Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsRetro-Security mit GBA-Hashcat: Game Boy Advance wird zum Passwortknacker
Ein Security-Entwickler hat einen vereinfachten Passwortknacker für den Game Boy Advance gebaut. Das Projekt mit dem Namen GBA-Hashcat prüft eine Liste mit einer Million Kennwörtern gegen einen fest hinterlegten SHA-256-Hash – technisch funktioniert es, praktisch ist der Handheld aber viel zu langsam.
Das Projekt zeigt zugleich, warum schwache Passwörter problematisch sind: Je leistungsfähiger die eingesetzte Hardware, desto schneller lassen sich häufig verwendete oder kurze Kennwörter ausprobieren.
Ersteres ja, aber letzteres zeigt das Projekt ja eben nicht.
Wenn man Listen abgleicht, dann spielt die Länge des Passworts keine Rolle für die Sicherheit. Wenn das Passwort auf der Liste steht, dann kann es auch 100 Zeichen lang sein und wird trotzdem schnell gefunden. Ein SHA-256-Hash eines Strings ist immer gleich lang und erzeugt immer den gleichen Aufwand beim Vergleich.
Lange und komplexe Passwörter helfen, wenn ein Angreifer sie ausprobieren muss und keine Chance auf einen Treffer von einer vorberechneten Liste hat. Wenn man das Passwort dann brute forcen muss, dann dauert das bei einem langen und komplexen Passwort erheblich länger als bei einem kurzen Passwort.
Ich verstehe den Sinn solcher Brute-Force Attacken heutzutage nicht mehr und kann den Newstext daher auch nicht nachvollziehen. Das war vielleicht vor 10 Jahren noch praktisch anwendbar, heute ist es doch nur mehr Theorie:
"Damit wäre ein moderner, GPU-beschleunigter Rechner etwa 30 Millionen Mal schneller. Was aktuelle Hardware in einer Sekunde erledigt, würde auf Nintendos Handheld demnach ungefähr ein Jahr dauern."
Wie soll eine aktuelle Hardware einen aktuellen Account in 1 Sekunde knacken, wenn der Account nach 10 Fehlversuchen für 1 Stunde gesperrt wird?
Ich sehe sowas nur mehr als rein theoretische Versuche wo man ohne jegliche Sicherheitsmaßnahmen stoppt, wie lange die Berechnung und Eingabe der 100.000 Datensätze dauern würde, praktisch aber nicht mehr anwendbar.
Ich verstehe den Sinn solcher Brute-Force Attacken heutzutage nicht mehr und kann den Newstext daher auch nicht nachvollziehen. Das war vielleicht vor 10 Jahren noch praktisch anwendbar, heute ist es doch nur mehr Theorie
Der Sinn dahinter ist weniger, Passwörter zu knacken, als viel mehr zu zeigen, was die Hardware leisten kann.
Ist genauso ein Dingen, wie, warum läuft auf jedem Gerät Doom, oder warum versuchen Linuxer auf jeder Hardware, die sich ihnen anbietet, Linux laufen zu lassen?
Man macht auch deswegen Online kein Bruteforce mehr. Aber evtl. hat man ja mal ne Passwort-Datenbank ergattert oder andere verschlüsselte Daten, die man dann Offline Brute-Forcen kann.
genau, lokale Dateien, Datensätze aus Produktivdatenbanken könnten Ziele sein.
Aber mal ne Frage:
Wenn kein Implementierungsfehler vorhanden ist, alle Passwörter gesalzen/gepfeffert sind und hohe Mindestlängen für Passwörter gefordert werden:
Haben Hacker überhaupt eine Chance außer absolutes Brute-Forcing für jedes einzelne Passwort aus einer Datenbank? Oder gibt es mittlerweile andere Möglichkeiten, die ein BruteForce unnötig machen würden?
Ich verstehe den Sinn solcher Brute-Force Attacken heutzutage nicht mehr und kann den Newstext daher auch nicht nachvollziehen. Das war vielleicht vor 10 Jahren noch praktisch anwendbar, heute ist es doch nur mehr Theorie:
Es wird ja nicht immer Brute Force genutzt. Oft fängt man mit Wörterbuch und Kombinationen an. Bruteforce macht man meist nur bis 6 Stellen und danach lohnt es sich nicht mehr.
lordZ schrieb:
Wie soll eine aktuelle Hardware einen aktuellen Account in 1 Sekunde knacken, wenn der Account nach 10 Fehlversuchen für 1 Stunde gesperrt wird?
Das interessiert dich aber nicht, wenn du den Hash abgefangen hast. Dann kannst du so oft probieren, wie du willst. Eine Accountsperre bringt dir in dem Fall keine Sicherheit.
Oft ist das der Fall wenn man mit einem wenig privilegierten Account Zugriff auf ein System oder eine Datenbank erhält. Dann kann man, teils trivial, teils mit Aufwand, an die Hashes anderer Logins gelangen und die dann in aller Ruhe offline durchprobieren.
Hashcat arbeitet auch nur mit vorher exportierten Hashes und nicht mit Live Anmeldungen. Sonst wäre es auch kein Hash-Angriff.
Wird der GBA nun auch als Hackertool eingestuft und ggf. verboten? Wie der Raspi z.b.
Khorneflakes schrieb:
Wenn man Listen abgleicht, dann spielt die Länge des Passworts keine Rolle für die Sicherheit. Wenn das Passwort auf der Liste steht, dann kann es auch 100 Zeichen lang sein und wird trotzdem schnell gefunden.
Da ist der sicherheitspuffer dann beim erzeugen der listen und bei 100 zeichen in üblichem zeichenraum muss man die liste auch irgendwo gespeichert bekommen. Das sind eine Menge hashes O.o
Schnell ist da relativ, selbst bei nur kleinbuchstaben sind das 10^52. wenn man das nicht drastisch verkleinert ist das sicher weil keiner die dazu passende liste auch nur abspeichern könnte
einlesen um zu vergleichen dauert dann auch eine weile. wie viele petabytes pro sekunde schafft man denn so mit heutigen clustern?
lordZ schrieb:
Ich verstehe den Sinn solcher Brute-Force Attacken heutzutage nicht mehr
ist ja nicht klassisch 'brute force' im sinne von passwörter direkt durchprobieren und manchmal bekommt 'man' eben eine liste mit emailaddressen samt zugehöriger passwort hashes in die finger. vielleicht auch noch kreditkartennummern, addressen und einkaufsverlauf dazu damit man gleich weiß welche ziele lohnenswert sind.
oder man will damit einfach nur selbst mal prüfen wie schnell das eigene passwort geknackt ist. oder das einmalpasswort das jemand für ein zip archiv für ausreichend hielt
Erinnert mich an die Meldung, dass man mit einem klassischen Gameboy Autos der der Marken Hyundai, Kia und Mitsubishi knacken kann. Anfang der 2000er gab es schon Meldungen darüber, die man aber nicht mehr findet.
Das wussten wir aber auch schon vorher, zumal es auch jede Menge Tools gibt, die das Passwort einfach durch ein anderes Neues Passwort ersetzen und dadurch viel effektiver und schneller arbeiten.
