https:/.../31c3-5966-en-UNHash_-_Methods_for_better_password_cracking_hd.mp4

[Translated by Vithushan Elankumaran (KYBS2004 course assignment at JYU.FI)]
Hallo, CCC.

Ich bin Tonimir und ich
werde über Unhash sprechen,

was Methoden für ein besseres Passwort -Cracking sind.

Also. Der Kern meines Vortrags ist meine
Recherche, wie man langweilige Dinge

für die Überprüfung von Passwörtern
auf Online-Systemen automatisiert

und Angriffe für die Kennwortverfolgung gegen Offline-Passwörter verbessert.

Die Idee ist, Elemente
beizutragen und zu erstellen, die

wiederverwendbar sind,
die einfach in andere Tools wie Metas Exploit

oder ein anderes Tool mit Offenheit, wiederverwendbar integriert werden können.

Beginnen wir zunächst mit
der Psychologie der Passwörter.

Welche Art von Passwörtern gibt es zuerst?

Es gibt einige Standardkennwörter
oder Standard-Backdoors, wo jemand klug

genug war, um sich in ein System wie Root
Support Admin und so weiter zu integrieren.

Es gibt echte Passwörter, da die Leute ein
System benötigen, um ein Passwort zu erinnern.

Jeder von Ihnen hat ein System.

Wie er ein Passwort erstellt, wie er
sich an das Passwort erinnert, oder?

Die Leute verwenden also Kombinationen.

Mutationen, sie fügen Wörter hinzu, sie haben
ihre eigenen Wege und sie sind

Pseudo zufällige Passwörter, weil Sie nicht sagen
können, dass ein Passwort wirklich zufällig ist.

Für den Fall in einigen
besonderen Fällen vielleicht.

Aber so etwas, wenn jemand diesen auswendig
lernen kann, ist das großartig, aber normalerweise

kann ich nicht, und deshalb haben wir Systeme,
die wir uns an Kennwörter erinnern können.

Der Vortrag ist also in
zwei Probleme aufgeteilt.

Das erste Problem ist das langweilige.

Also legen wir das
Interessante in den Rücken.

Das erste Problem ist, wie Sie
Systeme auf Standardkennwörter

auf Netzwerkgeräten wie Routen und Switches überprüfen.

Wie überprüfen Sie nach eingebetteten Hintertüren, Hintertüren, nicht im Fall von programmatischen

Hintertüren, sondern Hintertür-Passwörter,
die jemand ein Konto hinterlassen hat.

Und der dritte ist, wie man Daten
von automatisierten Angriffen erhält.

Also.

Hoppla.

Das langweilige Problem hier sind
Standardkennwörter auf Geräten.

Jeder von Ihnen hat einen Router
zu Hause, oder anderen Gerätetyp.

Normalerweise werden sie vorkonfiguriert
für ein Standard-Passwort.

Dieses Problem
manifestiert sich normalerweise

in der Produktion über eine Art vergessenes Gerät.

In einer Situation brauchen
wir gerade drahtlos.

Lassen Sie einfach ein Gerät
und lassen Sie es uns zum laufen bringen.

In Testsystemen. Wie wenn irgendjemand
arbeitet, gibt es eine Datenbank.

Es gibt eine Kombination aus dem,
Benutzernamen und Kennwort, die

für den Datenbankadministrator,
ein anderes für den

Systemadministrator und die zweite sind nie geändert oder mit schlampigen Konfigurationen.

Das ist ein langweiliges Problem.

Die leicht interessanten Probleme
sind Backdoor-Passwörter

und Sammlung von Daten von Angriffen in freier Wildbahn.

Wenn Sie also den Standardbenutzer und das
Standard -Passwort sammeln möchten, haben sie

eine der Ideen, die ich gemacht habe, einfach
nur alle Standardkennwortlisten scrapen.

Deshalb möchte ich mich
zuerst allen netten Jungs von Fino

Elite, CNET Liquid Matrix Dnet Security Override, bedanken.

Dadurch wurden ihre
Passwortlisten der Standardgeräte im

Netz gelassen, sie werden aufgerufen und natürlich organisiert und
nach dem Auftreten gewichtet.

Dies ist nützlich, um zu testen, ob ein einfaches Gerät ein vergessenes Passwort hat.

Gesammelte Daten nach Auftreten sind die einzige nützliche Metrik, die wir für die Analyse von Standard-Standardkennwörtern haben.

Wenn Sie eine Idee für eine bessere haben, Ich würde gerne hören, denn wenn

der Benutzername und das
Passwortpaar sind häufiger wie

Administrator, Administrator
oder Administrator ohne Passwort.

Es schwebt einfach nach oben und wird früher getestet.
Das spart also Zeit.

Andere Metriken können vom Anbieter oder mit dem Gerät erfolgen, das
jedoch normalerweise nicht den Anwendungsfall abdeckt. Wir möchten

zum Beispiel auf vergessene Geräte testen, auf schwache Geräte testen
und jemand sagen, warum sollten Sie Online -Geräte testen möchten?

Was ist, wenn jemand versäumt hat, eine
SSH -Wache zu verbieten oder zu verbieten?

Nun dann haben sie die Standardkennwörter nicht da gelassen.

Der Code für diese einfache
Sache ist auf GitHub verfügbar.

Sie können es verwenden und es ist auch als
Standard für Meta Exploit -Framework verfügbar.

Benutzerkennwortdienste.

Wenn Sie meiner Aufbereitung
in diesem Teil

vertrauen, sind das leicht interessante Problem hartcodierte Hintertüren.

Es gibt eine interessante Geschichte.

Ich habe ein HP -Speichergerät erhalten.

Dies ist ein SAN-Speichergerät,
das nach einiger Zeit diesen interessanten

Beitrag im Netz gab, den jemand eingebettete
Hintertoors in HP -Speichergeräten fand.

Und raten Sie mal, was?

Ich habe den Standard -Benutzernamen, den HP
-Support und die Passwortbadgers in Lead ausprobiert.

Und Sie können natürlich auf
den Verwaltungsteil zugreifen.

Billy, der diesjährige Black Hat, veröffentlichte,
dass fast alle Flughafensicherheitskontrollen.

Wie, Access Control -Geräte, die sagen, dass die Eröffnung von Türen ermöglichen

oder wer ist vom Personal auf dem Boden registriert,

oder Dinge wie der Morpho Elementizer,
dies ist ein Gerät, das nach Betäubungsmitteln scannt oder Sprengstoffe, wenn sie dich tupfen.

dass diese Hintertüren integriert haben.

Dies sind die Benutzernamen
und Passwörter,

und natürlich sind alle
diese Geräte vernetzt.

Leider ist der Trend, Benutzernamen
und Passwörter als Hintertüren

einzubetten, wird immer mehr und mehr zum Trend. Zum Beispiel.

Wie viele von Ihnen wissen
über das Leck eines beliebten

VPN-Firewall-Anti-Spam-Anbieters im letzten Jahr, der
mehrere Backdoor-Konten in ihre Geräte eingebettet hat?

Zum Beispiel war das Beste,
my-SQL -Datenbank mit dem

Standardbenutzerprodukt und dem Passwort, das leer war, mit einem Fern-SSH -Schlüssel

mit fernzugriffsfunktion.

Erinnert sich jemand daran?

Nun, das Problem ist, dass dies,

, ein immer größeres Problem wird.

Zum Beispiel
können diese Art von

Geräten kein Privileg
genießen, sicher zu sein.

Ich kann nicht glauben, dass
jemand sie benutzen möchte.

Ich möchte zumindest sagen, dass die Leute
anfangen, Sachen zu prüfen, die Sie besitzen.

Aber wenn ich besitze sage, meine ich nicht
einbetten, aber bitte

konsultieren Sie Ihre Anwälte, Ihre örtlichen Gesetze,
denn das kann Ihnen alle möglichen Ärger bringen.

Der dritte, für Online -Angriffe ist,
wie Datensätze von Angreifern erfasst werden.

Wenn du sammeln willst.

Daten, die bei Online
-Angriffen verwendet werden,

beispielsweise, was Botnets
verwenden. Ein interessanter Teil

davon ist, dass Sie SSH Pot verwenden
können, der Daten von SSH -Honeypots sammelt.

Wenn Sie also Schlüssel oder eine andere Honeypot
-Technologie ausführen, senden Sie diese bitte an sie.

Es wird mehr als nützlich sein,
und das ermöglicht es Ihnen,

Informationen über öffentliche
Brute -Force -Angriffe zu sammeln.

Und wenn Sie alle verwendeten Benutzernamen-
und Passwortkombinationen herunterladen.

Sie sehen einige
interessante Muster.

Zum Beispiel, sehr beliebt bei
einer hohen Anzahl von Hits ist Root und

, sagen wir, und lassen Sie es anonym sein, Ein Router -Anbieter -Name plus 46.

Wenn Sie es googeln, ist
es kein Standardkennwort.

Sie können es nicht als
Standardkennwort finden.

Der zweite ist eine URL eines beliebten
ISP plus eine zufällige Zeichenfolge.

Der dritte ist doppelt so hoch
wie der Name der Research

Corporation und einige andere
Kombinationen, die Sie nicht

als Standard -Startkennwörter einiger Systeme finden können.

Jetzt gibt es eine interessante Frage.

Sind diese Hintertüren oder haben
jemand eine Insider -Informationen

darüber, wie man einige Systeme brechen und einfach alles versucht.

Lassen Sie uns nicht zu Schlussfolgerungen
springen, aber ich würde es tun.

Fragen Sie alle, die sich für solche Dinge
interessieren, nur um sich die öffentlichen

Angriffsdaten anzusehen, und Sie werden dort
möglicherweise einige interessante Dinge finden.

Warum verlieren wir an dieser Front?

Denn lass uns einfach sein.

Wir können kein zentrales Repository
haben, das alle bekannten Hintertür -Daten,

alle bekannten Hintertür -Passwörter,
unbekannte Startkennwörter sammelt.

Wenn Sie sich ansehen, wie ein Tool
mit Kennwortlisten zum Testen enthält,

werden Sie feststellen, dass Sie nicht
finden können, wo diese Liste entstanden ist.

Wer hat es für welchen Anwendungsfall
erstellt. Warum sollten Sie es verwenden?

Es gibt keine explorativen
Daten, die sagen werden.

Aus der Art und Weise, wie diese
Passwortliste erstellt wurde, Sie können sie

auf keinen Fall in andere Tools integrieren,
und es gibt keine Updates und so weiter.

Das Lesen von Pull-Anfragen
von Github ist keine Idee, wenn

Sie sehen möchten, wie etwas in einem Tool landete.

Dies ist ein manueller Vorgang und
wie Sie sehen, ist dieser Teil langweilig.

Niemand kann sich die Mühe machen, Passwörter
hinzuzufügen oder diese Listen zu verwalten, daher

habe ich wirklich die höchste Anerkennung für
Personen, die diese Listen verwalten, weil ich.

Jemand muss es tun.

Und ich möchte nur eine Sache sagen.

Wir brauchen ein zentrales
Repository von diesem Zeug.

Lassen Sie uns ein Repository beibehalten,
nicht sechs Repositories von diesen

Daten, die nicht verbunden sind.

Lassen Sie uns ermöglichen,
dass es leicht in Tools integriert

werden kann. Lassen Sie uns die zu überprüfenden Daten ermöglichen.

Wenn Sie also daran arbeiten möchten,
kontaktieren Sie mich einfach.

Von dem langweiligen
Teil zum interessanten Teil

Wie Sie das Knacken für nicht zufällige Passwörter beschleunigen können.

Lassen Sie uns zunächst herausfinden,
wie Leute Passwörter erstellen.

Das ist die Frage.

Wenn Sie sehen können, wie
jemand sein Passwort erstellt,

können Sie wahrscheinlich einen besseren Angriff erstellen.

Warum solltest du das tun wollen?

Weil das auch ist.

Mit einer anderen Sache verbunden.

Sie möchten Word-Listen
oder andere Daten erstellen,

die auf einen bestimmten Verlust von Benutzern abzielen.

Wenn beispielsweise jemand Menschen hier angreifen
will, wird er Sicherheitsaktivismus 31 C3 und andere

Schlüsselwörter und Daten verwenden, die daraus
abgeleitet werden, um seinen Angriff zu ermöglichen.

Welche Möglichkeiten haben
wir also, wenn wir viele Hashes

knacken wollen oder wenn wir Passwörter knacken wollen?

Erstens ist immer der
einfache und immer der Spaß.

Bauen Sie eine schnellere Crack
-Maschine, Wie mehrere GPUs, mehrere

Prozessoren, Cluster
aufbauen und so weiter.

Der zweite Weg besteht darin,
den Algorithmus einfach anzugreifen.

Zum Beispiel war,
der MD Four -Algorithmus bekannt dafür,

dass Sie ihn mit einem Stift auf einem Stück Papier brechen können.

Das dritte ist
so etwas wie die Hash-Angriffe

-Differentialleistungsanalyse
oder alle Dinge durchführen,

die NSA tut, um das Passwort
einfach irgendwie von der

Maschine aus der Maschine zu erhalten, ohne dass das reale Passwort zu knacken.

Der dritte ist nicht das Passwort brute forcen.

Versuchen Sie es mit intelligenteren Angriff.

Dann verwenden die Leute eine Wortliste.

Dann verwenden sie Regeldateien.

Dann benutzen sie Time-memory trade-off-Angriffe.

Wie bei Rainbowtables.
Dann verwenden sie Markoff

-Angriffe, Maskenangriffe, Fingerabdruckangriffe oder etwas anderes.

Also mit einer obligatorischen
XKCD-Referenz.

Leute erstellen solche Passwörter,
schreiben Passwort-Phrasen.

Wie können Sie es mit einem normalen Werkzeug knacken?
Es ist ein bisschen schwieriger, oder?

Also wollte ich etwas schaffen, dass Sie so etwas wie das schreiben können, das ist

eine tatsächliche Regeldatei, die sagt,,
durchgehen Sie einfach alle vier Wörter aus einer Wortliste und lassen

Sie uns sehen, was daraus herauskommt.

Richtig.

Die Idee dahinter war ein
datengesteuerter Ansatz.

Also, wie lernen Sie, wie
Menschen Passwörter erstellen?

Erstens benötigen Sie Daten und Daten sind, Ob Sie es

glauben oder nicht, schwer zu finden im Netz; zumindest Qualitätsdaten.

Einige der netten Leute im Internet
haben viele gute Forschungsdaten

beigetragen, was bei sauberem Passwort -Dumps bedeutet.

Bei Ereignissen sollte es rohe
Hashes oder alle einfachen Text geben,

nicht nur einen Ausschnitt
oder einige gephishte Teile, was

bedeutet, dass Sie dies benötigen, dass Ihre Auswahl wirklich begrenzt ist.

Das Lernsatz betrug
32 Millionen Passwörter.

Das bedeutet 14 Millionen eindeutige Passwörter,
Wo alle

Reliktgriechischen und andere Beschriftungen wurden ausgeworfen, weil
Ich

wollte diese Sprachen nicht in den Lernprozess
einbeziehen, weil ich sie nicht wirklich gut kenne.

Und die drei größten
Listen, die verfügbar

waren, waren Roku-, PHPBB- und Yahoo-Listen.

Jeder, der Passwortforschung macht, kennt diese

Listen als beliebte öffentliche Listen.

Die Überprüfungsdaten
waren zwei Listensätze.

Der erste war LinkedIn, das
zweitgrößte Leck nach Roku, und der

dritte stammte von Elite -Hackern.
Carter CC HEC Five und Myspace Pages.

Die Idee war, zuerst einen
Algorithmus für maschinelles Lernen

zu verwenden und etwas
herauszufinden, das kläglich scheiterte.

Und danach habe ich etwas namens
Cwing erstellt, was die folgende Idee ist.

Erstellen Sie einfach einen Klassifizierer für
jede, identifizierte Kennwortklasse.

Sie können nicht alle
Passwörter klassifizieren.

Sie können nicht herausfinden,
wie alle Passwörter erstellt werden.

Lassen Sie uns einfach
eine Untergruppe sehen.

Erstellen Sie einen Klassifikator,
der eine Teilmenge identifizieren kann.

Und dann für jeden der Klassen
erstellen Sie einen Klassifikator,

entscheiden, welche wahrscheinlich
die richtigsten sind, welche richtig

waren, und dann alles in ein Format
konvertieren, dass eine Analyse ermöglicht.

Dies sind einige,
Passwortklassen, die ich identifiziert habe.

Schwache Muster, wie nur
einige Buchstaben auf der Tastatur,

Tastaturmuster. Einige Passwörter, die ich genommen habe.

Wo ich dachte, sie seinen wirklich stark,
waren in Wirklichkeit nur Tastaturmuster

und das Pseudozufällige
Passwort, das Sie auf den ersten drei

oder vier Folien gesehen haben, war tatsächlich ein Tastaturmuster.

Es sieht aus wie ein wirklich starkes Passwort, Es wird jedoch

erstellt, indem Tasten auf sequentielle Weise auf der Tastatur gefolgt werden.

Sie können
alle möglichen Sachen sehen.

Mutation, das ist alles,
was das Wort ändert

O in null, ändern I in eins und so weiter.

Oder Kombination.

Kombinieren Sie einfach ein paar
Wörter, kombinieren Sie ein paar Elemente

oder verwenden Sie einfach Elemente.

Jeder dieser Klassifizierer kann iteriert werden
und Sie können Passwörter auseinander reißen.

Das zweite Problem ist beispielsweise
die Identifizierung von Sprachen.

Wenn Sie Sicherheit sagen, wissen Sie,
dass es in allen Sprachen beliebt ist, aber

wie können Sie sagen, wenn Sie so etwas
wie Plaza sagen, was ist das?

Wie können Sie dieses Wort identifizieren?

Wenn Sie also eine gute
Wortliste wünschen, können Sie

sich einfach nicht auf Dinge verlassen, die verfügbar sind.

Zunächst einmal Google
und Gram Corpus ist zu groß.

Das Gleiche wie bei Han Buchstaben und einem
Buchstaben, der auf einer Sache scheitert.

Personen erstellen keine Passwörter mit grammatikalisch korrekten Sätze.

Sie verwenden alle möglichen Sachen.

Zum Beispiel, Info über Dinge aus einer beliebten Serie wie Namen

von Charakteren, Namen von Orten
von populären Büchern oder so weiter.

Eine ideale Quelle ist also Wikipedia, Weil Wikipedia alle Arten von

Artikeln hat, die nicht wirklich an
die Sprache gebunden sind, oder?

Also habe ich Englisch abgeladen, Deutsch, Kroatische,

Frankreich, Spanisch, Italienisch und niederländische Wikipedia.

Und das erstellte eine
große Passwortliste, mit der

Charaktere identifiziert und Wikipedia verbessert werden können.

Google, Wikipedia
hat ungefähr 84 Hauptkategorien,
die identifiziert wurden

und sie verwendenten diese Kategorien, um 51.
Ergebnisse von Google zu scrapen, um den Wikipedia-Dump zu
verbessern.

Um Ihnen das Erstellen von Kennwortlisten aus

Google-Suchanfragen zu ermöglichen, habe ich ein kleines Skript namens G Word-Liste erstellt.
Dadurch werden die

Google-Ergebnisse von Top-Ends basierend auf Schlüsselwörtern
oder Google-Dorks oder Google-Hacks erfasst

,wie Sie sie nennen möchten, was Sie eingeben können.

Ähm.

Dies erstellt auch eine Wortliste basierend
auf dem Vorkommen, das Sie einfach in ein,

passwort knack Tool oder alles andere, das Sie
gewünscht haben, einfach einleiten können.

Warum brauchst du das?

Denn normalerweise, wenn Sie das verwenden, Es wird

effektiver sein, als wenn Sie eine generische Wortliste verwenden.

Wenn Sie Sicherheitsforscher
angreifen, können Sie beispielsweise

diese Daten verwenden, die Spezifische

Informationen oder spezifische Schlüsselwörter, die sie verwenden könnten, oder?

Natürlich können Sie wiederholen,
Sie können die resultierende Liste

aufnehmen und dann wieder aufnehmen und eine noch größere Liste erstellen.

Das ist ein iterativer Ansatz.

Zunächst identifizieren Sie bekannte
Elemente mit täuschendem Algorithmus bekannt sind.

Sie erstellen eine Regel, die die
Komposition ist, und sammeln alle

Daten, wie
eine Person das Passwort erstellt hat.

Welche Wörter benutzte er, welche Zahlen,
welche Ersetzungen, welche Mutationen, alles.

Wenn Sie etwas unbekannt,
gespeichert haben, analysieren

Sie es später und erstellen Sie einen neuen Klassifikator.

Und wenn Sie fertig sind,
haben Sie eine Reihe von

Klassifizierern und Algorithmus,
die sie klassifizieren können.

In der Praxis sieht das so aus.

Sie setzen also etwas, das wie
ein starkes Passwort aussieht, und

es wird Ihnen sagen, dass es
sich um ein Tastaturmuster handelt.

Wenn Sie sich Ihre Tastatur
ansehen, werden Sie sehen, dass

jemand gerade sequentielle Tasten
auf der Tastatur eingegeben hat und shift gedrückt hat.

Beispielsweise

Andere schwache Muster können
identifiziert werden, und Sie können

sehen, wie Menschen sie erstellen,
oder ein kompliziertes Passwort, so etwas.

Es wird zerlegt und Sie werden
alle Elemente des Kennworts

identifizieren, die als Regel für Unhash niedergeschrieben werden können.

Also.

In diesem Jahr, das Sie sehen, ist
eine echte Regel für das Unhash-Tool, das

ausgeführt werden kann und es wird beispielsweise dazu führen, dass

numlen4 ein Wörterbuch ist von
Zahlen, die mit vier im Wörterbuch verbunden sind.

Mit 11 verknüpft sind alle
Wörter, die verknüpft sind mit 11.

R ist Ersatz.

Ersetzen Sie mich durch eins.

Ersetzen Sie O durch Null und Str-len-4 ist ein Wörterbuch mit allen Länge.

Vier.

Im Data Mining -Prozess, als der Algorithmus
die Kennwörter täuschte, habe ich alle Daten gesammelt.

Beispielsweise

Alle Zahlen, die,
Fremdverbunden wurden gesammelt.

Und danach haben Sie eine Wortliste, die
auf dem Auftreten der am besten verwendeten Zahlen basiert.

wie Menschen; die
Wahrscheinlichkeit, das jemand sie verwenden wird?

Die Zahlenregeln sollen in einem
Hash ausdruckbar sein, und Sie

können eine beliebige Kombination
aus Word -Listen, Zeichenfolgen,

Generatoren und beliebigen Kombinationen, die Sie möchten, verwenden.

Generieren Sie Kandidatenkennwörter.

Sie können Ersätze hinzufügen, Sie können das Großschreibung mit oder ohne Permutationen hinzufügen.

Zum Beispiel, wenn
Sie ein Passwort haben möchten

und wenn Sie S auf fünf ändern möchten.

Wirst du alle s ändern?

Wirst du keine ändern?

Wechseln Sie nur den ersten oder nur
die zweite. Wenn Sie es zulassen möchten,

müssen sie nicht mehrere Regeln schreiben,
um einen solchen Prozess zu beschreiben.

Sie müssen nur eine
Flagge sagen und es wird

es allen möglichen Ersatzpermutationen zulassen.

Und Sie können auch Ihre eigenen
Python Funktionen oder Ausdrücke schreiben.

Der Vorteil von Unhash-Regeln besteht darin, dass Sie
jede Word-Liste verwenden können, die Ihnen gefällt.

Sie haben solche, die mit Unhash verschickt werden, und das

von Data Mining für das 33-Millionen-Passwort-Set generiert wurde.

Sie können die Google Word-Liste verwenden, zum Erstellen

von Zusätzliche Kennwörter, die durch scrapen
einiger Schlüsselwörter von Google erfolgen.

Oder Sie können Ihre eigenen verwenden.

Ich schlage vor, Sie kombinieren die ersten
beiden Methoden, Ergebnisse scrapen

von Google mit G-Wortliste und verwenden
diejenigen, die mit Unhash geliefert werden.

Der Anwendungsfall
hier ist ziemlich einfach.

Das Tool wurde erstellt, um
Regeldateien ausführen zu können.

Und Sie können es in ein
beliebtes Kennwort-Cracking

-Programm wie John the Ripper -Hash-Cat oder ähnliches übergeben.

Der interessante Teil hier
ist, wenn Sie sich GitHub ansehen,

was einige von Ihnen bereits
tun, werden Sie sehen, dass es

wahrscheinlich der abscheulichste Code ist, den Sie je gesehen haben.

Aber wenn es hier einige
Python-experten gibt, die wissen,

wie man es schneller macht, bin ich offen für Vorschläge.

Der interessante Teil ist, dass ich PyPy verwendet
habe, was dank dem Schöpfer von

PyPY, für den Algorithmus tatsächlich
eine schnellere Laufzeit ermöglicht.

Einige Ergebnisse sind.

Ich werde ein paar Wörter später über
den Vergleich der Ergebnisse erzählen.

Wenn Sie ein normales Brute -Forcing -Programm verwenden,
wird normalerweise eine Menge

von Passwörtern in einiger Zeit aufgedeckt.

Ich habe 24 Stunden als
Messelement verwendet und.

Was habe ich getan?

Ich verwendete Unhash mit der Google Word-Liste. Und verwendete Google Word-Liste zum

erstellen einer Wortliste, die gecraped wird,

,basierend auf Top 10 Seiten von

Keywords wie LinkedIn, wie Business
Recruiting, Networking, Jobkontakte,

und verwendete diese Liste in Kombination
mit der Datenverstandsliste. Und

Sie können sehen, dass Sie bei Ihnen mindestens
20% bessere Ergebnisse erzielen können.

Wenn Sie diesen Ansatz hinzufügen.

Warum?

Weil Brute forcing,

Durch Brute Forcing können Sie viel mehr
kurze Passwörter aufdecken, die komplex sind.

Dieses Tool scheitert also, wenn Sie ein
Passwort haben, das pseudo zufällig aussieht.

Aber wenn Sie ein Passwort haben, dass

Basierend auf Kombinationen hilft Mutationen
wie die, die ich zuvor gezeigt habe,

und kann diese Art von Ansatz wirklich helfen.

Wenn Sie hier längere
Passwörter sehen, werden

durch diesen Ansatz ziemlich besser aufgedeckt.

Denken Sie zuerst nicht, denken Sie nicht Unhash ist

besser als John Deer Ripper, Hash Cat, Hash Kell.

Diese Tools sind fantastisch
und Solardesigner Hash Cat-Team

und, Gateway von H Hash Kell machen einen äußerst tollen Job.

Es wird nur das richtige Werkzeug
für den richtigen Job verwendet.

Dies klingt hier, hört sich vielleicht ein
bisschen kompliziert, aber Sie können

auf Github die Beispieldateien finden,
die Sie in allen Regeldateien finden

können, und Sie können sie einfach nur ausführen und es wird seine Magie erledigen.

Ähm.

Das sind noch zwei
verschiedene Anwendungsfälle.

Wenn Sie einen GPU -Cluster
haben, mit der GPU machen ist der

König oder wenn Sie ein, FPGA-Board oder so was anderes haben.

Wenn Sie für langsame Hashes testen möchten, wie
B Crypt, S Skript PBKDF Two

und Sie können sich keine große Anzahl
von Vergleichen leisten, da der Cracking

-Prozess langsam ist, dann versuchen Sie diesen Ansatz und vielleicht hilft es.

Das hilft auch bei Passwort-Phrasen.

Sie wissen, ein Teil einer Passwort-Phrase,
wissen Sie, wie die Passwort-Phrasen erzeugt wurde.

Wie viele Wörter hat es?

Sie können es dann einfach
brut forcen, oder in

benutzerdefinierten Tests oder in benutzerdefinierten Werkzeugen.

Eine Sache, die ich sehe, dass datenzentrische
Ansätze wirklich interessant sind.

Versuchen Sie zu experimentieren und etwas
Interessantes aufzubauen. Wenn ich bauen meine.

bitte seien Sie nicht böse.

Es ist auf GitHub erhältlich.

Es ist einfach zu bedienen.

Probieren Sie es aus.

Und natürlich sind Mitwirkende
und Forscher willkommen.

Und natürlich war ich etwas kürzer, also können
Sie mehr Zeit für Q und A haben, weil wenn

Jemand ist wirklich interessant dieses Thema,
Ich denke, er hat einige Fragen zu stellen.

Sie haben also meinen Twitter -Konto hier.

Sie haben meine E-Mail, Sie
haben den Github-Link und.

Ich bin offen für Fragen.

Vielen Dank für das Gespräch.

Für Folgefragen.

Bitte stellen Sie sich vor
den Mikrofonen im Raum auf.

Gibt es Fragen aus dem Internet?

Nein, es gibt keine
Fragen aus dem Internet.

Okay.

Äh.

Fragen und Kommentare im Raum

auf fünf?

Ja, sicher.

Sie sagten, dass Sie Probleme hatten, einen
Algorithmus für maschinelles Lernen zu verwenden.

Ich frage mich nur, ob Sie erklären oder näher
darauf eingehen können, warum das so war.

Das lag daran, dass Algorithmen
für maschinelles Lernen.

Waren Dinge, die ich getestet habe, aber
nicht wirklich gut geeignet waren, weil es gibt

Wirklich viele Klassen von Passwörtern.

Es ist also das klassische
Problem des Übertrainings.

Sie trainieren Ihren Algorithmus für
maschinelles Lernen, um einen Teil der Geschichte herauszufinden,

wie eine Klasse von gelernten Passwörtern. Und dann wird es am anderen scheitern.

Eine Sache, die Sie tun können, ist, so etwas wie zufällige
Kraft zu versuchen, aber sie haben nicht genug gute Klassifizierung gegeben.

Oder das zweite, was Sie tun können, ist so etwas wie ein Komitee der Maschinen. Der Cwing -Algorithmus ist, ziemlich vom Komitee der Maschinen inspiriert

Im zufälligen Forest -Ansatz,
da es viel einfacher ist, einen

Klassifikator für eine Art
Passwort zu erstellen, da Sie dann

auch Beiträge zum Erstellen von Kennwörtern erhalten können.

Sie können, ziemlich komplexere
Ideen, wie man Passwörter klassifiziert.

Was ist zum Beispiel, wenn jemand eine
Passwort-Phrase erstellt und dann jeden

ersten Buchstaben aus der Passwort-Phrase nimmt. Wie will der das klassifizieren?

Mit dem täuschenden Algorithmus
können Sie dies jedoch ziemlich

einfacher klassifizieren, da Sie
einen Klassifikator schreiben können,

der ein Ergebnis dafür liefert und Ihnen eine Wahrscheinlichkeitsbewertung gibt.

Ist es besser oder nicht?

Äh, besser als etwas anderes, oder?

Aber.

Nimmt Ihr Cwing-Algorithmus an, dass
die Kennwortklassen unabhängig sind?

Ja.

Die Passwortklassen sind unabhängig, weil jemand nur Elemente kombiniert.

Jemand verwendet Tastaturmuster, Jemand

kombineniert und ersetzt Zeichen.

Jemand benutzt nur ein Wörter
und ersetzt ein paar Wörter.

Das sind alles unabhängige
Klassen, die, deshalb ist es

ziemlich einfacher, das zu tun.

Mikrofon 1.

Hallo.

Ich habe mich gefragt, ob Unhash,
auch berücksichtigt, wie

bestimmte Zielattribute wie, Muttersprache, wie,

Und und andere Dinge.

Und, können Sie auch
ein Tool verwenden, um die Website

des Ziels oder ähnliches zu scrapen,
um es der Wortliste hinzuzufügen.

Ja.

Und machen Sie es zielgerichteter.

Und ist es dazu in der Lage, das zu tun?

Der erste Teil ist der Teil des maschinellen
Lernens. Was ich getan habe ist, dass es auf diesen Wörterbüchern

beruhte, Englisch, Deutsch, Kroatisch, Frankreich, Spanisch, Italienisch und Holländer.

Die Regeln werden also von
diesen Hauptstücken abgeleitet.

Klassen.

Das Scraping, das Sie mit einem aktiven G-Word-Listen-Tool durchführen können, das aktiviert ist.

Sie können beispielsweise
Google-Dokumente schreiben.

Sie können N-Schlüsselwörter schreiben und Seitenspalten hinzufügen. Eine Spalte wie NL, und

Sie können mehrere Einträge von Schlüsselwörtern
mit Seiten-NL hinzufügen. Und es wird

ihm nur sagen, dass er top hundert scrapen kratzen
wird, und Sie erhalten eine Wortliste, die ist

Nur Niederländisch für
diese Schlüsselwörter.

Es funktioniert in UTF 8, also werden
Sie keine Probleme haben.

Sie können die resultierende Wortliste aus
der G-Wortliste mit dem Unhash-Tool verwenden.

Das ist der Punkt, den
wir hier nehmen wollen.

Sie können die Ergebnisse
aus dem Netz scrapen.

Sie können scrapen mit der
G-Wortliste, die Google verwendet.

Sie können alle gewünschten
Google-Dorks verwenden.

Zum Beispiel,
die Reduzierung der Suche in ein

bestimmtes Land und reduziert es auf eine Reihe von Schlüsselwörtern.

Ihm sagen Okay,

scrapen Sie 500 Websites auf und dann können Sie
es für die frei verfügbaren Regeln verwenden.

Und und, noch etwas über, das implementieren möglichen Richtlinien.

Sie können auf einer Seite sehen, Sie haben diese Richtlinie, also müssten

Sie eins verwenden, Großbuchstaben eins, besonderes Zeichen oder solche Dinge.

Ist dies auch
implementiert oder sollten wir nur

schreiben, rex schreiben, um Die Passwörter in der Liste herauszufiltern.

Zuerst, können Sie die Regeln abfiltern.

Es ist ziemlich einfach zu schreiben,
Um zu sehen, welche Regeln

nicht von den Kennwortklassen oder
der Passwortrichtlinie abgedeckt werden.

Sie sehen dass an der Länge, Sie können
sehen, ob es einen Ersatz hat oder nicht.

Wenn es ein besonderes Zeichen erfordert, können sie nur

die Regeln, die keinen bestimmtes Zeichen haben, umkehren.

Richtig.

Sie können es also für jede Art
von Angriff, die Sie möchten, so gut wie möglich individualisieren.

Dies war
der Punkt hinter Unhash, dass Sie

es an jede Art von Anwendungsfall anpassen können, die Sie möchten.

Es ist, wie ich bereits sagte. Es ist kein Ersatz für

John Ripper Hash Cat oder irgendetwas anderes.

Das sind großartige Werkzeuge für Brute
-Forcing und für das richtige. Aber dies ist

interessanter, wenn Sie einen Angriff
auf eine Passphrase auf einem langsamen

Hash durchführen möchten, wenn Sie einfach eine bestimmte Wörtermenge testen möchten.

Wie Sie haben Sie eine Wortliste,
die medizinisch ist, und Sie

möchten, dass Sie beispielsweise
einen Stifttest auf einer medizinischen

Einrichtung und Sie möchten medizinische spezifische
Wörter verwenden. Sie können einfach

G-Wöterliste verwenden, um sie zu scrapen und dann
mit Unhash-Regeln zu verwenden, oder?

Ja.

Es wäre schön, eine webbasierte Implementierung
eines wortlosen Generators zu sehen.

Also, du sagst mir, ich
sollte keinen Cloud-Cracking-Dienst erstellen, richtig.

auf der wortlosen Cloud-Generation.

Okay.

Gute Idee.

Äh, Leute, wenn Sie das Zimmer verlassen
möchten, machen Sie das bitte leiser.

Es ist nicht so schwer.

Mikrofon 4 für die letzte Frage.

Danke für den Vortrag.

Kurze Frage.

Sie haben für einen Fall einen
Leistungsgewinn von 23%gezeigt. Haben Sie andere Instanzen ausgeführt

und haben Sie Metriken für mögliche Leistungsgewinne?

Okay, die.

Mögliche Leistungssteigerungen
sind wirklich schwer korrekt zu messen.

Deshalb sagte ich nicht, dass dies
besser ist als John oder Hash Cat oder

irgendetwas anderes, weil es von der
Passwortliste abhängt, um zu gewinnen.

Wenn beispielsweise einige
allgemeine Passwortlisten waren, und wie ich bereits

sagte, sind die Forschungsdaten schwer zu
erhalten, da es keine wirklich großes Passwort-Listen

mit Häufigkeiten gibt, die eine gleiche Anzahl
guter Benutzer hat.

Die, wie sollte ich sagen, sicherheitsbewusst sind,

die harte Passwörter und einen normalen Benutzertyp verwenden.

Also, ich benutze 24
Stunden als symmetrisch,

weil Sie viele Experimente durchführen müssen.

Jedes Experiment dauert einen Tag und dies ist wahrscheinlich die Zeit, in der jemand

Pen-tests ohne Cluster versucht, ohne alle schwachen Passwörter, oder?

Deshalb habe ich große Passwort-Listen beim testen verwendet.

Beispielsweise LinkedIn,

beispielsweise Yahoo Passwort,
Eltie Hackers und so weiter.

Danke schön.

Vielen Dank, Tony.

Bitte geben Sie ihnen viel Applaus für seinen

Vortrag, welchen ich tatsächlich für ziemlich großartig hielt.
[Translated by Vithushan Elankumaran (KYBS2004 course assignment at JYU.FI)]