Dotaz: Jak zjistím hesla ostatních uživatelů, když znám root heslo?

[Josef M.]

Jak se prosím dá zjisti v Loinuxu přístupové hesla osatních účtů - uživatelů, pokud znám heslo na root?

---

---

Odpovědi

[Tomáš Pelc]

Zjistit uživatelská hesla je úkol pro kvantový počítač, protože jsou "zahešována". Nicméně root může poměrně snadno tato hesla změnit.

[Tomáš Pelc]

Více info např. tady: Where and how are passwords stored on Linux?

[bigBRAMBOR]

případně se na uživatele přepnout nebo vykonat pod ním příkaz. Má přistup k hashum, takze brute force.

[Peter Golis]

S tým BruteForce (alebo aj so slovníkovým lámaním) mu prajem veľa zdaru, a kvalitnú grafickú kartu s podporou OpenCL.

[j]

lol ... estli to sou useri jako vsude, tak ty hesla nebudou delsi nez 3 pismena. Takze jich mas 90% do 5 minut.

Zajimavejsi to ovsem bude po pravni strance ... hnedle nekolik trestnych cinu.

---

Dete s tim guuglem dopice!

[Peter Golis]

V poslednej dobe zdvihli linuxové distribúcie východziu dĺžku hesla zo 6 na 8 znakov, ale veľa krát to je nastavené len ako varovanie. Takže kľudne môže mať aj kratšie heslá. Dosť užívateľských hesiel bude aj v slovníkoch s uniknutými heslami ktoré sú "ľahko zapamätateľné".

Ohľadne právnej stránky: Je otázka či chalan potrebuje overiť či užívatelia používajú bezpečné heslá. Ale tu by som len pritvrdil politiku, a vyzval na zmenu hesla (aj s info aké sú kritériá).

[bigBRAMBOR]

Dosť užívateľských hesiel bude aj v slovníkoch s uniknutými heslami

kdyby se neopakovala porad ta sama hesla nebyly by slovníky hesel. Tedy formulace dost hesel bude ve slovnikach s uniknutyma heslama mi prijde takova dost .....

[jee jako jeliman]

Takze jich mas 90% do 5 minut

To mluvis o heslech k cemu?

[jee jako jeliman]

takze brute force

Vhledem k tomu co jsi napsal na zacatku, tak by to delal jen aby vedel jake heslo pouzil treba ze by to mohl pouzit treba i ve web sluzbach ale to by musel pouzit i stejne jmeno a to uz by byla moc velka nahoda, ze by nekdo takovy mel i nejaky cenny obsah kdekoli.

[a1bert]

MITM

[jose17]

bruteforce je overkill, takze sa zvykne zacinat slovnikom. na co to vlastne potrebujes?

[bigBRAMBOR]

obcas jsem to delal, predhodil jsem shadow na nejaky cracker, uz nevim jaky, nechal to bezet treba dva dny, uzivatele co to uhadlo jsem donutil zmenit heslo. John the ripper? Existuje to jeste?

[Filip Jirsák]

Legálně nijak.

[_]

Nato se ale nikdo neptal..

[bigBRAMBOR]

a my jsme se stali spolupachateli, ona to bude nějakí provokačka

[OldFrog {Ondra Nemecek}]

V případě že zjišťuje vlastní nebo systémová hesla na tom IMHO nic nelegálního není.

[Filip Jirsák]

To je pravda. Ale nedává to moc smysl. Leda by ta hesla byla použitá i jinde. Ale bez upřesnění je ten dotaz dost zvláštní.

[Petr Šobáň]

Hesla jako taková se nikam neukládají , čili je odnikud nejde výtáhnout. Nepíšete o jakém Linuxu je řeč,ale obecně, v /etc je soubor shadow v něm najdete seznam uzivatelů a něaký hash jejich hesla. Funguje to tak, že uživatel zadá heslo, z něj OS vypočítá jeho hash a ten pak porovnává s hash uložený v shadow souboru pro daného uživatele, pokud se shoduje je heslo OK pokud se neshoduje není.

Pak existují něco jako rainbowtable, to jsou obrovské databáze předpočítaných kombinací znaku, řekněme pro 1 až 8,... znaků. Pokud daný uživatel má heslo do 8,.. znaků lze (některé tabuly jsou dostupné online) do nich zadat hash a oni vrátí odpovídajíc heslo. Pokud uživatelelovo heslo je první sloka z máje obecně cokoliv nad 12 znaků tak máte smůlu s každým znakem se velikost databáze zvyšuje orientačně 40x a tak velké RT uchovává tak NSA. Heslo uživatele tedy nemáte šanci zjisit, ale pokud u daného uživatele do souboru shadow umistite hash třerba strjný jako máte u root bude mit uživatel stejné heslo jako root. format řádku v shadow něco jako

pi:$6$m85Pcdua$h9l9lYvEI8KJ.yih/9E1SFY7blarDc4QPIDZKOMdxrHxT9zkHZOXclRCk/dUAbtLPyGIn6mqn0GMdVrn3U2Kx0:17994:0:99999:7::: messagebus:*:17994:0:99999:7:::

uživatel, zde pi , odělovací dvojtečka pak hash hesla ož po dalčí dvojtečku $6$ je info o použitém hash algoritmu 6 je SHA-512 hash je pro default heslo tedy raspberry

[ehmmm]

Stejny hash = stejne heslo?

To tam neni nejaka sul, treba id uzivatele?

[Filip Jirsák]

V původním passwd hashe osolené nebyly. Pak se hashe přesunuly do shadow, aby se k nim nedostal nikdo jiný než root. Pak se začaly solit, aby ani root nemohl použít duhové tabulky.

[Jendа]

Je tam sůl, v tomto konkrétním případě m85Pcdua.

[Jendа]

Nainstalovat vlastní modul do PAMu (návod), který heslo zaloguje.

[martin-ux]

Napriklad tak.
Pripadne ak sa ti nechce nic pisat tak sa attachi cez strace na sshd daemona a cakaj kym sa user prihlasi. Zjednodusenie vystupu straceu je trivialne a nechavam ti (OP) ako domacu ulohu. To heslo uvidis v plaintexte (ak user nepouziva SSH kluc).

[Filip Jirsák]

Root jejich hesla nepotřebuje - může se do jejich profilu přihlásit bez hesla nebo jim ho může změnit.

[kat]

#3

To ale není řešení dotazu.

[Andy]

Za mych mladych let na BSD jsme jednou narazili na terminal s prihlasenym rootem tak jsme si sejvli shell a pak pres nej trosku pajcli zdrojaky loginu a prekompilovali. No a pak nam uzivatele hezky do souboru logovali sva namakana hesla typu Lenka20 atd. Jo a root mel JanZizkaZTrocnova

[H0ax]

Zeptáš se jich.

[Filip Jirsák]

Pokud uživatelé znají alespoň základy bezpečnosti, heslo nikomu neřeknou.

[j]

Jirsak prave priletel z venuse ... pred hodinou sem prcal usera kterej primo predemnou diktoval svoje heslo druhymu.

Jaky z toho plyne ponauceni? Priste heslo nediktovat pred blbym ITkem. Enforce dostali oba.

Minulej tejden sem zcela random narazil na verejnym disku na soubor ... s heslama celyho oddeleni.

Kdyz ted zvednu telefon a zavolam libovolnymu userovi at mi rekne heslo, tak mi ho obratem rekne. A staci na to, kdyz vim jak se jmenuje ITk, ze vola z neznamyho cisla nikoho nedojme.

Kdyz pudu po ulici a budu lidem rikat ze delam pruzkum pouzivanosti platebnich karet, jestli mi ji ukazou, tak mi ji ukaze 80% znich, kdyz jim nabidnu za odmenu trebas malou cokoladu, tak vsichni. To co uvidim (a pripadne si nafotim) mi na zaplaceni tou kartou bohate staci, v 30% ziskam i pin.

A az budu chtit cracknout nejakou firmu, staci kdyz si najdu, jak se jmenuje reditel (maximalne tak jeste jeho pes pripadne jeho nabijecka, podle veku). Uspech 100% zarucen. Overeno na pokusnych subjektech (na nemocnice to funguje taky zcela spolehlive, reditele lze alternovat s primarem).

---

Dete s tim guuglem dopice!

[Filip Jirsák]

Takže vaši uživatelé neznají ani základy bezpečnosti. Normálně by se tím správce nechlubil, ale u vás to odpovídá. Možná byste se mohl zamyslet, proč mají uživatelé potřebu hesla mezi sebou sdílet.

[candat]

Jirsak, zalez na ruut, a precti si mitnika, ten nikdy nic nehackoval, ale to bezmozek jako ty nemuze vedet.

Mimochodem ubedebil tvy kategorie samozrejme nemuze chapat, ze useri a jich neschopnost neni vec admina, ale kokotu z HR. Kdyby to bylo na me, tak do minuty vykopnu od kazdyho zakaznika 80% zamestnancu. Ovsem ty bys byl zarucene prvni.

---

Dete s tim guuglem dopice!

[Peter Golis]

Minul si sa povolaním, mal si ísť radšej robiť na HR keď vravíš že si v tom lepší ako keď ťa nútia robiť IT Admina.

To určitě. Každý řekne. Můžete jen doufat, že si ho potom snad možná alespoň někdo z nich změní.

[Filip Jirsák]

Zvláštní. Mně se ta první věta „pokud uživatelé znají alespoň základy bezpečnosti“ normálně zobrazuje. Ale evidentně ji někteří nevidí.

Ta věta se normálně zobrazuje. Ale ti uživatelé, co dodržují základy bezpečnosti, ne.

[Aleš Kapica]

Je zajímavé, že nikomu z vás nedochází proč to vůbec tazatel potřebuje řešit.

Situace, se kterou se běžně setkávám já je, že uživatel svoje heslo zapoměl a pak žebroní po ajťákovi aby mu ho ideálně zjistil, protože se mu nechce vymýšlet si heslo nové.

Admina hesla uživatelů nezajímají, protože je obvykle k ničemu nepotřebuje. A přihlášení přes heslo používá jen v případě, že se potřebuje přihlásit ze stroje kde nemá klíč.

[Peter Golis]

Tak admin tomu užívateľovi to heslo zmení, a nastaví príznak že si užívateľ musí pri prvom prihlásení zmeniť heslo. A zamyslí sa či nie je rozumné používať vo firme nejakú bezpečnú kľúčenku na heslá.

Ale otvoriť túto diskusiu po spame od Britanny (o jednej ráno, úplne dole), to sa mi zdá trochu mimo.

[Aleš Kapica]

Ale otvoriť túto diskusiu po spame od Britanny (o jednej ráno, úplne dole), to sa mi zdá trochu mimo.

A proč ne, když tu tenhle pohled na věc nikdo nezmínil?

Takže uživatel sice heslo neudrží v paměti, ale místo aby zvolil jiný způsob jeho vymýšlení, chce nazpátek své osvědčené.

[Aleš Kapica]

Ač smutné, přesně tak. Mnoho lidí se velice těžko smiřuje s tím, že by si měli zapamatovat jiné heslo a pokud je systém donutí použít něco nač nejsou zvyklí, obratem takové heslo zapomínají a pak se vám budou do krve dušovat, že tam měli „to svoje heslo co používají pořád” a teď to nefunguje. A chybu pochopitelně nehledají u sebe.

[Peter Golis]

Tak prečo vo firme neprejdete na biometriu ak si užívatelia nedokážu zapamätať heslo, alebo nemôžu používať dvojfaktorovú autentifikáciu alebo "Password Wallet"?

Ja uznávam že súčasné nároky na bezpečné heslo sú dosť vysoké. Ale autentifikácia je nielen o hesle.

[Want]

8-D To nejsou firemní uživatelé. Ti, pokud používají heslo často a pravidelně s jeho zapamatováním obvykle problém nemají. Jsou to lidé, co s oblibou využívají volbu "zapamatovat heslo" a když se jim pak někdy z nějakého důvodu nepovede přihlásit, obrací se na ty o kterých se domnívají, že jim to heslo vydolují.

[Peter Golis]

Tí, čo využívajú voľbu "zapämatať heslo", už používajú "Password wallet". Akurát to nemajú synchronizované s "bezpečným cloudom" naprieč ich zariadeniami. Takže keď si kompletne vyčistia profil, sadnú za iný počítač ako ich pracovnú stanicu, alebo dokonca ten počítač preinštalujú, tak o tie heslá môžu logicky prísť.

Rozporuplný výraz "bezpečný cloud" nerozoberám nech nevznikne flame.

[Aleš Kapica]

Tí, čo využívajú voľbu "zapämatať heslo", už používajú "Password wallet".

Co tě nemá. Nemají ani tušení o čem mluvíš. Přicházíš vůbec do styku s běžnými uživateli, co nemají počítače jako hobby, nebo práci?

[Peter Golis]

To že nevedia čo používajú, neznamená že to nepoužívajú.

Bežne prichádzam s takými užívateľmi do styku.

[j]

Ty ses musel uplne zblaznit ... biometriku ve firme vubec pouzivat nesmis, naprosto nepripada v uvahu, to bys musel provozovat tak mozna neco jako jadernou elektrarnu nebo silo s jadernejma raketama. Jinak nemas naprosto zadnou sanci to obhajit. To jsou vubec nejvic chraneny osobni udaje vubec. A abys neco takovyho provozovat moh, musis jedna obhajit, ze to z duvodu kriticky bezpecnosti nutne potrebujes (a pak to nemuze byt jen o nejaky biometrice, ale taky o elektrickych plotech, a ozbrojeny ostraze) a i tak musis 100% zajistit, ze se k tem datum nikdo nikdy nedostane a pokud jo, tak ti firmu automaticky zrusej.

A dvoufaktor je fajn ... presne do okamziku, kdy jedinej HW kterej pouzivas je standardni desktop. Sem zvedav jak to budes resit pri prihlasovani se z cehokoli jinyho a k cemumoli krom standarniho desktopovyho systemu.

Tuhle se mi kolega chlubil, jak ma notes s TPMkem a v tom TPMku jsou henty klice k VPNce. Tak sem konstatoval, ze to je ale uplne stejny, jako kdyby tam zadny klice nemel, protoze kdyz mu ten notes nekdo slohne, je ve firemni siti natotata ...

---

Dete s tim guuglem dopice!

[Peter Golis]

Ako že by mal na firemnom stroji autologin bez hesla, a/alebo nekryptovaný disk? To je aj na trolling slabé.

[Meh]

Upravis program, skrze ktery se prihlasuji, tak, aby ti hesla ukladal. Ty rady se slovnikama a brute force neber vazne.

[pavele]

Tak není problém pro root spustit nějaké logování klávesnice a pak to přečíst.

[bigBRAMBOR]

a pak uz jenom pockas az se ten uzivatel prihlasi, den, dva, tyden, rok, deset let. Nebo nikdy. Protoze nenapsal na co to potrebuje, muze to nekomu pripadat trochu dlouhe.