Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 37
Скорее бы сделали чтонибудь для WinRAR, а то у меня уже 2 года лежат 2 запароленных файла )
да, уже есть программы, хотя бы от того ЭлкомСофт.
но скорости перебора просто ужасны - у меня на 1.5ghz - 20 паролей в секунду. в какой то кастомной брутфорсилке наденой у черта на куличиках чуть больше - 30, но всеравно черезвычайно мало.
но скорости перебора просто ужасны - у меня на 1.5ghz - 20 паролей в секунду. в какой то кастомной брутфорсилке наденой у черта на куличиках чуть больше - 30, но всеравно черезвычайно мало.
Поэтому для полной безопасности желательно отказаться от Windows в пользу Linux или MacOS, иначе все попытки составить безопасный пароль могут оказаться бесполезными.
+ + +
Никакой голословности. Учим матчасть. И повод не плохой. НО! Не нужно так радикально. Можно воспользоваться вспомогательными средствами для защиты.
И всегда стоит помнить, что полностью защититься от кражи пароля невозможно.
И всегда стоит помнить, что полностью защититься от кражи пароля невозможно.
Это хорошо, но тогда странно слышать фразу вроде "голословное обвинение".
А мне казалось, мы не о любых приложениях говорим, а о весьма конкретной монополистской операционной системе:
Кстати говоря, операционная система Windows хранит пароли в оперативной памяти в открытом виде, и в любой момент может записать этот участок памяти на жесткий диск. Туда может попасть любой пароль, который вы ввели на клавиатуре. Поэтому для полной безопасности желательно отказаться от Windows в пользу Linux или MacOS, иначе все попытки составить безопасный пароль могут оказаться бесполезными.
Другие системы (при правильной настройке) менее халатно относятся к безопасности пользователя и его данных. Конечно, Microsoft далеко продвинулась в плане безопасности по сравнению с 89 годом, когда началась разработка Windows NT, но этого недостаточно.
О вкусах не спорят, как говорится. =) Удачи!
О вкусах не спорят, как говорится. =) Удачи!
о том же пишет и сам Брюс: Linux and Mac OS aren't any better in this regard.
Но фильтр установленный в голове линуксоида не способен нетворчески перевести с английского.
Но фильтр установленный в голове линуксоида не способен нетворчески перевести с английского.
Странно что ничего не сказано про Rainbow tables (Радужные таблицы).
Если злоумышленику доступен LM, MD5 или SHA-1 хэш (и у последних двух он не приправлен специей), то поиск (не перебор!) пароля занимает буквально считаные минуты.
Можно использовать открытые продукты типа OPHCRACK (на Sourceforge ) или воспользоваться платными услугами компаний, имеющих заранее просчитанные таблицы для популярных хэш-функций.
OPHCRACK правда предлагает только алфавитно-цифровые таблицы. Таблицы включающие все символы (алфавитно-цифровые + знаки пунктуации) идут уже за деньги, но и это не проблема. Напрмер на трекере Demonoid можно встать в очередь на закачку полной таблицы для подбора пароля к Windows по известному хэшу.
Если злоумышленику доступен LM, MD5 или SHA-1 хэш (и у последних двух он не приправлен специей), то поиск (не перебор!) пароля занимает буквально считаные минуты.
Можно использовать открытые продукты типа OPHCRACK (на Sourceforge ) или воспользоваться платными услугами компаний, имеющих заранее просчитанные таблицы для популярных хэш-функций.
OPHCRACK правда предлагает только алфавитно-цифровые таблицы. Таблицы включающие все символы (алфавитно-цифровые + знаки пунктуации) идут уже за деньги, но и это не проблема. Напрмер на трекере Demonoid можно встать в очередь на закачку полной таблицы для подбора пароля к Windows по известному хэшу.
ага .. но только как я понял если MD5 подсолен, то толку от этого никакого :)
А вообще выходит что нет ничего лучше чем использовать длинный пароль намешаный из русских, латинских букв, цифр, пунктуационных символов и пробела :) В обозримом будущем пока не то чтобы посчитать, а положить такие огромные таблицы будет некуда.
А вообще выходит что нет ничего лучше чем использовать длинный пароль намешаный из русских, латинских букв, цифр, пунктуационных символов и пробела :) В обозримом будущем пока не то чтобы посчитать, а положить такие огромные таблицы будет некуда.
Согласен. Но можно иметь обычный пароль из 15 цифр. Защита не меньше, чем у пароля с длиной в 8 символов с полным набором знаков, регистров и языков. =) И набирать его быстрее - всего 2 с половиной секунды, иногда меньше. Для более серьёзной защиты можно увеличить его до 25 цифр. Такой пароль не то что подобрать, даже подсмотреть невозможно. Это при хорошей скорости рук, конечно. =)
да нет, дело не в этом. Просто сама по себе система должны быть защищена от возможности подбора и перебора.
К примеру, если расшифровывать можно только самой системой, то достаточно при каждой неверной попытке увеличивать время перед следующей в 2 раза :). Тогда хоть это будет пароль из одного символа, то надо попробовать по максимуму 26+10+32=68 раз, для того чтобы попробовать G придется ждать уже 512 секунд :)
К примеру, если расшифровывать можно только самой системой, то достаточно при каждой неверной попытке увеличивать время перед следующей в 2 раза :). Тогда хоть это будет пароль из одного символа, то надо попробовать по максимуму 26+10+32=68 раз, для того чтобы попробовать G придется ждать уже 512 секунд :)
Не совсем верно. Дело в том что программе перебора паролей приходится работать с двумя типами символов (цифры и доп.символы типа ;%?:), а это значительно усложняет процесс, и пароль вида а?*_38ОА будет гораздо защищеннее чем 937619829081048
Для программы совершенно нет разницы, "&" перед ней или "7". А приведённый пример давайте рассмотрим вместе. Вы использовали латинские прописные и заглавные буквы, а также цифры и спецсимволы. То есть, алфавит перебора состоит из 26+26+10+13=75 символов. Всего существует 75^8=1001129150390625 возможных вариантов 8-значных паролей, составленных из такого алфавита. Это количество всего-лишь на один десятичный порядок больше, чем количество 15-значных исключительно цифровых паролей.
При подборе со скоростью 1 миллиард паролей (над нашим паролем трудится тысяча заряженных компьютеров ФБР), на мой пароль уйдёт 11 дней, на Ваш 110. Но скажите мне, ФБР оно надо? Нет? Тогда смело умножаем эти числа на 1000 и живём спокойно. Нас не поломают.
За какое время Вы наберёте свой пароль 5 секунд? 4? Я набираю свой за 2 секунды. =) Простая арифметика.
При подборе со скоростью 1 миллиард паролей (над нашим паролем трудится тысяча заряженных компьютеров ФБР), на мой пароль уйдёт 11 дней, на Ваш 110. Но скажите мне, ФБР оно надо? Нет? Тогда смело умножаем эти числа на 1000 и живём спокойно. Нас не поломают.
За какое время Вы наберёте свой пароль 5 секунд? 4? Я набираю свой за 2 секунды. =) Простая арифметика.
"Это количество всего-лишь на один десятичный порядок больше, чем количество 15-значных исключительно цифровых паролей."
- Реальная цифра одного десятичного порядка помоему получается весьма внушительной (ну конечно не для ФБР))))
10000000000000000-1001129150390625=8998870849609375 для простого кулхацкера...
Кстати, программа LCP (аналогичное назначение) дает такие сравнительные характеристики
PS: когда пройдет 7 дней с момента моей реги поставлю + за такие вычисления, без шуток
- Реальная цифра одного десятичного порядка помоему получается весьма внушительной (ну конечно не для ФБР))))
10000000000000000-1001129150390625=8998870849609375 для простого кулхацкера...
Кстати, программа LCP (аналогичное назначение) дает такие сравнительные характеристики
PS: когда пройдет 7 дней с момента моей реги поставлю + за такие вычисления, без шуток
А к чему шум-то вообще?
Зачем простому человеку в реальной жизни защищать какие-то zip'ы и rar'ы?
Реально пароли используются для входа в систему и на сайты. Логично иметь простой пароль для простых сайтов, на которых нет ничего кроме пары ваших изречений, а для всяких важных вещей типа почты, веб-сервака, финансовых служб и т.д. по сложному паролю. Благо такого класса системы защищены от брутфорса и можно спать спокойно :-)
Зачем простому человеку в реальной жизни защищать какие-то zip'ы и rar'ы?
Реально пароли используются для входа в систему и на сайты. Логично иметь простой пароль для простых сайтов, на которых нет ничего кроме пары ваших изречений, а для всяких важных вещей типа почты, веб-сервака, финансовых служб и т.д. по сложному паролю. Благо такого класса системы защищены от брутфорса и можно спать спокойно :-)
Однако:
Поэтому для полной безопасности желательно отказаться от Windows в пользу Linux или MacOS, иначе все попытки составить безопасный пароль могут оказаться бесполезными.
В оригинале же:
Linux and Mac OS aren't any better in this regard.
Пожалуйста, пришлите фото стены с кровавыми следами переводчика
Поэтому для полной безопасности желательно отказаться от Windows в пользу Linux или MacOS, иначе все попытки составить безопасный пароль могут оказаться бесполезными.
В оригинале же:
Linux and Mac OS aren't any better in this regard.
Пожалуйста, пришлите фото стены с кровавыми следами переводчика
мда уж... :(
исправили, спасибо
исправили, спасибо
Оперативненько.
Самое смешное — это то, что БШ несет ахинею (за ним это последнее время нередко наблюдается, к сожалению): в любой из трех ОС можно сделать сегмент невыгружаемым, поэтому речь идет о проблемах прикладного ПО, а не системы.
Самое смешное — это то, что БШ несет ахинею (за ним это последнее время нередко наблюдается, к сожалению): в любой из трех ОС можно сделать сегмент невыгружаемым, поэтому речь идет о проблемах прикладного ПО, а не системы.
Слушай, а почему так странно поправили?
Т.е. не написали, что с Маком и Линуксом та же фигня, а оставили бедную винду несчастной сиротой?
Т.е. не написали, что с Маком и Линуксом та же фигня, а оставили бедную винду несчастной сиротой?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Брюс Шнайер об алгоритмах подбора паролей