Anar al contingut

Dessifrat de contrasenya

De L'Enciclopèdia, la wikipedia en valencià

En criptoanálisis i seguritat informàtica, el dessifrat de contrasenyes o password cracking és el procés de recuperació de contrasenyes que s'han almagasenat en un equipe. Un acostament comú és l'atac de força bruta el qual consistix en endevinar repetitivamente la contrasenya i corroborar contra un hash criptográfico existent de la contrasenya.[1]

El dessifrat de contrasenyes pot servir per a ajudar a un usuari a recuperar alguna contrasenya oblidada (instalant una contrasenya totalment nova), per a obtindre accés no autorisat a un sistema, o ser implementada com a mida preventiva pels administradors del sistema per a buscar contrasenyes fàcilment manipulables.

Temps necessari per a dessifrar contrasenyes

El temps per a dessifrar una contrasenya està relacionat en la força de bits, una mida de l'entropía de l'informació de la contrasenya i els detalls de cóm s'almagasena. La majoria dels métodos d'obtenció són illegals i requerixen d'una computadora per a produir moltes possibles contrasenyes, cada una de les quals està marcada. Un eixemple és l'atac de força bruta, en el que un equip intenta totes les claus possibles o contrasenyes fins que ho conseguixca. Els métodos més comuns de dessifrat de contrasenyes són l'atac de diccionari, busca de patrons, llistes de paraules de substitució, etc. Tots estos métodos busquen disminuir els intents requerits i comunament s'usen abans d'intentar l'atac de força bruta. Conforme més alta siga la força de bits de la contrasenya s'incrementen el número d'opcions que deuen ser intentades per a recuperar una contrasenya i reduir la possibilitat de que la contrasenya siga trobada en algun diccionari de cracking.[2]

Les contrasenyes també poden ser dessifrades utilisant programes computacionals, ya que el número de possibles contrasenyes per segon que es pot comprovar és major. Si un hash de la contrasenya de destí està disponible per a l'atacant, este número pot ser prou gran. Si no és aixina, la taxa depén dels llímits del software d'autenticació, de la freqüència en que una contrasenya puga ser jujada, ya siga per les demores, CAPTCHAS, o tancaments despuix de cert número d'intents fallancs. Una atra situació en la qual és possible endevinar de forma ràpida, és quan la contrasenya és usada d'una clau criptográfica. En estos casos un atacant pugues ràpidament corroborar si alguna contrasenya usada descodifica informació sifrada. Per eixemple existix un software comercial que diu que prova 103,000 contrasenyes WPA PSK per segon.[3]


Les computadores d'escritori comuns poden provar més de cent millons de contrasenyes per segon utilisant ferramentes que s'eixecuten en una CPU de propòsit general i mils de millons de contrasenyes per segon utilisant les contrasenyes basades en la GPU.[4][5][6] Vore John the Ripper.[7] La velocitat per a poder dessifrar contrasenyes depén molt de la funció criptogràfica usada pel sistema per a generar els hashes de les contrasenyes. Una bona funció per a fer açò, tal com bcrypt

  • Archivat el 12 de març de 2017 archivat en Wayback Machine., és vàries voltes millor que una funció simple com MD5 o SHA. Una contrasenya de huit caràcters seleccionada per l'usuari en números, mayúscules, minúscules i símbols alcança una força estimada de 30 bits, d'acort en el NIST. Açò vol dir 230 , que significa només un billó de permutació[8] lo que prendria segons per a dessifrar si la funció és simple. Quan les computadores d'escritori normal es combinen en un esforç de dessifrat, com es pot fer en botnets, les capacitats de dessifrat aumenten considerablement. En l'any 2002, distributed.net va trobar en èxit, una clau de 64 bits RC5 en quatre anys, en un eixercici que va incloure més de 300.000 equips diferents en distints moments, i que va generar en promig més de 12 billons de claus per segon.[9] Els processadors gràfics poden accelerar el dessifrat de contrasenyes en un factor de 50 a 100 sobre les computadores de propòsit general. A partir del 2011, els productes comercials disponibles afirmen la possibilitat de provar fins a 2,800,000,000 contrasenyes per segon en un equip d'escritori estàndar en un processador de gràfics de gama alta.[10] Un dispositiu d'este tipo pot dessifrar una contrasenya de 10 lletres a on totes siguen minúscules o mayúscules en un sol dia. Aixina i tot el treball pot distribuir-se entre vàries computadores per a aumentar la velocitat proporcionalment al número existent de computadores en un GPU igual.


Encara en les seues capacitats una computadora d'escritori és més llenta dessifrant contrasenyes que les màquines construïdes en este propòsit. En 1998, l'Electronic Frontier Foundation (EFF) va construir una cookie de contrasenyes dedicada usant ASICs, en comparació a les CPU de propòsit general. El EFF DES Cracker, va dessifrar una contrasenya DES de 56 bits en 56 hores, la màquina prova més de 90 mil millons de claus per segon.[11] En 2010, el Geòrgia Tech Research Institute, va desenrollar un método per a usar GPGPU per a dessifrar contrasenyes en una llongitut mínima de 12 caràcters.[12][13][14]

Fàcil de recordar, difícil d'endevinar

Una contrasenya que siga fàcil de recordar és generalment fàcil d'endevinar.[15] Les contrasenyes que són difícils de recordar poden reduir la seguritat d'un sistema, degut a que els usuaris podrien tindre que escriure o electrònicament almagasenar la contrasenya, fer el restabliment de contrasenyes en freqüència i tindre més provabilitats de tornar a utilisar la mateixa contrasenya. Els requisits més estrictes per a seguritat de les contrasenyes és,"Tindre una mescla de lletres i dígits en mayúscules i minúscules" o "canviar mensualment".[16]


En "The Memorability and Security of Passwords"[17] Jeff Yan et al. examina l'efecte de donar-li consells als usuaris de com fer una bona contrasenya. Varen trobar que usar contrasenyes basades en la primera lletra de cada paraula d'una frase és igual de fàcil de recordar que una mala contrasenya i al mateix temps tan difícil de dessifrar com una generada aleatoriamente. Combinar paraules sense relació és un atre bon método. Un algoritme dissenyat personalment per a generar contrasenyes funciona també. En els últims alvanços més gent ha notat els canvis en la forma en com es resguarden les contrasenyes.

Aixina i tot demanar-li als usuaris el recordar una contrasenya d'una "mescla de mayúscules i minúscules" és casi lo mateix que demanar-los el recordar una seqüència de bits: difícil de recordar i solament poc més difícil de dessifrar (per eixemple 128 voltes més difícil per a una contrasenya de 7 lletres, menys si l'usuari solament posa en mayúscula una de les lletres). Demanar-los en canvi el que utilisen "números i lletres" durà comunament a substitucions fàcils d'endevinar com 'I' → '3' i 'I' → '1', les quals els atacants coneixen molt be. De la mateixa manera escriure la contrasenya una llínea del teclat més dalt és un truc comú i conegut pels atacants.

Les investigacions d'abril de 2015, efectuada per varis professors en l'Universitat Carnegie Mellon, mostren que l'estructura de les decisions de contrasenya de la gent seguix varis patrons coneguts. Com resultat una contrasenya pot ser molt més fàcil de dessifrar que lo que indicaria la provabilitat matemàtica. Per eixemple contrasenyes contenint un dígit ho inclouen desproporcionadament al final de tot.[18]

Referències

  1. ↑ Montoro, Massimiliano (2009). «Brute-Force Password Cracker». Oxid.it. Archivat des de l'original, el 2 de març de 2016. Consultat el 13 d'agost de 2013.
  2. ↑ Lundin, Leigh (11 d'agost de 2013). «PINs and Passwords, Part 2». Passwords. Orlando: SleuthSayers.
  3. ↑ Elcomsoft Wireless Security Auditor, HD5970 GPU, accedit l'11-2-2011
  4. ↑ oclHashcat-lite – advanced password recovery. Hashcat.net. Retrieved on 2013-01-31.
  5. ↑ Alexander, Steven. (June 20, 2012) The Bug Charmer: How long should passwords be?. Bugcharmer.blogspot.com. Retrieved on 2013-01-31.
  6. ↑ Cryptohaze Blog: 154 Billion NTLM/sec on 10 hashes. Blog.cryptohaze.com (2012-07-15). Retrieved on 2013-01-31.
  7. ↑ John the Ripper benchmarks. openwall.info (2010-03-30). Retrieved on 2013-01-31.
  8. ↑ «Electronic Authentication Guideline» (PDF). NIST. Archivat des de l'original, el 8 de febrer de 2017. Consultat el 27 de març de 2008.
  9. ↑ «64-bit key project status». Distributed.net. Archivat des de l'original, el 10 de setembre de 2013. Consultat el 27 de març de 2008.
  10. ↑ [1]ElcomSoft Password Recovery Speed table, NTLM passwords, Nvidia Tesla S1070 GPU, accessed 2011-2-1
  11. ↑ «EFF DES Cracker machine brings honesty to crypto debat». EFF. Archivat des de l'original, el 1 de giner de 2010. Consultat el 27 de març de 2008.
  12. ↑ «Teraflop Troubles: The Power of Graphics Processing Units May Threaten the World's Password Security System». Geòrgia Tech Research Institute. Consultat el 7 de novembre de 2010.
  13. ↑ «Want to deter hackers? Make your password longer», MSNBC, 19 d'agost de 2010. Consultat el 7 de novembre de 2010.
  14. ↑ Walters, Dave. «The Rise of The Programmable GPU – And The Death Of The Modern Password», Techdrawl, 2 de setembre de 2010. Consultat el 7 de novembre de 2010.
  15. ↑ Vance, Ashlee. «If Your Password Is 123456, Just Make It HackMe», The New York Claves, 20 de giner de 2010.
  16. ↑ Managing Network Security. Fred Cohen & Associates. All.net. Retrieved on 2013-01-31.
  17. ↑ Yan, J.; Blackwell, A.; Anderson, R.; Grant, A.(2004).«Password Memorability and Security: Empirical Results».IEEE Security & Privacy Magazine.2(5): 25.doi:10.1109/MSP.2004.81.
  18. ↑ Steinberg, Joseph. «New Technology Cracks 'Strong' Passwords -- What You Need To Know», Forbes, 21 d'abril de 2015.


Referències


Obtingut de «https://lenciclopedia.org/w/index.php?title=Dessifrat_de_contrasenya&oldid=1645416»