Перейти к содержанию

Хакеры могут взломать 59% паролей за один час | Блог Касперского


Рекомендуемые сообщения

В мае отгремел Всемирный день пароля, и на волне нашего и, надеемся, вашего интереса к парольной тематике мы проанализировали на устойчивость не «сферические пароли в вакууме», а реальные пароли из баз даркнета. Оказалось, что 59% изученных паролей могут быть взломаны менее чем за один час, и для этого понадобятся лишь современная видеокарта и немного знаний.

Сегодня мы расскажем о том, как хакеры взламывают пароли и что с этим делать (маленький спойлер: пользоваться надежной защитой и автоматически проверять свои пароли на утечки).

Как обычно взламывают пароли

Начнем с важной ремарки: под фразой «взломать пароль» мы подразумеваем взлом его хеша — уникальной последовательности символов. Дело в том, что почти всегда пользовательские пароли хранятся на серверах компаний одним из трех способов.

  • В открытом виде. Это самый простой и понятный способ: если у пользователя пароль, например, qwerty12345, то на сервере компании он так и хранится: qwerty12345. В случае утечки данных злоумышленнику для авторизации не потребуется сделать ничего сложнее, чем просто ввести логин и пароль. Это, конечно, если нет двухфакторной аутентификации, хотя и при ее наличии мошенники иногда могут перехватывать одноразовые пароли.
  • В закрытом виде. В этом способе используются алгоритмы хеширования: MD5, SHA-1 и другие. Эти алгоритмы генерируют для каждой парольной фразы уникальное хеш-значение — строку символов фиксированной длины, которая и хранится на сервере. Каждый раз, когда пользователь вводит пароль, введенная последовательность символов преобразуется в хеш, который сравнивается с хранящимся на сервере: если они совпали, значит, пароль введен верно. Приведем пример: если в реальности ваш пароль qwerty12345, то «на языке SHA-1» он будет записываться вот так — 4e17a448e043206801b95de317e07c839770c8b8. Когда злоумышленник получит этот хеш, ему потребуется его дешифровать (это и есть «взлом пароля»), например, с помощью радужных таблиц, и превратить обратно в qwerty12345. Узнав пароль, хакер сможет использовать его для авторизации не только в сервисе, с которого утек хеш, но и в любом другом, где используется этот же пароль.
  • В закрытом виде с солью. В этом способе к каждому паролю перед хешированием добавляется соль — случайная последовательность данных, статическая или формирующаяся динамически. Хешируется уже последовательность «пароль+соль», что меняет результирующий хеш, а значит, существующие радужные таблицы уже не помогут хакерам. Такой способ хранения паролей значительно усложняет взлом.

Для нашего исследования мы собрали базу из 193 млн слитых паролей в открытом виде. Откуда мы ее взяли? Места надо знать. Нашли в сети даркнет — там они зачастую находятся в свободном доступе. Мы используем такие базы, чтобы проверять пользовательские пароли на предмет возможной утечки, при этом ваши пароли мы не знаем и не храним: вы можете подробнее узнать, как устроено изнутри хранилище паролей в Kaspersky Password Manager и как, не зная ваших паролей, мы сравниваем их с утекшими.

 

Посмотреть статью полностью

Ссылка на сообщение
Поделиться на другие сайты
Quote

 Результаты в таблице рассчитаны для видеокарты RTX 4090 и алгоритма хэширования MD5 с солью.

Вопрос к авторам. Почему выбран md5, а не scrypt или argon2? Если я скажу "для желтизны", я отвечу правильно?

Ссылка на сообщение
Поделиться на другие сайты
14 часов назад, Umnik сказал:

Вопрос к авторам. Почему выбран md5, а не scrypt или argon2? Если я скажу "для желтизны", я отвечу правильно?

То есть зря нагоняют жути? Пароль из букв и цифр длиннее 8 символов всё ещё достаточно надёжен для некритичных данных?

Ссылка на сообщение
Поделиться на другие сайты

Тут смотря что хотят сказать. Если хотят сказать, что пароли желательно делать всё же нормальными - то да, нужно. Если хотят сказать, что пароли можно эффективно перебрать на видяхе, доступной любому Васе, то нет, это не совсем так. Использование быстрых алгоритмов хеширования — md*, sha* — для паролей, это абсолютное зло. Потому те, кто не идиот, тот использует медленные алгоритмы хеширования: scrypt или более хороший argon2. Хоть ты сто видеокарт используй, это тебе не поможет — медленные алгоритмы хеширования созданы специально для того, чтобы их нельзя было брутфорсить. Они потому и медленные.


А значит даже составить радужную таблицу для них - долго. А если используется солёный хеш, то никто вообще не будет заниматься брутфорсом в лоб, будут лишь стараться использовать ранее утёкшие и просто популярные.

 

https://gist.github.com/Chick3nman/32e662a5bb63bc4f51b847bb422222fd Люди уже замерили производительность на сразу ВОСЬМИ RTX4090 и можно оценить производительность. Перебор Hash-Mode 0 (MD5) (то есть просто получить хеш, то есть СОСТАВИТЬ радужную таблицу) — 164.1 GH/s (гигахешей в секунду). То есть 164.1 миллиардов хешей за одну секунду. В то же время scrypt от 7126 H/s (хешей в секунду или 7.1 килохешей в секунду). И это БЕЗ использования программных ограничений. То есть просто скорость перебора алгоритма, а ведь можно, если злоумышленник пытается зайти через ваш интерфейс, можно ограничивать хоть до 1 хеш в секунду и злее.

 

Аргон2 тут, к сожалению, не замеряли, но он призван устранять недочёты scrypt, так что его показатели будут не хуже.

 

Так что да, 8+ символов вполне достаточно, если этот пароль:

  • не существовал в утечках в любом виде. То есть если он был в утечках, где "а", это "а", а у тебя это "@" - то не считается. Нужно принять, что он утёк
  • точно не используется нигде больше. Запрещено ставить 1 пароль на более чем 1 ресурс

Один человек вот такую статью написал по этому поводу: https://text.tchncs.de/umnik/o-paroliakh-i-parol-nykh-frazakh :)

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      В OpenSSH, популярном наборе инструментов для дистанционного управления *nix-системами, была найдена уязвимость, при помощи которой неаутентифицированный злоумышленник может выполнить произвольный код и получить root-привилегии. Уязвимость получила номер CVE-2024-6387 и собственное имя regreSSHion. Учитывая, что sshd, сервер OpenSSH, внедрен в большинство популярных ОС, многие устройства интернета вещей и другие девайсы вроде межсетевых экранов, описание уязвимости звучит как начало новой эпидемии уровня WannaCry и Log4Shell. На практике ситуация несколько сложнее, и массовой эксплуатации уязвимости, вероятно, не будет. Несмотря на это, все администраторы серверов с OpenSSH должны срочно позаботиться об устранении уязвимости.
      Где применяется OpenSSH
      Набор утилит OpenSSH встречается почти повсеместно. Это популярная реализация протокола SSH (secure shell), внедренная в подавляющее большинство дистрибутивов Linux, OpenBSD и FreeBSD, macOS, а также в специализированные устройства, например на базе Junos OS. Поскольку многие телевизоры, «умные» дверные глазки и видеоняни, сетевые медиаплееры и даже роботы-пылесосы работают на базе Linux-систем, в них тоже часто применяется OpenSSH. Начиная с Windows 10, OpenSSH есть и в ОС от Microsoft, правда, здесь это опциональный компонент, не устанавливаемый по умолчанию. Не будет преувеличением сказать, что sshd работает на десятках миллионов устройств.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Сегодня Telegram уже не просто мессенджер, а социальная сеть. Пользователи могут хранить неограниченное количество файлов, вести каналы, создавать ботов и даже покупать криптовалюту. Разумеется, все это дает мошенникам большое пространство для маневров.
      На этот раз киберпреступники придумали схему кражи Telegram-аккаунтов и криптокошельков с помощью фишингового бота. Детали новой схемы и рекомендации по защите своих криптоактивов — в этом материале.
      Как работает мошенническая схема
      Для начала определим целевую аудиторию мошенников. Если вы думаете, что под угрозой находятся все пользователи Telegram, — расслабьтесь. Киберпреступники сфокусированы на владельцах криптокошельков Telegram Wallet, которые совершают сделки по P2P-торговле (это когда пользователи могут покупать и продавать криптовалюту без посредников).
      Как только потенциальная жертва найдена, мошенники связываются с ней под видом легитимного покупателя или продавца, в зависимости от контекста. Одним из первых же предложений в переписке становится просьба пройти KYC-верификацию (Know Your Customer — «Знай своего клиента»). Это реальное требование Telegram Wallet, направленное на повышение уровня безопасности платформы. Пользователям на самом деле требуется предоставить свои реальное имя, номер телефона и адрес, чтобы совершать сделки. Но есть нюанс: мошенники отправляют ссылку на фейковый канал для прохождения KYC-верификации и угрожают заморозкой криптоактивов в случае, если жертва проигнорирует просьбу. Для большей убедительности криптомошенники упоминают выдуманные «требования регуляторов».
      Как определить, что канал принадлежит мошенникам: малое число просмотров поста, синтаксические ошибки и активный призыв перейти по ссылке
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Последние недели в Сети активно обсуждают новые правила в политике безопасности Meta*. Компания-владелец Facebook**, Instagram** и WhatsApp** сообщила части своих пользователей, что с 26 июня их личные данные будут использованы для развития генеративного искусственного интеллекта Meta AI**.
      О каких данных идет речь, можно ли отказаться от их добровольной передачи и как обеспечить свою цифровую безопасность — в этом материале.
      Meta* собирается использовать контент из Facebook** и Instagram** для обучения своего ИИ?
      Meta AI** существует более девяти лет: подразделение, занимающееся развитием ИИ, компания открыла еще в 2015 году. Для обучения своих нейросетей Meta* нужны данные — и скоро источником знаний для ИИ может стать пользовательский контент крупнейших в мире соцсетей.
      Все началось в мае 2024 года, когда в Интернете стали массово появляться сообщения об очередном изменении политик безопасности Meta*: якобы компания с конца июня планирует использовать контент из Facebook** и Instagram** для тренировок генеративного ИИ. Но уведомления об этом пришли не всем, а лишь некоторым пользователям из Евросоюза и США.
      На волне поднявшегося негодования Meta* выпустила официальное заявление для жителей Евросоюза по этому поводу, но пока оно оставляет больше вопросов, чем дает ответов. Пресс-релиза, где бы черным по белому было написано: «Начиная с такого-то числа Meta AI** будет использовать ваши данные для обучения», не существует — но недавно появилась страница «Генеративный ИИ в Meta*», где подробно описано, какие данные и как компания собирается использовать для развития искусственного интеллекта. Снова без дат.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Не так давно мы писали о том, что злоумышленники научились использовать легитимную инфраструктуру социальной сети для доставки достаточно правдоподобных на вид предупреждений о блокировке бизнес-аккаунта — с последующим угоном паролей. Оказывается, уже несколько месяцев очень похожим образом атакуют аккаунты разработчиков на GitHub, что не может не волновать корпоративную службу информационной безопасности (особенно если разработчики имеют административный доступ к корпоративным репозиториям на GitHub). Рассказываем о том, как устроена эта атака.
      Угон аккаунтов на GitHub
      Жертвам этой атаки приходят письма, отправленные с настоящего почтового адреса GitHub. В письмах говорится, что команда GitHub ищет опытного разработчика, которому компания готова предложить привлекательные условия — зарплату $180 000 в год плюс щедрый соцпакет. В случае заинтересованности в этой вакансии получателю письма предлагается подать заявку по ссылке.
      Атака начинается с письма: GitHub якобы ищет разработчика на зарплату $180 000 в год. Источник
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      В мае 2024 года Microsoft представила новую функцию для Windows 11 под названием Recall. Она позволяет «вспоминать» все, что делал пользователь на компьютере за последние месяцы. Можно задавать в поисковой строке самые общие вопросы вроде «фото красного авто, которое мне присылали» или «какой корейский ресторан советовали» — и получать ответы в виде ссылок на приложение, сайт, документ в паре с картинкой-миниатюрой, на которой запечатлен… экран компьютера в момент, когда пользователь смотрел на предмет запроса!
      Recall позволяет вспомнить все, что вы делали за компьютером в последние месяцы. Возможно, даже то, что вы предпочли бы не вспоминать. Источник
      Чтобы реализовать чудо-поиск, новый сервис Microsoft будет делать скриншоты всего экрана каждые несколько секунд и сохранять их в папке на компьютере. Затем все эти изображения анализируются искусственным интеллектом в фоновом режиме, из скриншотов извлекается вся информация и помещается в базу данных, по которой при помощи ИИ-ассистента ведется умный поиск.
      Несмотря на то что все операции проводятся локально, на компьютере пользователя, Recall сразу после анонса вызвал тревогу у многих специалистов по информационной безопасности — эта функция создает слишком много рисков. Начальная реализация Recall была практически не зашифрована и доступна любому пользователю компьютера. Под давлением ИБ-сообщества Microsoft объявила о внесении доработок в Recall еще до выпуска публичной версии, который отложили с 18 июня ориентировочно до конца осени 2024 года. Тем не менее даже с обещанными улучшениями функция остается неоднозначной.
       
      Посмотреть статью полностью
×
×
  • Создать...