Użytkownik "Krzysztof Halasa" napisał w wiadomości grup
dyskusyjnych:m3a7a7l9op.fsf@pm.waw.pl...
"J.F." <jfox_xnospamx@poczta.onet.pl> writes:
[PW crypt]
O tyle istotny, ze jak taki Mitnick "zlamal czlowieka", i odczytal
plik z haslami (zaszyfrowanymi),
to potem moglby odszyfrowac/zlamac te hasla i miec dostep przez
wszystkich uzytkownikow.
I ten jeden przestawal byc juz istotny - gdyby np zmienil haslo czy
skasowali go z serwera.
Plik z hasłami był zwykle nie tylko zaszyfrowany, ale także
niedostępny
dla zwykłych userów. Wiem, nielegalnie (z punktu widzenia USA)
sprowadzone systemy bez shadow password suite miały wszystko
w /etc/passwd.
Ale shadow to od pewnego czasu, wczesniej byly passwd z haslami
dostepny.
Tylko uwazano to za niegrozne.
Ale w takich przypadkach John the Ripper (a wcześniej
inne Jacki itp) potrafił zwykle wyciągnąć 90% haseł, zdecydowanie
szybciej niż łamiąc jakieś DESy. Poza tym, taki typowy atakujący
raczej
Bo tez lamanie DES bylo wtedy dlugie.
A dzis ... sekundy ? :-)
nie zadowolił się kontem zwykłego usera, a zwykle uzyskanie roota
(jeśli
mieliśmy dostęp do shella) to nie był raczej wielki wysiłek. Dodaj do
tego instalację backdoorów i regularną "opiekę" i żadne łamania DESa
nie są przydatne.
Owszem, tylko jak sie prawdziwy root zaopiekuje i pousuwa rozne
backdoory,
to sie hasla moga przydac.
A ludzie moga miec konta i na innych maszynach - i te same hasla.
Wiec dzis ... pare sekund dla bogatej agencji ?
Możliwe. Aczkolwiek obawiam się, że dłużej, z tej prostej przyczyny,
że
obecnie pies z kulawą nogą nie interesuje się DESem, i mogą po prostu
używać starego sprzętu :-)
Tez prawda :-)
Nawiasem mowiac - dla szyfrow o dluzszym bloku moze nie byc dluzej,
jesli klucz wprowadzany recznie ... komu sie bedzie chcialo 20
znakowe
haslo/klucz stosowac.
To jest oczywiste, dlatego też w takich przypadkach kluczy nie
generuje
się na podstawie hasła. Hasło, jeśli w ogóle jakiekolwiek jest
używane,
służy tylko do wyciągnięcia kluczy.
Tak czy inaczej - haslo jest. I mozna probowac kolejne ...
ale to raczej zadanie dla agencji, bo jak widac - koszt spory.
Chyba, ze sie ma botneta na milionie komputerow ...
J.
|