šī datubāze bija publiski pieejama.
Šajā datubāzē paroles neglabājās atklāta veidā (plaintext), bet gan bija šifrētas ar MD5, glabājās tikai paroļu hešs (hash). Kopā 12805.

Testi

Pirmajā testā tika pārbaudīts, vai lietotāju vārdi atbilst parolei.
Piemēram, vai lietotāja test1 parole ir test1.

230 lietotāji, savu lietotāja vārdu izmantoja arī kā paroli.

Laiks — sekundes.

Otrajā testā tika izslēgti pirmā testa dati, jo tie bija `atminēti`.
Otrajā testā tika izmantots vienkāršu vārdu saraksts (wordlist) no openwall.com.

Tas saraksts nav kā vārdnīca, bet gan biežāk lietoto paroļu saraksts. Cipari arī tur ir.
Katra lietotāja parolei tika piemērīti 2289 vārdi.

Tika piemeklētas 499 paroles.

Laiks — sekundes.

Iespējams, ka ar lielāku, valodai atbilstošāku, tematiskāku wordlist, tiktu atminēts krietni vairāk.

Tādēļ trešajā testā tika izmantots mazliet specifiskāks wordlists.
Latviešu vārdnīca, latviešu vārdadienas, Latvijas pilsētas (77), neliela angļu vārdnīca un openwall.com (cita versija). Tāds nefiltrēts mistrojums.

Visi vārdi tika piemēģināti gan ar mazajiem burtiem, gan lielajiem, gan ar vārda pirmo lielo burtu.

Trešajā testā tika izslēgti abu iepriekšējo testu rezultāti.

Katra lietotāja parolei tika piemērīti 17674 * ~3 vārdi (cipariem nav lielie mazie).

Tika piemeklētas 981 paroles.

Laiks — apmeram 1,5 stundas.

Vēl varētu izmantot arī dažādu brendu wordlistus un tamlīdzīgi. Izskatās, ka arī vienkāršas ciparu kombinācijas ir ļoti populāras.

Kopā atminētas 1710 paroles no 12805.

13,35%

Populārakās paroles:

[123456] => 138
[parole] => 69
[qwerty] => 45
[666666] => 21
[000000] => 21
[111111] => 17
[123123] => 15
[kristaps] => 12
[kaspars] => 12
[xxxxxx] => 9
[extreme] => 9
[labais] => 8
[123321] => 8
[oskars] => 8
[madara] => 8
[martins] => 8
[sanita] => 7
[12345] => 7
[matrix] => 7
[master] => 7
[sviests] => 7
[aaaaaa] => 7
[klauns] => 7
[1234567] => 7
[diablo] => 6
[zemene] => 6
[789456] => 6
[maksis] => 6
[raivis] => 6
[edgars] => 6
[asdfgh] => 5
[kartupelis] => 5
[reinis] => 5
[andris] => 5
[12345678] => 5
[ramona] => 5
[klucis] => 5
[asshole] => 5
[lauris] => 5
[password] => 5

——————————–

Un tas nav viss saraksts.

Tātad, šāda stila paroles nevajadzētu lietot.

P.S. Bija doma arī par ceturto testu, izmantojot http://md5decryption.com/, bet tas prasītu vismaz 24 stundas laika.

Boot.lv akcija — Uzlauz divreiz, DIVREIZ!!

Internetā klaiņo vairākas boot.lv foruma lietotāju datubāzes: hackers.lv, nekur.lv – lai zinātu, nav jāiet nekur, Boot.lv paroles – Google meklēšana.

Izmēģināju `uzlauzt` savu paroli.
Nelauziet svešas!

PHP koncepcija — remal (kodā viss ir uzrakstīts)!

Vajag: pašu sql failu, ielādēt to mysqlā, sameklēt attiecīgajā tabulā sevi pēc e-pasta, paņemt paroles hash un salt, izmēģināt PHP koncepciju.

Nautilus thumbnails

Nautilus File Browser attēlu failu thumbnails (sīktēlus) glabā /home/tavslietotājs/.thumbnails/ direktorijā.

Tur ir `fail`, `large` un `normal` apakšdirektoriji(jas?).
Lielako daļu no thumbnails tas noklusēti glabā, kešo `normal` direktorijā.

Thumbnails failu nosaukumi veidojas pēc šāda principa:
md5(“file:///home/bh/Desktop/ubuntu-8.04/1.png”) = 1ac412e15362a059c3e0c37a28962131

1ac412e15362a059c3e0c37a28962131.png

Nautilus File Browser Nautilus thumbnails

Tagad zinām, kur izraut attēlu thumbnails un kā ar MD5 tos atrast.
Tas arī viss, ko gribēju pierakstīt 🙂

Par to paroļu pierakstīšanu

Security (Bērniem)
Visādi gudri(e)nieki stāsta, ka paroles nevajag pierakstīt. Nu tas teorētiski ir pareizi, bet kā lai es atceros visādos ūberportālos lietotās paroles, ja tās ir šādas:

  • dfjewfewjew
  • 3053042uerowe
  • je9rwe9ruwe
  • 3jrwerewri
  • ?89fdysad]

?
Random desmit pirkstu paroles.
Jālieto šifrētie datu glabātāji, piemēram, izmantojot TrueCrypt.

Nu, tad es tagad izdomāju variantus.
Pirmkārt – bankas paroles nekad, nekur nepierakstām. Tās mums būs pirmā līmeņa paroles.

Otrkārt – dažādas Firefox master paroles (u.tml.) ir otrā līmeņa paroles. Nu, tas ir lai tiktu pie visādiem paroļu saglabātājiem. Tās lieto uz sava datora un nejauc ar pirmā līmeņa parolēm, kuras nekad nesaglabā paroļu atgādinātājos vai kā viņus tur sauc. Paroļu saglabātāji saglabā tikai trešā līmēņa paroles.
TrueCryptam lietojam otrā līmeņa paroles. Pirmā līmeņa paroles ir svētas.

Treškārt – Vot, te arī ir tās trešā līmeņa paroles, kas diez ko nemaz neuztrauc.
Te arī mazliet piekavēsimies.
Ņemam teikumu tipa: Ai-dargie-Ziemssvetki (piemērs),
ejam uz superhakeruportāls.ru un reģistrējamies ar paroli: Ai-dargie-Ziemssvetki-superhakeruportāls.ru
Tas ir.
Čipers, haštable, ūber main paroles sastāvdaļa ir Ai-dargie-Ziemssvetki.
Tam klāt karinām portāla nosaukumu.
Maz?
Varam piekabināt klāt skaitļu virkni, kas mainās. Piemēram, mums labi patīk 666, 123, 69
Liekam Ai-dargie-Ziemssvetki-superhakeruportāls.ru-666-123-69
Citam portālam liekam Ai-dargie-Ziemssvetki-superCITShakeruportāls.ru-123-666-69
Ar trim reizēm pats uzminēsi.
Maz?
Liekam klāt domēna vārda pirmo alfabēta burta ciparu. a, ā, b, c, č, d, e, ē, f, g, ģ, h, i, ī, j, k, ķ, l, ļ, m, n, ņ, o, p, r, s, š, t, u, ū, v, z, ž
Tipa a ir 01, e ir 07

Tagad jau sanāk: Ai-dargie-Ziemssvetki-superhakeruportāls.ru-123-666-69-26 (laikam) .
un tādā garā. Atcerēšanās sistēmas var būt dažādas.

Ja ļaunais superhakeruportāls.ru administrators (nez, kādēļ šādus sauc par administratoriem, ja tie būtu jāsauc par krakeriem?), izdomā pierakstīt lietotāja paroles izmantojot savu superhakeruportāls.ru, tad viņam būs slinkums, jeb nespēja sameklēt sakarības starp tavām starpportālu parolēm.
Līdz ar to, citu tavu portālu paroles netiks izrūnītas.

Sešus līdz astoņus [a-zA-Z0-9] burtiņus garas paroles sen vairs jau nelieto. Tas bija pagājušajā gadsimtā. Izņēmums ir, protams tādi arhaiski kantori, kā lamnet, bet tas ir cits stāsts un pierādījumi.

Sistēmās paroles administratori parasti glabā `šifrētas`, sakodētas.
Tikai nopirkti sistēmu administratori vai tādi, kam ar galvu nav viss kārtībā, var atļauties sistēmas lietotājiem izsūtīt lietotāju paroles, piemēram, uz epastu.
Tas nozīmē, ka paroles netiek šifrētas, ja reiz tās atklātā tekstā iespējams atsūtīt pa epastu.

Kronis – ir redzēta MySQL parole = ??????. Jā, sešas jautājumzīmes. Tas laikam pašapmāns?

Papildinformācija: mans Datuve.lv ieraksts – blackhalt-droshas-paroles-datuve-lv.txt.

Tas tā, veltījums lietotājiem, kā, jānis@inbox.lv (draugiem.lv) user:janis: pass:janis (piemērs).

Nu, ja nesanāk, tad liec jānis un gaidi tiesas pavēstes.
Ā, un vicināt KL pantus tu vari cik ļoti, tikai neaizmirsti, ka tev būs jāpierāda, ka 2004. gada 13.septembrī plkst. 6:13:13 tu neatradies pie datora, jo redz, tajā laikā no tava datora IP tika uzlauzta NASA.
Stāsti nu, ka tu biji tikai zombijs. Saglabā tramvaja biļetītes!

Tālāk tādas kā pārdomas++

janis paroļmeistars
Par Rainbow tables un tādā garā šoreiz nerunāsim. Par SHA1, SHA(*) vs MD5 arī.
Bez vārdnīcas (MD5 [Метод грубой силы – BruteForce]). Skeptiķiem – tika izmantots tikai [a-zA-Z0-9] vai pat [a-z], kas īsti nav mūsdienu pilnā pārlase: G2G

Internetā atrodami diezgan lēni un gļukaini BruteForce tūļi (ātrums atkarīgs arī no datora veiktspējas un programmas pielasīšanas sistēmas), bet ir atrodami.

janis
md5 hash = fcb7c217c638fe897711da11cec7a38f
Atminēts 10 minūtēs un 46 sekundēs.
md5 bruteforce - janis

JaNiS
md5 hash = 989079faabc4a947377b31534ab3f342
Atminēts 25 minūtēs 27 sekundēs.
Kā redzams, lielie burti spēlē labu lomu.
md5 bruteforce - JaNiS

Bonuss #1:
janis
md5 hash = fcb7c217c638fe897711da11cec7a38f
BET pārlase tikai a-z, neizmantojot A-Z un 0-9
Atminēts 20 sekundēs.

Bonuss #2:
banka
md5 hash = f6a63dfae760d39bd467a28d053938cb
BET pārlase tikai a-z, neizmantojot A-Z un 0-9
Atminēts 3 sekundēs.
md5 bruteforce - banka

Tas ir mājas pārbāztais dators!

Jāni, cik tev maksā par 11 minūtēm?
Tava biznesa sarakste maksā 11 minūtes.

————–
Amen P.s.s.
WordpreZ protamZ rulzSuk. FirefoX uzspiežam Ctrl+f un dabūjam neatjaunojamu dzeltenu fona krāsu interesējošam vārdam. Tipa – Highlight all. Stilīgi :rol:

– oi, nošāvu jūzeri. Paroles palika galvā!
//Kompromiss – Feindflug – I./St.G.3 [Phase 2] – Outro (’96)