Dotaz: Hashcat - prolomeni hesla

[polo23]

Ahoj, chtel bych se zeptat, zda mate nekdo zkusenosti s prolamovanim hesel pomoci Hashcat. Proc se ptam, dival jsem se na jejich web a zdesil jsem se toho jaky SW s tim jde hacknout. LUKS, KeePass a hromadu dalsiho.

Kdyz vyse uvedene SW pouzivam, mam se bat? A nebo kdyz mam dostatecne silna(komplexni) hesla, tak je to ok?

Jeste me napada - kdyz by ten hashcat pouzival bruteforce, tak by na to potreboval i pomerne vykonne CPU/GPU, je to tak?

---

---

Odpovědi

[polo23]

Tak vytahování hashů a zkoušení je lusknout není nic nového. Jsou to normální techniky. Spíš než lousknutí hashe se boj triviálních útoků, pokud máš tedy silné heslo.
Pod triviálními útoky myslím něco jako: zapomenutý / již nepoužívaný uživatel v OS s jednoduchým heslem, dll hijacking, omylem spuštěný bash skript z netu, používání starého děravého web prohlížeče atd.
Zdar Max

[polo23]

Hacknout hádáním hesla jde jakýkoli software, kam se přihlašujete heslem. Záleží jenom na síle toho hesla. Pokud je heslo slabé, je to problém toho hesla, nikoli softwaru, kam heslo zadáváte.

Hashcat používá bruteforce, jako každý jiný univerzální nástroj na prolamování hesel. Samozřejmě nepoužívá úplně tu nejprimitivnější metodu, že by zkoušel náhodně generované řetězce a nebo bral popořadě abecedu, zkouší na základě slovníku nejprve ty pravděpodobnější varianty. Nepotřebuje výkonné CPU/GPU – ale čím méně výkonné, tím déle to bude trvat.

[Petr Tomášek]

Tak mě napadá, zda-li by místo slovníkových útoků nešlo generovat "slova" podle frekvence slabik na určité pozici ve slově v tom určitém jazyce...

[Peter Golis]

Podobne to predsa robil JtR pri brute force útoku. A on dokáže fugnovať aj ako generátor slovníku, kľudne aj s výstupom do pajpy.

[Peter Golis]

Kde si bol, keď Solar Designer zverejnil nástroj John the Ripper, alebo keď sa dopredu vytvárali dúhové tabuľky na ľahšie lúskanie.