Mis on parooli krakkimine?
Paroolidega lõhkumine on protsess, mille käigus proovitakse saada volitamata juurdepääs piiratud süsteemidele, kasutades tavalisi paroole või paroole ära arvavaid algoritme. Teisisõnu, see on õige parooli hankimise kunst, mis annab juurdepääsu autentimismeetodiga kaitstud süsteemile.
Paroolide lõhkamisel kasutatakse oma eesmärkide saavutamiseks mitmeid tehnikaid. Pragunemisprotsess võib hõlmata salvestatud paroolide võrdlemist sõnaloendiga või algoritmide kasutamist sobivate paroolide loomiseks
Selles õpetuses tutvustame teile levinud paroolipakkimise tehnikaid ja vastumeetmeid, mida saate rakendada süsteemide kaitsmiseks selliste rünnakute eest.
Selles õpetuses käsitletud teemad
- Mis on parooli tugevus?
- Parooliga lõhkumise tehnikad
- Paroolipakkimise tööriistad
- Parooliga lõhkumise vastumeetmed
- Häkkimise ülesanne: häkkige kohe!
Mis on parooli tugevus?
Parooli tugevus on parooli efektiivsuse mõõdupuu paroolipragunemisrünnakute vastu . Parooli tugevuse määrab;
- Pikkus : märkide arv, mida parool sisaldab.
- Keerukus : kas selles kasutatakse tähtede, numbrite ja sümbolite kombinatsiooni?
- Ettearvamatus : kas see on midagi, mida ründaja saab hõlpsasti ära arvata?
Vaatame nüüd praktilist näidet. Kasutame kolme parooli nimelt
1. parool
2. parool1
3. # parool1 $
Selle näite puhul kasutame paroolide loomisel Cpaneli parooli tugevuse indikaatorit. Allolevad pildid näitavad kõigi ülaltoodud paroolide paroolide tugevusi.
Märkus : kasutatav parool on parool, tugevus on 1 ja see on väga nõrk.
Märkus : kasutatav parool on password1, tugevus on 28 ja see on endiselt nõrk.
Märkus . Kasutatav parool on # password1 $, tugevus on 60 ja see on tugev.
Mida suurem on tugevusnumber, seda parem on parool.
Oletame, et peame oma ülaltoodud paroolid salvestama md5 krüptimise abil. Paroolide teisendamiseks md5 räsideks kasutame veebipõhist md5 räsigeneraatorit.
Allolevas tabelis on näidatud parooliräsi
| Parool | MD5 Hash | Cpaneli tugevuse indikaator |
|---|---|---|
| parool | 5f4dcc3b5aa765d61d8327deb882cf99 | 1 |
| parool1 | 7c6a180b36896a0a8c02787eeafb0e4c | 28 |
| # parool1 $ | 29e08fb7103c327d68327f23d8d9256c | 60 |
Kasutame ülaltoodud rässide purustamiseks nüüd veebisaiti http://www.md5this.com/. Allolevatel piltidel on näidatud ülaltoodud paroolide parooli krakkimise tulemused.
Nagu ülaltoodud tulemustest näete, õnnestus meil murda esimene ja teine parool, millel olid väiksemad tugevusnumbrid. Meil ei õnnestunud murda kolmandat parooli, mis oli pikem, keerulisem ja ettearvamatu. Sellel oli suurem tugevusnumber.
Parooliga lõhkumise tehnikad
Paroolide lõhkumiseks saab kasutada mitmeid tehnikaid . Allpool kirjeldame kõige sagedamini kasutatavaid;
- Sõnastiku rünnak - see meetod hõlmab sõnaloendi kasutamist kasutaja paroolidega võrdlemiseks.
- Toore jõu rünnak - see meetod sarnaneb sõnastiku rünnakuga. Jõhkrate jõudude rünnakud kasutavad rünnaku paroolide leidmiseks algoritme, mis ühendavad tähtnumbrilisi märke ja sümboleid. Näiteks parooli väärtusega „parool” saab proovida ka sõnana p @ $$, kasutades toore jõu rünnakut.
- Vikerkaare rünnak - see meetod kasutab eelnevalt arvutatud räsisid. Oletame, et meil on andmebaas, mis salvestab paroolid md5 räsidena. Saame luua veel ühe andmebaasi, millel on levinud paroolide md5 räsi. Seejärel saame võrrelda meil olevat parooli räsi andmebaasis salvestatud räsidega. Kui leitakse vaste, on meil parool olemas.
- Arva ära - nagu nimigi ütleb, hõlmab see meetod äraarvamist. Paroolid nagu qwerty, parool, admin jne kasutatakse tavaliselt või määratakse vaikeparoolideks. Kui neid pole muudetud või kui kasutaja on paroolide valimisel hoolimatu, võib neid kergesti ohustada.
- Spidering - enamik organisatsioone kasutab paroole, mis sisaldavad ettevõtte teavet. Seda teavet leiate ettevõtte veebisaitidelt, sotsiaalmeedias, näiteks facebookis, twitteris jne. Spidering kogub nendest allikatest pärit teavet sõnaloendite koostamiseks. Seejärel kasutatakse sõnaloendit sõnastiku ja toore jõu rünnakute sooritamiseks.
Spidering näidissõnastiku rünnaku sõnaloend
1976smith jones acme built|to|last golfing|chess|soccer Parooliga lõhkumise tööriist
Need on tarkvaraprogrammid, mida kasutatakse kasutajate paroolide lõhkumiseks . Paroolide tugevuste kohta vaatasime juba ülaltoodud näites sarnast tööriista. Veebisait www.md5this.com kasutab paroolide lõhkumiseks vikerkaart. Nüüd vaatame mõnda tavaliselt kasutatavat tööriista
Ripper Johannes
Ripper John kasutab paroolide lõhkumiseks käsuviiba. See muudab selle sobivaks edasijõudnutele, kellele on mugav käskudega töötada. See kasutab paroolide lõhkumiseks sõnaloendit. Programm on tasuta, kuid sõnaloend tuleb osta. Sellel on tasuta alternatiivsed sõnaloendid, mida saate kasutada. Lisateabe saamiseks ja selle kasutamise kohta külastage toote veebisaiti https://www.openwall.com/john/.
Kain ja Abel
Cain & Abel töötab akendel. Seda kasutatakse kasutajakontode paroolide taastamiseks, Microsoft Accessi paroolide taastamiseks; võrgus nuusutamine jne. Erinevalt Ripperist Johnist kasutavad Cain & Abel graafilist kasutajaliidest. See on uustulnukate ja stsenaariumilaste seas väga levinud, kuna seda on lihtne kasutada. Lisateabe saamiseks ja selle kasutamise kohta külastage toote veebisaiti https://www.softpedia.com/get/Security/Decrypting-Decoding/Cain-and-Abel.shtml.
Ophcrack
Ophcrack on platvormidevaheline Windowsi paroolikrakker, mis kasutab paroolide purustamiseks vikerkaaritabeleid. See töötab Windowsis, Linuxis ja Mac OS-is. Lisaks muudele funktsioonidele on sellel ka toore jõu rünnakute moodul. Lisateabe saamiseks ja selle kasutamise kohta külastage toote veebisaiti https://ophcrack.sourceforge.io/.
Parooliga lõhkumise vastumeetmed
- Organisatsioon võib paroolide purunemise tõenäosuse vähendamiseks kasutada järgmisi meetodeid
- Vältige lühikesi ja kergesti prognoositavaid paroole
- Vältige ennustatavate mustritega paroolide kasutamist, näiteks 11552266.
- Andmebaasi salvestatud paroolid peavad alati olema krüptitud. MD5 krüptimise korral on parem parooliräsi enne nende salvestamist soolata. Soolamine hõlmab enne räsi loomist lisatud sõna paroolile lisamist.
- Enamikul registreerimissüsteemidest on parooli tugevuse indikaatorid, organisatsioonid peavad kasutama eeskirju, mis soosivad paroolide kõrgeid tugevusnumbreid.
Häkkimistegevus: häkkige kohe!
Selles praktilises stsenaariumis lõhume Windowsi konto lihtsa parooliga . Windows kasutab paroolide krüptimiseks NTLM-räsi . Selleks kasutame Kainis ja Abelis NTLM-i kräkkerite tööriista.
Kaini ja Abeli kräkkerit saab kasutada paroolide krakkimiseks;
- Sõnaraamatu rünnak
- Toores jõud
- Krüptanalüüs
Selles näites kasutame sõnastiku rünnakut. Sõnastiku rünnaku sõnastik tuleb alla laadida siit 10k-Most-Common.zip
Selle demonstratsiooni jaoks oleme loonud konto nimega Kontod parooliga qwerty Windows 7-s.
Parooliga lõhkumise sammud
- Avage Kain ja Abel , saate järgmise põhiekraani
- Veenduge, et kräkkerite vahekaart on valitud nagu eespool näidatud
- Klõpsake tööriistariba nuppu Lisa.
- Ilmub järgmine dialoogiaken
- Kohalikud kasutajakontod kuvatakse järgmiselt. Pange tähele, et kuvatud tulemused vastavad teie kohaliku masina kasutajakontodele.
- Paremklõpsake kontol, mille soovite murda. Selle õpetuse jaoks kasutame kasutajakontona kontosid.
- Ilmub järgmine ekraan
- Paremklõpsake sõnastiku jaotisel ja valige menüü Lisa loendisse, nagu eespool näidatud
- Sirvige äsja alla laaditud 10 k levinuma faili.txt
- Klõpsake nuppu Start
- Kui kasutaja kasutas lihtsat parooli nagu qwerty, peaksite saama järgmised tulemused.
- Märkus : parooli purustamiseks kuluv aeg sõltub teie parooli tugevusest, keerukusest ja töötlemisvõimsusest.
- Kui parooli pole sõnaraamaturünnaku abil lõhutud, võite proovida toore jõu või krüptanalüüsi rünnakuid.
Kokkuvõte
- Paroolipakkumine on salvestatud või edastatud paroolide taastamise kunst.
- Parooli tugevuse määrab parooliväärtuse pikkus, keerukus ja ettearvamatus.
- Levinud paroolitehnikad hõlmavad sõnastiku rünnakuid, toorest jõudu, vikerkaare tabeleid, ämblikuvõrku ja pragusid.
- Paroolipakkimise tööriistad lihtsustavad paroolide krakkimise protsessi.