Хранение и шифрование паролей Microsoft Windows

[@zed91]

Хулиганьё!

[@Rayslava]

Интересное исследование, положил в закладки. Глядишь и пригодится…

[@Brand]

Спасибо огромное. Косвенно сталкивался, но такие подробности лучше сохранить.

[@Boomburum]

Ну не знаю… как вообще в подобном можно разобраться ) Очень сильно!

[@Benedict]

согласен, товарищи из Microsoft намудрили неплохо, правда толку от этого немного, если учесть что алгоритмы практически не менялись как минимум 10 лет.
Возможно попозже попробую прилепить некую схемку, в которой наглядно будет что к чему.

[@zed91]

Я уже долгое время ищу того, кто знает как работает LSASS изнутри, может вы знаете?

[@Benedict]

я точно знаю кто знает ) — для начала посмотрите в книжке Марка Руссиновича. Там конечно не все, но это поможет в исследовании. А если окажется мало — windbg + винда в режиме отладки на виртуальной машине: непросто, но зато самый эффективный способ изучения

[@toxicdream]

Не подскажете, в семерке механизм тот же?

[@Benedict]

да, механизм проверен на xp, висте и 7

[@les_sosna]

Непонятно в чем польза всех этих наворотов, если в конечном счете все сводится к брутфорсу md4.

[@Benedict]

ну на самом деле некая польза от наворотов была бы если бы они хотя бы раз в 2-3 года что-нибудь меняли бы. Секреты Syskey, если я не ошибаюсь, были раскрыты совсем не сразу, т.е некоторое время польза точно была.

[@Demon2]

Я думал всё намного проще реализовано

[@zed91]

В винде, проще? Это фантастика :)

[@DangerT]

Огромное спасибо за статью — читал с интересом и почерпнул немало интересных вещей. Мне она очень пригодилась — я сейчас активно занимаюсь изучением криптографии в целом и пространства имен System.Security.Cryptography в .NET. И вот что меня больше всего поражает, так это количество пишущих комментарии наподобие «оказывается все довольно фигово сделано», «я думал что все навмного проще реализовано». Не в обиду комментирующим конечно, но криптография — это сложная прикладная дисциплина. Я вовсе не пытаюсь поучать или «академничать» тут. Просто я сейчас решаю вполне конкретные задачи по защите своего ПО от несанкционированной модификации и распространения — и уже то, что я успел узнать, впечатляет. Поэтому не стоит критиковать людей, которые реализовывали подсистему безопасности Windows и называть ее устаревшей, неактуальной, слишком простой/сложной — она работает. Уверен — много копий было поломано об эту систему, много тысяч человека-чсасов затрачено на ее разработку и поддержку. И она работает. Работает уже много лет, такая, какая есть — с недостатками, дырками, заплатками, новыми дырками и новыми заплатками… Не стоит недооценивать труд других людей.

[@Benedict]

ну я на самом деле согласен лишь отчасти. Мне сложно понять, например почему они не перешли на md5? почему не добавляют соль к хэшам? Ведь это совсем не сложно, а защита сразу улучшается в разы.

[@Roy]

Самое веселое, что перебирать эти хеши часто никакой необходимости и нет. Аутентификаций по NTLM оперирует только хешами — знаешь хеш, можешь авторизоваться.

[@Benedict]

Ну это если авторизироваться через Active directory. Для локального пользователя все же придется поковырять. В прочем если есть, например, хорошая база rainbow tables это довольно простое занятие

[@Stalker_RED]

помним, как-же!
на атлоне 1.6 пароль под винхп брутился за 10-15 минут.

[@exIV]

Это как ни крути зависит от длины пароля, а вообще основная масса паролей пользователей брутится по словарю ;)

[@Stalker_RED]

два кусочка по 7 символов? да хоть и не два, они параллельно брутятся же.

[@exIV]

Насколька я понял надо ведь чтоб не тока они (сами кусочки), но и разбиение совпало, дало два необходимых кусочка…

[@Stalker_RED]

нет, все хуже. к примеру, если установить пароль «0zd4gU7a3», то уже в первую секунду будет видно что конец пароля «а3» а остальная часть будет какое-то время брутится.
потому что восьмой и девятый символы во второй части, и длинна этой самой второй части очень мала.

[@exIV]

Да, извиняюсь, я не прочитал что оно сначала делится, а потом уже шифруется :)

Я думал что наоборот, сначала шифруется, а потом разделяется :) :) :)

Тогда я просто не понимаю нахера такой ИДИОТИЗМ было выдумывать ;) ;) это ведь надо было специально придумывать такое… :) Да еще и в верхний регистр… ужость…

[@Xaegr]

Мне кажется многие пишущие про «система устарела» не совсем понимают о чем идёт речь. Как автор уже заметил в статье, NT хэш не сохраняется в современных системах по умолчанию. Он правда не упомянул что в современных системах используются более «новые» алгоритмы — NTLM, NTLM2. Да, разумеется старый NT тоже остаётся и безопасность сводится к безопасности самого слабого звена, но надо понимать что сделано это для совместимости, для того чтобы с переходом на новую версию у вас не перестали работать например принтеры которые не поддерживают этих «новинок» (которым тоже уже немало лет). Даже отключение сохранения LM хэша было нелегким делом…
А те кто действительно печется о безопасности, должны знать о том что рекомендуется рекомендуется отключить сохранение хэшей устаревших алгоритмов если в вашей инфраструктуре это возможно.

[@Xaegr]

ой, читать NT как LM в первых двух упоминаниях конечно :) Только проснулся…

[@Xaegr]

Да, кстати еще надо понимать что хэш — с точки зрения безопасности почти эквивалентен паролю. Если злоумышленник получил такой доступ к системе что смог вытащить хэш — система _уже_ его, и никакие пароли ему вобщем то не нужны. Более того, всякий кто залогинился на такой скомпроментированной системе — тоже уже скомпроментирован.

[@chaliy]

Вы бы написали статейку про то как сделать Винду максимально секурной, что отключить, что включить.

[@Xaegr]

Уже написано гораздо более компетентными людьми чем я. Вот например официальный Security Guide по Vista — technet.microsoft.com/en-us/library/cc507874.aspx По 7 примерно то же самое, но обновление скоро будет.
В «максимально секурной» системе будет невозможно работать :) Вы наверное знаете что она отключена от сети, и закопана в землю под несколько метров бетона :)
Безопасность это всегда компромис. Настройки Windows Vista/7 по умолчанию — прекрасное решение для большинства пользователей (причем даже часто смещенное в сторону безопасности). Если хочется большего — возможностей полно. Всевозможным военным и госорганизациям США например вполне хватает, а мне почему то кажется что там IT спецы не хуже наших…

[@Benedict]

Ну на самом деле NTLM и NTLMv2 — это протоколы сетевой аутентификации, в основе которых лежат все те же хаши — LM и NT