MENU
Nasze ceny
Przeczytaj fragment on-line
Etyczne łamanie haseł. John the Ripper, hashcat i inne zaawansowane techniki - ebook
Wydawnictwo:
Tłumacz:
Format:
EPUB
Data wydania:
29 kwietnia 2025
Etyczne łamanie haseł. John the Ripper, hashcat i inne zaawansowane techniki - ebook
Umiejętność łamania haseł przydaje się nie tylko przestępcom, ale również specjalistom do spraw bezpieczeństwa. Jest cenna w wielu sytuacjach, na przykład w razie konieczności odzyskania dostępu do systemu po odejściu użytkownika z firmy, w testowaniu penetracyjnym i w obszarze działalności zespołów czerwonych. W takich przypadkach próba złamania hasła ma udowodnić wysoki poziom mechanizmu kontroli dostępu albo jego nieskuteczność.
Dzięki tej praktycznej książce dogłębnie zrozumiesz zagadnienia związane z ochroną haseł i odzyskiwaniem chronionych nimi danych. Rozpoczniesz od zapoznania się z zasadami przechowywania danych uwierzytelniających i matematycznymi podstawami technik łamania haseł. Następnie nauczysz się posługiwać różnymi narzędziami ułatwiającymi odzyskiwanie haseł, by potem zająć się typowymi przypadkami ich łamania, odzyskiwania skrótów i pokonywania zabezpieczeń. Przyjrzysz się działaniu metod siłowych i słownikowych, dowiesz się także, jak stosować je przy różnych sposobach przechowywania danych uwierzytelniających. Poszczególne zagadnienia zostały zilustrowane licznymi rzeczywistymi przykładami. Pod koniec lektury przekonasz się, że potrafisz z łatwością łamać najpopularniejsze typy danych uwierzytelniających.
W książce między innymi:
- koncepcje łamania haseł i popularnych typów skrótów
- identyfikowanie, wyodrębnianie i łamanie skrótów haseł systemów Windows i macOS
- architektura WPA/WPA2
- popularne menedżery haseł, takie jak KeePass, LastPass i 1Password
- formatowanie skrótów dla portfeli bitcoin, litecoin, Ethereum i ich łamanie
Nie ma nic złego w łamaniu haseł, jeśli robisz to etycznie!
Spis treści
O autorze
O recenzentach
Wstęp
Część 1. Wprowadzenie i konfiguracja
- Rozdział 1. Przechowywanie haseł - matematyka, prawdopodobieństwo i złożoność
- Czym jest łamanie haseł?
- Ataki słownikowe
- Ataki kombinowane
- Ataki siłowe
- Ataki hybrydowe
- Ataki oparte na częściowej wiedzy, zwane też atakami z maską
- Jak hasła są używane i przechowywane?
- Skróty
- Szyfrowanie
- Dlaczego niektóre hasła są łatwiejsze do złamania od innych?
- Długość hasła
- Złożoność hasła
- Pora na wykonanie skrótu lub zaszyfrowanie hasła
- Trochę na temat "etycznego" łamania haseł
- Podsumowanie
- Czym jest łamanie haseł?
- Rozdział 2. Po co łamać hasła, jeśli wystarczy OSINT?
- Jak OSINT pomaga w łamaniu haseł?
- Wykorzystanie OSINT do dostępu do ujawnionych haseł
- Wykorzystanie OSINT do uzyskania kandydatów na hasła
- Podsumowanie
- Rozdział 3. Budowa własnego środowiska łamania haseł
- Wymagania techniczne
- Instalacja i wprowadzenie do narzędzia John the Ripper
- Podstawowe funkcje Johna
- Instalacja hashcata
- Podstawowe funkcje hashcata
- Podsumowanie
- Wymagania techniczne
- Rozdział 4. Reguły aplikacji John i hashcat
- Analizowanie reguł złożoności haseł
- Wybieranie i używanie reguł Johna
- Wybieranie i używanie reguł hashcata
- Podsumowanie
Część 2. Zbieranie i łamanie
- Rozdział 5. Łamanie haseł w systemach Windows i macOS
- Zbieranie skrótów haseł systemu Windows
- Kerberos
- Łamanie skrótów systemu Windows
- Zbieranie skrótów haseł macOS
- Formatowanie lub przekształcanie skrótów do oczekiwanych formatów
- Łamanie skrótów
- Podsumowanie
- Zbieranie skrótów haseł systemu Windows
- Rozdział 6. Łamanie haseł w systemie Linux
- Zbieranie skrótów haseł systemu Linux
- Formatowanie lub przekształcanie skrótów do oczekiwanych formatów
- Łamanie skrótów
- Podsumowanie
- Rozdział 7. Łamanie haseł w bezprzewodowych sieciach WPA/WPA2
- Uwaga dotycząca WEP
- Architektura WPA/WPA2
- Uzyskiwanie informacji WPA/WPA2 w celu złamania zabezpieczeń
- Metody łamania haseł WPA/WPA2
- Podsumowanie
- Rozdział 8. Łamanie haseł aplikacji WordPress, Drupal i Webmin
- Zbieranie i formatowanie skrótów WordPressa
- Łamanie skrótów WordPressa
- Zbieranie i formatowanie skrótów Drupala
- Łamanie skrótów Drupala
- Zbieranie i formatowanie skrótów Webmina
- Łamanie skrótów Webmina
- Podsumowanie
- Rozdział 9. Łamanie haseł do sejfów
- Zbieranie skrótów haseł KeePassa
- Łamanie skrótów haseł KeePassa
- Zbieranie skrótów haseł LastPassa
- Łamanie haseł LastPassa
- Zbieranie skrótów haseł 1Passworda
- Łamanie skrótów haseł 1Passworda
- Podsumowanie
- Rozdział 10. Łamanie haseł do portfeli kryptowalut
- Objaśnienie kryptowalut i łańcucha bloków
- Zbieranie i formatowanie skrótów portfela bitcoina/litecoina
- Łamanie skrótów portfeli bitcoina/litecoina
- Zbieranie i formatowanie skrótów portfela Ethereum
- Łamanie skrótów portfela Ethereum
- Podsumowanie
Część 3. Wnioski
- Rozdział 11. Ochrona przed atakami polegającymi na łamaniu haseł
- Jak wybrać hasło bardziej odporne na próby złamania?
- Dodatkowe zabezpieczenia przed próbami złamania
- Podsumowanie
| Kategoria: | Hacking |
| Zabezpieczenie: |
Watermark
|
| ISBN: | 978-83-289-2223-5 |
| Rozmiar pliku: | 16 MB |
FRAGMENT KSIĄŻKI
O autorze
JAMES LEYTE-VIDAL jest weteranem branży bezpieczeństwa komputerowego — działa w niej od ponad 20 lat. Jako samouk w branży IT James pracował nad incydentem związanym z bezpieczeństwem komputerowym, który zmienił ścieżkę jego kariery w kierunku bezpieczeństwa.
James prowadzi niezależne konsultacje i pracował dla firm z listy Fortune 100 na różnych stanowiskach, w tym w zakresie architektury bezpieczeństwa, testów penetracyjnych, zgodności, polityki i wielu innych.
James jest również instruktorem w SANS Institute, globalnym dostawcy szkoleń z zakresu bezpieczeństwa informacji, a także współautorem trzech kursów SANS: _SEC467:_ _Social Engineering for Security Professionals_, _SEC556: IoT Penetration Testing_ oraz _SEC617:_ _Wireless Penetration Testing and Ethical Hacking_.
Gdy James nie zajmuje się aktywnie bezpieczeństwem, często majsterkuje przy sprzęcie lub spędza czas ze swoją rodziną.
O recenzentach
MATT EDMONDSON jest głównym instruktorem SANS i autorem kursu SEC497 Practical OSINT. Ma ponad 21-letnie doświadczenie jako agent federalny i jest założycielem Argelius Labs, gdzie pomaga wielu dużym i małym organizacjom w lepszym rozpoznaniu obszarów ataków zewnętrznych i monitorowaniu pojawiających się zagrożeń. Jest wielokrotnym prelegentem na konferencji Black Hat i wypowiadał się w wielu publikacjach, w tym w Wired i oficjalnym magazynie Raspberry Pi.
RICH ROBERTSON przez ponad 20 lat pracy w branży IT i cyberbezpieczeństwa pełnił szereg funkcji kierowniczych i indywidualnych. Jego kariera obejmuje różne branże, w tym finanse, rozrywkę, handel detaliczny i technologię. Pasją Richa są urządzenia mobilne, hakowanie sprzętu, eksploracja danych i odkrywanie błędów logicznych. Pracował nad zabezpieczeniem technologii, która zasila wszystko, od magazynów, przez statki wycieczkowe, po akwaria z delfinami. Rich uzyskał tytuł licencjata w dziedzinie administracji biznesowej i MBA na Webber International University, a ostatnio uzyskał tytuł magistra FinTech na University of Central Florida. Ma również wiele certyfikatów branżowych, takich jak CISSP, ITPM oraz SANS GCIH i GPEN.
_Chciałbym podziękować Jamesowi za możliwość zrecenzowania jego książki. Dziękuję również_ _mojej pięknej żonie, Stacey, za miłość, wsparcie i cierpliwość podczas całego tego szaleństwa, oraz mojemu synowi, Tylerowi, za pomoc w realizacji tego przedsięwzięcia. Moim rodzicom dziękuję za wiarę we mnie i pozwolenie mi na zbudowanie pierwszego komputera, który zapoczątkował moją karierę w branży technicznej. Chcę również podziękować reszcie mojej rodziny, przyjaciołom, kolegom i nie tylko (JM i LM, LJ i Mika H), którzy popchnęli mnie do stania się tym, kim jestem dzisiaj._CZĘŚĆ 1. WPROWADZENIE I KONFIGURACJA
W tej części wprowadzimy pojęcia opisujące łamanie haseł oraz alternatywne środki osiągania naszych celów, jak OSINT, a także sposób ustawienia i konfiguracji swojego własnego środowiska pracy. Ta część obejmuje następujące rozdziały:
- Rozdział 1. „Przechowywanie haseł — matematyka, prawdopodobieństwo i złożoność”
- Rozdział 2. „Po co łamać, jeśli wystarczy OSINT?”
- Rozdział 3. „Budowa własnego środowiska łamania haseł”
- Rozdział 4. „Reguły aplikacji John i hashcat”ROZDZIAŁ 1. PRZECHOWYWANIE HASEŁ — MATEMATYKA, PRAWDOPODOBIEŃSTWO I ZŁOŻONOŚĆ
Od czasu narzędzi takich jak Cain and Abel po nowoczesne narzędzia takie jak hashcat łamanie haseł stało się nieodłącznym elementem testowania zabezpieczania informacji. Podczas gdy narzędzia i techniki zmieniały się z upływem lat, zasady leżące u podstaw łamania haseł pozostały w znacznej mierze bez zmian.
Łamanie haseł może obejmować wiele praktycznych przypadków, od odzyskiwania dostępu do systemu po odejściu użytkownika z firmy, po testowanie penetracyjne i przypadki wykorzystania przez zespoły „czerwone”, gdzie wykorzystujemy łamanie hasła, aby udowodnić bezpieczeństwo mechanizmów kontroli dostępu lub stwierdzić jego nieskuteczność.
W tym rozdziale omawiamy następujące główne zagadnienia:
- Czym jest łamanie haseł?
- Jak hasła są używane i przechowywane?
- Dlaczego niektóre hasła są łatwiejsze do złamania od innych?
Czym jest łamanie haseł?
Łamanie haseł to proces odtwarzania sekretu na podstawie zakodowanego (zwykle zaszyfrowanego lub skróconego) tekstu. Termin ten jest bardzo szeroki i obejmuje wiele metod przechowywania i mieszania haseł. Dlatego nie wszystkie działania związane z łamaniem haseł są równorzędne — niektóre hasła, a także metody przechowywania haseł są łatwiejsze do złamania niż inne. Będziemy to gruntownie omawiać w całej tej książce.
W łamaniu haseł można wyodrębnić dwa różne podejścia do próby odzyskania sekretu:
- oparte na słowniku,
- kombinowane,
- siłowe,
- hybrydowe,
- oparte na częściowej wiedzy, zwane też atakami z maską.
Omówmy po kolei wszystkie te podejścia.
Ataki słownikowe
ATAKI SŁOWNIKOWE , jak można się domyślić na podstawie nazwy, wykorzystują listę słów lub fraz jako kandydatów na hasło — potencjalne hasło — które będziemy sprawdzać, aby zobaczyć, czy będą one poprawnymi hasłami. Taka lista jest nieformalnie określana jako SŁOWNIK , choć może wcale nie zawierać słów ze słownika. Lista słów może w ogóle nie przypominać słownika. Termin ten jest utrzymywany od czasów, gdy wiele haseł opierało się na słowach ze słowników, zanim powszechne stały się wymagania dotyczące złożoności haseł (takie jak dodawanie do hasła wielkich liter, liczb i znaków specjalnych).
Gdy mówimy o wymaganiach dotyczących złożoności, wydaje się, że tradycyjne słowa ze słownika nie byłyby skuteczne jako kandydaci na hasło podczas łamania haseł, gdyż wymogi złożoności stają się coraz bardziej powszechne. Zajmiemy się tym w kolejnych podrozdziałach.
Budowa listy słów podczas ataku słownikowego może być prosta lub czasochłonna. Jednak w wielu przypadkach poświęcenie czasu na początku przy tworzeniu dobrej listy dopasowanej do celu może przynieść korzyści podczas łamania. Kompromis polega tu na tym, że przygotowana lista słów może nie nadawać się do ponownego zastosowania w innych przypadkach łamania haseł. Omawiamy to w rozdziale 2. „Po co łamać, jeśli wystarczy OSINT?”, wykorzystując BIAŁY WYWIAD ( OSINT ) do pomocy przy tworzeniu listy słów.
Dobra i dość duża lista słów, którą możemy wykorzystać na początek, to ROCKYOU . Nazwa pochodzi od nazwy firmy RockYou, do której włamano się w 2009 roku, ujawniając ponad 32 miliony uwierzytelnień użytkowników. Lista ta dostępna jest w kilku miejscach w internecie, ale popularną lokalizacją, z której można ją pobrać, jest _https://github.com/brannondorsey/naive-hashcat/releases/download/data/rockyou.txt_ . Lista ta zawiera 14 milionów unikatowych kandydatów na hasła, a jednocześnie wiele popularnych dystrybucji testów penetracyjnych, takich jak Kali Linux (dostępny pod adresem _https://www.kali.org/get-kali/#kali-platforms_ ) oraz Slingshot Linux (dostępny pod adresem _https://www.sans.org/tools/slingshot/_ ).
Ataki kombinowane
ATAKI KOMBINOWANE pobierają dwie listy słów jako dane i scalają (łączą ze sobą) po jednym kandydacie na hasło z każdej listy, tworząc kandydata na hasło do celów testowania. Na przykład jedna lista może zawierać słowa słowo1 i słowo2 , a druga słowo3 i słowo4 . W tym scenariuszu atak kombinowany wykorzysta obie listy, tworząc potencjalnych kandydatów na hasło w postaci słowo1słowo3 , słowo1słowo4 , słowo2słowo3 oraz słowo2słowo4 .
Obecne zalecenia amerykańskiej organizacji NIST (National Institute of Standards and Technology) mówią o tym, że dla zapewnienia lepszej odporności na złamanie długość hasła jest ważniejsza od jego złożoności. Pomaga to zachęcić użytkowników, aby tworzyli hasła łatwe do zapamiętania, ale trudne do złamania i zgodne z bieżącymi zaleceniami NIST. Można tego dokonać, łącząc ze sobą kilka słów ze słownika i dodając mnemonikę pomagającą w zapamiętaniu hasła. Jest to tylko jedno z podejść do tego tematu, ale przykład ten pokazuje — w powiązaniu z obecnymi zaleceniami NIST — że kombinacyjne podejście do łamania haseł może być bardziej skuteczne, gdyż wielu użytkowników, kierując się tymi zaleceniami, przechodzi na hasła złożone z fraz.
Jednocześnie niektóre standardy mogą spowolnić przechodzenie na dłuższe, mniej skomplikowane frazy. Na przykład standard PCI-DSS (ang. _Payment Card Industry Data Security_ _Standard_ ), który jest wymagany przy przetwarzaniu danych kart kredytowych w placówkach handlowych, wymaga hasła złożonego z 12 znaków, a także liter i cyfr przy hasłach powiązanych z kontami, które mają dostęp do danych posiadacza karty.
Ataki siłowe
ATAKI SIŁOWE robią dokładnie to, na co wskazuje ich nazwa — każda pozycja kandydatów na hasło jest wypełniana każdym możliwym znakiem w tej pozycji. Jeśli na przykład hasło może mieć jedynie długość ośmiu znaków, podejście siłowe będzie wypróbowywać jako kandydata aaaaaaaa , potem aaaaaaab i tak dalej, aż do _wyczerpania_ wszystkich możliwości. Problem związany z tym podejściem polega na tym, że gdy hasło osiąga rozsądną długość, czas potrzebny na wykonanie tego rodzaju ataku staje się niemożliwy do realizacji. Ponadto liczba zbiorów znaków dostępnych do wykorzystania (małe litery, wielkie litery, cyfry i symbole) także znacznie zwiększa liczbę prób wymaganych przy tym ataku.
Dobrą wiadomością z punktu widzenia łamania haseł jest możliwość złamania tym sposobem każdego hasła. Jednak czas potrzebny na to przy dzisiejszej mocy obliczeniowej komputerów sprawia, że jest to ułudą przy większych hasłach lub bardziej skomplikowanych algorytmach (wymagających więcej czasu przy każdej próbie).
Ataki hybrydowe
ATAKI HYBRYDOWE łączą ze sobą pewne cechy ataków kombinowanych i ataków siłowych. Atak hybrydowy wykorzystuje jako podstawę listę słów, a następnie modyfikuje słowa z listy, dodając do nich jeden lub więcej znaków i próbując ataku siłowego w przestrzeni powiązanych z tym znaków. Dla przykładu powiedzmy, że mam następujące słowo z listy słów:
banana
Wiem jednak, że reguły haseł w moim celu wymagają, aby w każdym haśle była cyfra. Mogę spróbować ataku hybrydowego, który wykorzystuje słowo z mojej listy i dodaje po nim cyfrę. Teraz moi kandydaci na hasło wyglądają następująco:
banana1
banana2
banana3
banana4
Pozwala to na bardziej efektywne testowanie środowisk, których użytkownicy często dodają na końcu lub na początku swojego hasła jakieś podstawowe słowo ze słownika.
Ataki oparte na częściowej wiedzy, zwane też atakami z maską
ATAKI Z MASKĄ wykorzystują pomysł, że jeśli częściowo rozumiemy format użyty do budowy hasła, to tworzymy atak o podejściu podobnym do siłowego, który jest przyspieszony dzięki założeniom, jakie przyjmujemy na temat formatu hasła.
Pomocny będzie tu przykład. Przyjmijmy, że testujemy hasła w firmie, która wymaga w hasłach jednej wielkiej litery, jednej małej litery i cyfry. Jest dość powszechne w wielu firmach wymaganie związane ze złożonością haseł i wielu użytkowników spełnia ten warunek, stawiając wielką literę na początku słowa ze słownika i dodając na końcu jedną lub dwie cyfry.
Okazuje się, że takie wymagania co do hasła w powiązaniu ze zmianą hasła co 90 dni mogą prowadzić do koszmarnego hasła _pora-rok_ , kiedy to użytkownicy ustawiają hasło na porę roku (wiosna, lato itd.), dodając dwu- lub czterocyfrowe oznaczenie roku (Wiosna22/Wiosna2022/Lato22/Lato2022 itd.).
Może to prowadzić do utworzenia maski na hasło, która zakłada, że użytkownik wybierze hasło z wielką literą na początku, potem kilkoma małymi literami i dwiema lub czterema cyframi na końcu (od 0 do 9). Maska ta będzie dobrą próbą ataku siłowego na każde hasło o podobnej długości spełniające te kryteria. Nie doprowadzi to do uzyskania każdego hasła z listy, ale podejście to wykazuje historycznie duży procent złamanych haseł, gdyż zasady te są często przyjmowane przez użytkowników podczas tworzenia haseł.
+--------------------------------------------------------------------------+
| Ważna uwaga |
+--------------------------------------------------------------------------+
| Lepsze sposoby tworzenia i ograniczania haseł pokażemy w rozdziale 11. |
+--------------------------------------------------------------------------+
Jak hasła są używane i przechowywane?
Sposób przechowywania haseł może wydawać się sprawą prostą, ale może to mieć ogromny wpływ na możliwości ich odzyskiwania za pomocą łamania haseł i na czas trwania takiej operacji.
+--------------------------------------------------------------------------+
| Nie zawsze trzeba łamać hasła! |
+--------------------------------------------------------------------------+
| Większość haseł jest przechowywana w systemach uwierzytelnień za |
| pośrednictwem jakiegoś procesu, który utrudnia ich odzyskanie. Jednak |
| nie jest niczym niezwykłym natknięcie się na systemy, które nie chronią |
| odpowiednio danych uwierzytelniających użytkowników. Wcześniej była w |
| tym rozdziale mowa o złamaniu systemu RockYou. W tym przypadku firma ta |
| przechowywała hasła w postaci tekstowej (bez skrótów ani szyfrowania), |
| co sprawiło, że uzyskanie haseł było trywialne. Oznaczało to, że gdy |
| hasła użytkowników stały się dostępne publicznie, były w pełni narażone |
| — nie było wymagane żadne łamanie haseł ani inne skomplikowane |
| działania. Hasła były po prostu do wzięcia. |
+--------------------------------------------------------------------------+
Pomówmy teraz o dwóch rodzajach przechowywania haseł, z którymi zwykle mamy do czynienia: SKRÓTACH oraz SZYFROWANIU .
Skróty
JAMES LEYTE-VIDAL jest weteranem branży bezpieczeństwa komputerowego — działa w niej od ponad 20 lat. Jako samouk w branży IT James pracował nad incydentem związanym z bezpieczeństwem komputerowym, który zmienił ścieżkę jego kariery w kierunku bezpieczeństwa.
James prowadzi niezależne konsultacje i pracował dla firm z listy Fortune 100 na różnych stanowiskach, w tym w zakresie architektury bezpieczeństwa, testów penetracyjnych, zgodności, polityki i wielu innych.
James jest również instruktorem w SANS Institute, globalnym dostawcy szkoleń z zakresu bezpieczeństwa informacji, a także współautorem trzech kursów SANS: _SEC467:_ _Social Engineering for Security Professionals_, _SEC556: IoT Penetration Testing_ oraz _SEC617:_ _Wireless Penetration Testing and Ethical Hacking_.
Gdy James nie zajmuje się aktywnie bezpieczeństwem, często majsterkuje przy sprzęcie lub spędza czas ze swoją rodziną.
O recenzentach
MATT EDMONDSON jest głównym instruktorem SANS i autorem kursu SEC497 Practical OSINT. Ma ponad 21-letnie doświadczenie jako agent federalny i jest założycielem Argelius Labs, gdzie pomaga wielu dużym i małym organizacjom w lepszym rozpoznaniu obszarów ataków zewnętrznych i monitorowaniu pojawiających się zagrożeń. Jest wielokrotnym prelegentem na konferencji Black Hat i wypowiadał się w wielu publikacjach, w tym w Wired i oficjalnym magazynie Raspberry Pi.
RICH ROBERTSON przez ponad 20 lat pracy w branży IT i cyberbezpieczeństwa pełnił szereg funkcji kierowniczych i indywidualnych. Jego kariera obejmuje różne branże, w tym finanse, rozrywkę, handel detaliczny i technologię. Pasją Richa są urządzenia mobilne, hakowanie sprzętu, eksploracja danych i odkrywanie błędów logicznych. Pracował nad zabezpieczeniem technologii, która zasila wszystko, od magazynów, przez statki wycieczkowe, po akwaria z delfinami. Rich uzyskał tytuł licencjata w dziedzinie administracji biznesowej i MBA na Webber International University, a ostatnio uzyskał tytuł magistra FinTech na University of Central Florida. Ma również wiele certyfikatów branżowych, takich jak CISSP, ITPM oraz SANS GCIH i GPEN.
_Chciałbym podziękować Jamesowi za możliwość zrecenzowania jego książki. Dziękuję również_ _mojej pięknej żonie, Stacey, za miłość, wsparcie i cierpliwość podczas całego tego szaleństwa, oraz mojemu synowi, Tylerowi, za pomoc w realizacji tego przedsięwzięcia. Moim rodzicom dziękuję za wiarę we mnie i pozwolenie mi na zbudowanie pierwszego komputera, który zapoczątkował moją karierę w branży technicznej. Chcę również podziękować reszcie mojej rodziny, przyjaciołom, kolegom i nie tylko (JM i LM, LJ i Mika H), którzy popchnęli mnie do stania się tym, kim jestem dzisiaj._CZĘŚĆ 1. WPROWADZENIE I KONFIGURACJA
W tej części wprowadzimy pojęcia opisujące łamanie haseł oraz alternatywne środki osiągania naszych celów, jak OSINT, a także sposób ustawienia i konfiguracji swojego własnego środowiska pracy. Ta część obejmuje następujące rozdziały:
- Rozdział 1. „Przechowywanie haseł — matematyka, prawdopodobieństwo i złożoność”
- Rozdział 2. „Po co łamać, jeśli wystarczy OSINT?”
- Rozdział 3. „Budowa własnego środowiska łamania haseł”
- Rozdział 4. „Reguły aplikacji John i hashcat”ROZDZIAŁ 1. PRZECHOWYWANIE HASEŁ — MATEMATYKA, PRAWDOPODOBIEŃSTWO I ZŁOŻONOŚĆ
Od czasu narzędzi takich jak Cain and Abel po nowoczesne narzędzia takie jak hashcat łamanie haseł stało się nieodłącznym elementem testowania zabezpieczania informacji. Podczas gdy narzędzia i techniki zmieniały się z upływem lat, zasady leżące u podstaw łamania haseł pozostały w znacznej mierze bez zmian.
Łamanie haseł może obejmować wiele praktycznych przypadków, od odzyskiwania dostępu do systemu po odejściu użytkownika z firmy, po testowanie penetracyjne i przypadki wykorzystania przez zespoły „czerwone”, gdzie wykorzystujemy łamanie hasła, aby udowodnić bezpieczeństwo mechanizmów kontroli dostępu lub stwierdzić jego nieskuteczność.
W tym rozdziale omawiamy następujące główne zagadnienia:
- Czym jest łamanie haseł?
- Jak hasła są używane i przechowywane?
- Dlaczego niektóre hasła są łatwiejsze do złamania od innych?
Czym jest łamanie haseł?
Łamanie haseł to proces odtwarzania sekretu na podstawie zakodowanego (zwykle zaszyfrowanego lub skróconego) tekstu. Termin ten jest bardzo szeroki i obejmuje wiele metod przechowywania i mieszania haseł. Dlatego nie wszystkie działania związane z łamaniem haseł są równorzędne — niektóre hasła, a także metody przechowywania haseł są łatwiejsze do złamania niż inne. Będziemy to gruntownie omawiać w całej tej książce.
W łamaniu haseł można wyodrębnić dwa różne podejścia do próby odzyskania sekretu:
- oparte na słowniku,
- kombinowane,
- siłowe,
- hybrydowe,
- oparte na częściowej wiedzy, zwane też atakami z maską.
Omówmy po kolei wszystkie te podejścia.
Ataki słownikowe
ATAKI SŁOWNIKOWE , jak można się domyślić na podstawie nazwy, wykorzystują listę słów lub fraz jako kandydatów na hasło — potencjalne hasło — które będziemy sprawdzać, aby zobaczyć, czy będą one poprawnymi hasłami. Taka lista jest nieformalnie określana jako SŁOWNIK , choć może wcale nie zawierać słów ze słownika. Lista słów może w ogóle nie przypominać słownika. Termin ten jest utrzymywany od czasów, gdy wiele haseł opierało się na słowach ze słowników, zanim powszechne stały się wymagania dotyczące złożoności haseł (takie jak dodawanie do hasła wielkich liter, liczb i znaków specjalnych).
Gdy mówimy o wymaganiach dotyczących złożoności, wydaje się, że tradycyjne słowa ze słownika nie byłyby skuteczne jako kandydaci na hasło podczas łamania haseł, gdyż wymogi złożoności stają się coraz bardziej powszechne. Zajmiemy się tym w kolejnych podrozdziałach.
Budowa listy słów podczas ataku słownikowego może być prosta lub czasochłonna. Jednak w wielu przypadkach poświęcenie czasu na początku przy tworzeniu dobrej listy dopasowanej do celu może przynieść korzyści podczas łamania. Kompromis polega tu na tym, że przygotowana lista słów może nie nadawać się do ponownego zastosowania w innych przypadkach łamania haseł. Omawiamy to w rozdziale 2. „Po co łamać, jeśli wystarczy OSINT?”, wykorzystując BIAŁY WYWIAD ( OSINT ) do pomocy przy tworzeniu listy słów.
Dobra i dość duża lista słów, którą możemy wykorzystać na początek, to ROCKYOU . Nazwa pochodzi od nazwy firmy RockYou, do której włamano się w 2009 roku, ujawniając ponad 32 miliony uwierzytelnień użytkowników. Lista ta dostępna jest w kilku miejscach w internecie, ale popularną lokalizacją, z której można ją pobrać, jest _https://github.com/brannondorsey/naive-hashcat/releases/download/data/rockyou.txt_ . Lista ta zawiera 14 milionów unikatowych kandydatów na hasła, a jednocześnie wiele popularnych dystrybucji testów penetracyjnych, takich jak Kali Linux (dostępny pod adresem _https://www.kali.org/get-kali/#kali-platforms_ ) oraz Slingshot Linux (dostępny pod adresem _https://www.sans.org/tools/slingshot/_ ).
Ataki kombinowane
ATAKI KOMBINOWANE pobierają dwie listy słów jako dane i scalają (łączą ze sobą) po jednym kandydacie na hasło z każdej listy, tworząc kandydata na hasło do celów testowania. Na przykład jedna lista może zawierać słowa słowo1 i słowo2 , a druga słowo3 i słowo4 . W tym scenariuszu atak kombinowany wykorzysta obie listy, tworząc potencjalnych kandydatów na hasło w postaci słowo1słowo3 , słowo1słowo4 , słowo2słowo3 oraz słowo2słowo4 .
Obecne zalecenia amerykańskiej organizacji NIST (National Institute of Standards and Technology) mówią o tym, że dla zapewnienia lepszej odporności na złamanie długość hasła jest ważniejsza od jego złożoności. Pomaga to zachęcić użytkowników, aby tworzyli hasła łatwe do zapamiętania, ale trudne do złamania i zgodne z bieżącymi zaleceniami NIST. Można tego dokonać, łącząc ze sobą kilka słów ze słownika i dodając mnemonikę pomagającą w zapamiętaniu hasła. Jest to tylko jedno z podejść do tego tematu, ale przykład ten pokazuje — w powiązaniu z obecnymi zaleceniami NIST — że kombinacyjne podejście do łamania haseł może być bardziej skuteczne, gdyż wielu użytkowników, kierując się tymi zaleceniami, przechodzi na hasła złożone z fraz.
Jednocześnie niektóre standardy mogą spowolnić przechodzenie na dłuższe, mniej skomplikowane frazy. Na przykład standard PCI-DSS (ang. _Payment Card Industry Data Security_ _Standard_ ), który jest wymagany przy przetwarzaniu danych kart kredytowych w placówkach handlowych, wymaga hasła złożonego z 12 znaków, a także liter i cyfr przy hasłach powiązanych z kontami, które mają dostęp do danych posiadacza karty.
Ataki siłowe
ATAKI SIŁOWE robią dokładnie to, na co wskazuje ich nazwa — każda pozycja kandydatów na hasło jest wypełniana każdym możliwym znakiem w tej pozycji. Jeśli na przykład hasło może mieć jedynie długość ośmiu znaków, podejście siłowe będzie wypróbowywać jako kandydata aaaaaaaa , potem aaaaaaab i tak dalej, aż do _wyczerpania_ wszystkich możliwości. Problem związany z tym podejściem polega na tym, że gdy hasło osiąga rozsądną długość, czas potrzebny na wykonanie tego rodzaju ataku staje się niemożliwy do realizacji. Ponadto liczba zbiorów znaków dostępnych do wykorzystania (małe litery, wielkie litery, cyfry i symbole) także znacznie zwiększa liczbę prób wymaganych przy tym ataku.
Dobrą wiadomością z punktu widzenia łamania haseł jest możliwość złamania tym sposobem każdego hasła. Jednak czas potrzebny na to przy dzisiejszej mocy obliczeniowej komputerów sprawia, że jest to ułudą przy większych hasłach lub bardziej skomplikowanych algorytmach (wymagających więcej czasu przy każdej próbie).
Ataki hybrydowe
ATAKI HYBRYDOWE łączą ze sobą pewne cechy ataków kombinowanych i ataków siłowych. Atak hybrydowy wykorzystuje jako podstawę listę słów, a następnie modyfikuje słowa z listy, dodając do nich jeden lub więcej znaków i próbując ataku siłowego w przestrzeni powiązanych z tym znaków. Dla przykładu powiedzmy, że mam następujące słowo z listy słów:
banana
Wiem jednak, że reguły haseł w moim celu wymagają, aby w każdym haśle była cyfra. Mogę spróbować ataku hybrydowego, który wykorzystuje słowo z mojej listy i dodaje po nim cyfrę. Teraz moi kandydaci na hasło wyglądają następująco:
banana1
banana2
banana3
banana4
Pozwala to na bardziej efektywne testowanie środowisk, których użytkownicy często dodają na końcu lub na początku swojego hasła jakieś podstawowe słowo ze słownika.
Ataki oparte na częściowej wiedzy, zwane też atakami z maską
ATAKI Z MASKĄ wykorzystują pomysł, że jeśli częściowo rozumiemy format użyty do budowy hasła, to tworzymy atak o podejściu podobnym do siłowego, który jest przyspieszony dzięki założeniom, jakie przyjmujemy na temat formatu hasła.
Pomocny będzie tu przykład. Przyjmijmy, że testujemy hasła w firmie, która wymaga w hasłach jednej wielkiej litery, jednej małej litery i cyfry. Jest dość powszechne w wielu firmach wymaganie związane ze złożonością haseł i wielu użytkowników spełnia ten warunek, stawiając wielką literę na początku słowa ze słownika i dodając na końcu jedną lub dwie cyfry.
Okazuje się, że takie wymagania co do hasła w powiązaniu ze zmianą hasła co 90 dni mogą prowadzić do koszmarnego hasła _pora-rok_ , kiedy to użytkownicy ustawiają hasło na porę roku (wiosna, lato itd.), dodając dwu- lub czterocyfrowe oznaczenie roku (Wiosna22/Wiosna2022/Lato22/Lato2022 itd.).
Może to prowadzić do utworzenia maski na hasło, która zakłada, że użytkownik wybierze hasło z wielką literą na początku, potem kilkoma małymi literami i dwiema lub czterema cyframi na końcu (od 0 do 9). Maska ta będzie dobrą próbą ataku siłowego na każde hasło o podobnej długości spełniające te kryteria. Nie doprowadzi to do uzyskania każdego hasła z listy, ale podejście to wykazuje historycznie duży procent złamanych haseł, gdyż zasady te są często przyjmowane przez użytkowników podczas tworzenia haseł.
+--------------------------------------------------------------------------+
| Ważna uwaga |
+--------------------------------------------------------------------------+
| Lepsze sposoby tworzenia i ograniczania haseł pokażemy w rozdziale 11. |
+--------------------------------------------------------------------------+
Jak hasła są używane i przechowywane?
Sposób przechowywania haseł może wydawać się sprawą prostą, ale może to mieć ogromny wpływ na możliwości ich odzyskiwania za pomocą łamania haseł i na czas trwania takiej operacji.
+--------------------------------------------------------------------------+
| Nie zawsze trzeba łamać hasła! |
+--------------------------------------------------------------------------+
| Większość haseł jest przechowywana w systemach uwierzytelnień za |
| pośrednictwem jakiegoś procesu, który utrudnia ich odzyskanie. Jednak |
| nie jest niczym niezwykłym natknięcie się na systemy, które nie chronią |
| odpowiednio danych uwierzytelniających użytkowników. Wcześniej była w |
| tym rozdziale mowa o złamaniu systemu RockYou. W tym przypadku firma ta |
| przechowywała hasła w postaci tekstowej (bez skrótów ani szyfrowania), |
| co sprawiło, że uzyskanie haseł było trywialne. Oznaczało to, że gdy |
| hasła użytkowników stały się dostępne publicznie, były w pełni narażone |
| — nie było wymagane żadne łamanie haseł ani inne skomplikowane |
| działania. Hasła były po prostu do wzięcia. |
+--------------------------------------------------------------------------+
Pomówmy teraz o dwóch rodzajach przechowywania haseł, z którymi zwykle mamy do czynienia: SKRÓTACH oraz SZYFROWANIU .
Skróty
więcej..
