Dotaz: Cracknutí linuxového hesla

[tom84]

Existuje jiná možnost zjištění hesla z hashe, který je v /etc/shadow, než použitím Johna nebo programu crack? Jde mi o to, jestli lze použít kolize nebo jiný způsob, a nebo je to u hashe se saltem nemožné a musí se použít brute-force nebo wordlist?
Předem děkuji všem za odpověď.

Odpovědi

[Luboš Doležel (Doli)]

Kolize slouží ke zjištění hesla?!

[tom84]

No co o kolizi vím, tak by zjištěný řetězec měl vygenerovyt stejný hash. Proto jsem se ptal jestli je možné si takto heslo (ať klidně není stejné) zjistit

[Michal Kubeček]

O kolizi se v této souvislosti mluví, pokud znáte dva vstupy, které dají stejný výstup. Vy ale máte k danému výstupu najít nějaký vstup, který dá příslušnou hodnotu.

[Jardík]

root:$1$JmCrUBDZ$ZaDVs/gpvikT4CaBj9Y260:13296::::::
To stačí vymazat (např. pomocí live cd). Pak to žádné heslo nechce (nebo teda alespon ve skole na debianu to nechtelo).

[Michal Kubeček]

Některé systémy jsou nastaveny tak, že je-li položka prázdná, přihlášení nedovolí. V takovém případě bych tam buď zkopíroval heslo od jiného uživatele nebo prostě použil příkaz passwd (roota se na staré heslo neptá).

[Max]

Tak tak, když už se člověk dostane k bootování livecd a fs nejni šifrovaný, tak ho nic nezastaví
Zdar Max

[tom84]

Tohle všechno znám, ale já právě nemám fyz. přístup na daný PC a ani účet, že bych použil nějaký exploit na jádro. jediný co jsem z daného stroje získal je soubor /etc/passwd a /etc/shadow

[Michal Kubeček]

Pokud jste ho získal, pak jste tam buď měl roota nebo je jeho správce trestuhodně nedbalý. Tak či onak není zrovna morální vám v takové činnosti pomáhat.

[Ricardo]

nemusel mít nutně roota ... mohl tam běžet apache s mod php, které chroustalo trestuhodně nedbale napsaný kód (ve stylu místo )

[Zdeněk Burda]

Pokud běžel apache s čímkoliv pod rootem, tak toho roota měl/má a správce serveru je trestuhodně nedbalý...

[Michal Kubeček]

A pokud snad ke čtení /etc/shadow nejsou potřeba práva roota nebo skupiny, do které žádný uživatel nepatří, pak také…

[Heron]

Hmm dotaz: co je na tom souboru tak zvláštního? Jasně, jde o hesla, ale je to v SHA1, ta jde cracknout jedině brute force attackem. Takže pokud si někdo mění dostatečně často heslo, tak je to v pohodě, ne?

Tím nechci říct, že ten soubor by neměl být chráněn, ale ten, kdo má techniku na prolomení SHA v nějakém rozumném čase, tak ten se do toho PC stejně dostane.

[ZAH]

No minimálně je to seznam uživatelů počítače. Dobrý základ k hádání hesel. Například usr nbu heslo nbu123.

[Zdeněk Burda]

Seznam uživatelů dostaneš z normálně nastaveného systému z /etc/passwd. Blbé je, že průměrný uživatel (a velmi často i root) na většině systémů, se kterými jsem měl tu čest byl lempl a heslo měl velmi jednoduché. John si s tím poradil během pár hodin na (dnes už) slabém počítači.

[Kníže Ignor]

No, sha-1 je minimálně nalomená, pokud ne zlomená Ale hlavní důvod je ten, že pak může člověk snadno udělat slovníkový útok.

[Michal Kubeček]

SHA-1 jsem zatím takto využitou neviděl. V praxi se v Linuxu používá DES (použitý nepřímo, tj. heslem se šifruje pevný datový blok), MD5 (není to klasická MD5, ale algoritmus, který MD5 používá) a Blowfish (AFAIK opět použitý nepřímo podobně jako DES). Kromě toho DESu jsou to dostatečně silné algoritmy. Problém je spíš v předpokladu, že uživatelé nemají snadno uhodnutelná hesla, ten bohužel v praxi často splněn není. Koneckonců to, že není dobré mít hashe hesel ve world-readable souboru, je důvod, proč se shadow passwords kolem roku 1995 začala vůbec zavádět, do té doby byly hashe hesel přímo v /etc/password (což se dodnes odráží v jeho názvu a nepoužité druhé položce).

[Heron]

Díky za vysvětlení.

Mno, zkusím Johna u sebe na serveru. Pravda, né každý má 18místná hesla jako já....

[Michal Vyskočil]

18? Moje mají osm znaků. 15 pouze passfráze ke GPG a SSH a ty mi generoval apg . Skoro by to chtělo anketu ...

[Michal Vyskočil]

Takže pokud si někdo mění dostatečně často heslo, tak je to v pohodě, ne?

Admin, který nechá shadow čitelný si pravděpodobně moc často měnit hesla nebude.

[Michal Kubeček]

Nemluvě o tom, ho snad žádná distribuce jako world readable ani nenainstaluje. Pokud se mýlím, prosím o jmenovité nabonzování, ať všichni vědí, na koho si mají dát pozor.

[Frank J. Tomes]

Pusťte si někdy Johna na vašem počítači a budete překvapeni, jaká hesla jsou schopni vymyslet vaši uživatelé

[Michal Kubeček]

Ono stačí nastavit trochu přísnější pravidla pro volbu hesla a pak sledovat, kolik pokusů potřebuje uživatel na jeho změnu… :-)