OpenOffice Password Recovery láme hesla OO.org

Komerční nástroj OpenOffice Password Recovery může dle ZDNetu dělat vrásky na čele. Za cenu 79/129 dolarů získáte něco, co s několika profily útoku (slovníkový, násilný nebo kombinace) prolomí hesla dokumentů OpenOffice.org. Heslům u těchto dokumentů se tedy nedoporučuje plně důvěřovat, což asi pro většinu lidí není tak překvapivé.

25.4.2007 07:15 | Luboš Doležel (Doli) | Zajímavý software

Komentáře

[Ilfirin]

Nějak nechápu proč bych neměl tomu heslu důvěřovat. Slovníkový, násilný nebo kombinaci mohu použít i na pokus vlomení se do e-mailu nebo do samotného Linuxu. Znamená to, že by lidi heslům u těchto věcí neměli plně důvěřovat?

[Let_Me_Be]

Samozrejme ze by nemeli. Heslo je nejprimitivnejsim zpusobem zabezpeceni. Tam kde je potreba opravdovou bezpecnost se hesla pouzivaji pouze jako podpurny nastroj na pripadne zpomaleni utocnika.

[Ilfirin]

Při dobré volbě hesla je to docela dobré zabezpečení. Ale chtěl jsem naznačit, že titulek hlásá, jak OO Pass. Rec. láme hesla OO a nakonec se ukáže, že se je snaží pouze uhodnout, což mi jako lámání moc nepřijde.

[iZaak]

Efekt je ale stejny..

[azurIt]

vynalozeny cas, usilie a zdroje uz teda rozhodne nie su rovnake.

[Olsen]

Tak zaprvé, každé zašifrování používá nějaké heslo (klíč), ať už by bylo skryté, byl to váš otisk prstu, oblíbená mp3, hash vaší slinivky nebo cokoli.

Věřit heslu můžete a nemusíte, ale to je jen věc síly toho hesla. Ta závisí jen na uživatelovi. Tady samozřejmě jde o druhou stranu věci: sílu šifry - ta se dá zlomit, může být slabá, může mít špatnou strukturu, která v budoucnu umožní nějaký útok. Takže pokud používá Openoffice nějaký starý DES algoritmus (nebo špatné generátory náhodných čísel, hashe atd), nevěřil bych tomu, ať už je heslo jak chce dobré.

Na druhou stranu, jestli používá AES-256 nebo nějakou rybku, tak se tomu musím smát. Tyto moderní šifry se prolomit nedají (zatím). Při jejím použití je slabinou jen a jen slabé heslo.

Takže tak, dámy (a pánové). Jinak je ještě dobré nějak "znáhodnit" plaintext, ale pořádný algoritmus a heslo je základ.

Hádání hesel není ani pořádný útok. Csss.. "neměli plně důvěřovat heslům"... Ano, to znamená, že si je sakra máte udělat dlouhé a složité. Že to nemají být slova asi nemusím připomínat.

[SYSMAN]

Nemyslím si, že VĚTŠINĚ lidí to není překvapivé. Ba naopak. Spousta lidí co používají kancelářské balíky, ani neví o možnosti zaheslování natož o možnosti uhodnutí hesla. Nebo s OpenOffice.Org pracují jen odborníci a pokročilý uživatelé?

[Tomas Vesely]

Je to jako heslo do rar, nebo zipu, pri delce hesla <6 je to jeste technicky realne, ale s delsim heslem si asi password recover vylame zuby. Otazkou take je jestli nepouzivaji nejakou mizernou sifru, ale to snad v dnesni dobe nehrozi.

[Voty]

Snad relevantni odkaz:

http://develop.opendocumentfellowship.org/spec/?page=17#17.3

[Olsen]

Takže algoritmus je Blowfish. Ten najdete i v truecryptu. Klíč 128bitů (pořád dobré). Já bych tomu věřil. Ale pozor, nezkoumal jsem nějak, jak dobře tu šifru provádějí. Takže nějaké slabiny tam být mohou. Jako třeba nevhodná příprava plaintextu, takže je to náchylné... Možná.

[otula]

Brute force je prostě útok. Zato na soubory MS Excel stačí free nástroj Excel Asistent od Jiřího Číhaře, odemkne zaheslovaný sešit za pár sekund, a na Accessové soubory jsem také kdysi potkal louskáček, který rozlousknul (a zobrazil - nešlo jen o odemčení) přístupové heslo během vteřiny.

[Robo]

Tak, tak. Na MS Office su taketo nastroje uz pekne dlho.

[R]

Na ZIP subory existuje known plain-text utok. Staci mat jeden subor nachadzajuci sa vnutri ZIPu aj nezasifrovany a heslo je do minuty prelomene.

[J.]

A co na RAR? I když vlastně zatím co jsem měl zaheslovaný RARy tak jsem obsah neznal :)

[Voty]

Pokud je mi znamo, tak ODF nepouziva sifrovani z zipu, ale sifruje primo vybrane soubory v nem. Tedy pokud mate zaheslovany ODF, tak metadata a mime jsou stale citelna.

[linear]

Tedy, pointa tohoto clanku, jestli tomu dobre rozumim, je ze spatne zvolene heslo utocnik dokaze uhodnout. Opravdu objevne. A pak jsou tam nejake plky o OOo ktere stim nemaji zadnou souvislost.

[andree]

paid by micro$oft (tm)

[mess]

No, popmocí brute force se dá prolomit jakékoliv heslo, jen u těch silných to bude na dnešním hardwaru trvat řádově stovky let (to jsem někde četl, takže pokud se mýlím, tak mě opravte).

[Marek Bernát]

O trochu dlhšie. Ak by to boli len stovky, tak by zjednodušene povedané stačilo zobrať tisíc počítačov a pár mesiacov už nie je tak dlhá doba