Пароль из 6 букв. Как можно придумать надежный пароль

С оциальные сети, email-аккаунты, личные кабинеты банков и электронных кошельков - все это содержит важные данные, к которым не должен иметь доступ злоумышленник, и требует тщательной защиты доступа. Какой пароль можно придумать, чтобы он был надежным, но в то же время легко запоминался?

Почему пароли только из цифр не надежны

Иногда пароли для телефона состоят только из цифр. Их длина обычно составляет 4 — 6 символов. Из 4 цифр придумать что-то надежное невозможно, так как сочетаний из 4 знаков существует всего 10 тысяч. Перебор такого количества комбинаций злоумышленником, не займет много времени.

6 знаков немного улучшает ситуацию. Для него существует 1 млн. комбинаций, но все равно для защиты действительно важных данных этого недостаточно. Популярные пароли типа 123456, 987654, 000000, 111111 и т. д. подвергаются взлому в первую очередь. Быстро подобрать их немудрено даже вручную, не говоря уже о взломе машинным методом.

Также, не стоит использовать Ваши персональные данные, такие как: номер телефона, дата рождения, номер квартиры. Относительно сложность из 6 цифр может включать в себя какие-либо знаковые даты и числа, известные только Вам, но и в них желательно хотя бы переставлять знаки местами или смешивать между собой. Например, часть номера лотерейного билета можно совместить с частью даты концерта любимой музыкальной группы. Вам будет полезно прочитать рекомендации от google .

Каким должен быть пароль

Большинство социальных сетей и почтовых сервисов имеют требования к длине от 6 до 20 символов. Они позволяют использовать специальные символы, заглавные и маленькие латинские буквы, цифры. В реальности же надежный пароль должен содержать не менее 8 символов.

Рассмотрим примеры создания:

  • Возьмем часть какой-нибудь крылатой фразы, скороговорки или считалки. В нашем случае это будет вторая часть истории о попе и собаке: «Она съела кусок мяса, он ее убил».
    Переведем первые буквы каждого слова фразы в латинские символы соответствующих клавиш, получим jcrvjte.
  • Включим в алгоритм личную информацию для удобства запоминания.
  • Предположим, Ваш номер квартиры — 26. Сделаем вторую и шестую букву заглавными.jCrvjTe
  • Ваш день рождения 15 июля 1988 года. Распределим эту информацию. j1C5r7v8j8Te
  • К каждому четвертому знаку добавим символ из группы: !, @, #, $, %, ^; &, *, (,). Возьмем второй и шестой по номеру квартиры. [email protected]^j8Te

Такое сочетание символов не получится подобрать ни вручную, ни с использованием компьютера, но реально запомнить логику его формирования самому владельцу.

Сайты для онлайн генерации простых и сложных паролей

Как можно придумать тяжелый пароль разобрались, при этом предложенный способ подходит для создания 2-3 комбинаций символов. А что делать, когда требуется создать их десятками? В этих случаях можно воспользоваться специальными генераторами:

Randstuff

Данным ресурсом, мы часто пользуемся. Он поддерживает русский язык, для постоянных пользователей есть возможность зайти в личный кабинет. Отличительная черта этого сайта, подбор случайных афоризмов, фактов, шуток, с целью развлечь своих пользователей. Вышло неплохо, рекомендуем посетить этот раздел.

Возможности веб-сервиса:

  • Генерация случайных чисел
  • Определение победителя в конкурсе
  • Предсказания и ответы, другими словами шар предсказатель, как в фильме «Трасса 60»
  • Генератор паролей с тонкой настройкой

Random.org

Популярный сайт для онлайн генераци всего возможного. Вы могли его увидеть на розыграшах у популярных YouTube каналов и сообществах в социальных сетях. Создан в 1998 году, профессором и доктором компьютерных наук Mads Haahr с Ирландии. Такая большая история существования веб-ресурса, нас серьезно удивила, что говорит, о его серьезном подходе к делу.

Позволяет генерировать:

  • Числа для игр и лоторей
  • Случайтные рисунки. Платная возможность.
  • Списки, строки, карты и т. д.
  • Веб-инструменты и виджеты для страниц

Любопытнм людям, стоит посетить раздел статистики в реальном времени. В ней можно узнать, как работает генератор посмотрев графики статистики.

Эти сайты позволяют задать параметры (число символов, применимые регистры для букв, использование цифр и специальных символов), и Вам не потребуется каждый раз напрягать фантазию.

Только на первый взгляд непробиваемые пароли не содержат логической структуры и выглядят, как абракадабра. Сложные пароли являются таковыми лишь для тех, кто не знает рецепт их создания. Вам вовсе не обязательно запоминать регистры букв, цифры, специальные символы и порядок их следования. Достаточно выбрать запоминающуюся основу и следовать простым советам создания крепких паролей.

Детские считалки

За основу пароля берём любой детский стишок или считалку. Желательно, чтобы она водилась лишь в ваших краях и не была общеизвестна. А лучше собственного сочинения! Хотя подойдут любые детские рифмы, главное, чтобы строки намертво засели с юных лет в вашей голове.

Пароль будет состоять из первых букв каждого слова. Причём буква будет писаться в верхнем регистре, если она является первой в предложении. Заменяем некоторые буквы похожими по написанию цифрами (например, «ч» на «4», «о» на «0», «з» на «3»). Если не хотите излишне запутываться с заменой букв на цифры, поищите считалку, уже содержащую в себе цифры. Не забываем о знаках препинания, разделяющих слова и предложения, - они пригодятся.

Пример:

Черепаха хвост поджала

И за зайцем побежала.

Оказалась впереди,

Кто не верит - выходи!

Заменяем буквы «ч», «з» и «о» на схожие цифры. Вторая, третья и четвёртая строчки начинаются с заглавных букв, и поэтому пишутся в верхнем регистре. Включаем четыре знака препинания. Разумеется, пишем русскими буквами, но на английской раскладке клавиатуры.

17-символьный пароль готов! Может быть, он и не идеален, так как содержит повторяющиеся знаки, последовательные строчные буквы и цифры. Но назвать его простым уж точно язык не повернётся.

Любимые изречения

Схема аналогична детским считалкам. Только за основу вы берёте понравившиеся и очень запомнившиеся фразы мыслителей, знаменитостей или киногероев. Вы можете несколько усложнить себе жизнь, заменив букву «ч» не на «4», а на «5», например. Запутывающих манёвров много не бывает!

Пример:

Я узнал, что у меня

Есть огромная семья:

Речка, поле и лесок,

В поле - каждый колосок…

Заменяем букву «ч» на «8», не забываем о верхнем регистре и знаках препинания.

Ze,8evTjc^H,g,bk,Dg-rr…

Жаргон и терминология

Подразумевается использование профессионального жаргона, понятного крайне узкому числу людей. Эти слова куда более далеки от обычного человека, нежели криминальные изречения, широко освещаемые на телеэкране и улицах любого города.

Например, можно использовать выписку из больницы или заковыристое медицинское определение.

Пример:

Циклопентанпергидрофенантрен - термин, состоящий из 28 букв. Длинновато получается, посему предлагаю выкинуть гласные буквы и разбавить оставшиеся согласные верхним регистром.

Памятные даты

Разумеется, ваш день рождения или день начала семейной жизни - это не самая удачная основа для пароля. Событие должно быть исключительной важности, и о нём должны знать только вы. К примеру, это может быть день, когда вы впервые съели жвачку, сбежали с урока или сломали каблук. Так как базис пароля будут составлять цифры, не лишним видится перемешивание их с буквами.

Пример:

22.10.1983 и 16.06.2011

Замените точки, разделяющие день, месяц и год, на любую букву, например маленькую английскую “ l” , которая очень похожа на довольно часто использующийся разделитель «/». Между датами проставим символ нижнего подчёркивания «_». Нули заменим на буквы «о».

Визуальный ключ

Используйте технику разблокировки смартфона и на вашей клавиатуре. Придумайте любую фигуру и «проведите» пальцем по её контурам.

Не забудьте пройтись по цифрам, изменить горизонтальное и вертикальное направление движения. И проявляйте, в отличие от меня, фантазию!

Заключение

Предложенные способы создания запоминающегося, но при этом вполне сложного для восприятия со стороны пароля могут быть изменены и скомбинированы по вашему усмотрению. Достаточно один раз обмозговать свой суперпароль, и можно без страха использовать его в присутствии постороннего человека.

А как вы выбираете себе пароль?

Очень часто пользователи защищают свои данные слишком простыми паролями, чтобы их было легко запоминать и набирать. Мы подобрали несколько советов, чтобы ваши пароли стали простыми для вас, но сложными для взломщика. Давайте вместе разберемся какой придумать пароль и как уберечь ваши аккаунты от мошенников.

В первую очередь, стоит разделить защищаемые паролями аккаунты на категории — например, для локальной системы бессмысленно придумывать суперсложные пароли, поскольку имея физический доступ к машине похитить ваши данные не составит абсолютно никакого труда. Другое дело если ваша машина имеет открытый удаленный доступ, тогда уже стоит подумать над более надежным паролем. Чтобы защитить свой электронный кошелек тоже стоит выбирать очень хороший пароль. Но тот способ генерации который я хочу вам предложить годится абсолютно для любого вида аккаунтов.

Как не забыть пароль

Первая рекомендация — никогда не сохраняйте пароли от онлайн-сервисов (различных почтовых сервисов, аккаунтов социальных сетей, форумов, сайтов) в вашем браузере! Ибо банально вы можете его забыть. А на некоторых сервисах восстановление пароля очень трудоемкая процедура. Использовать какое-то место где вы будете хранить пароли от всех ваших аккаунтов тоже не очень хороший вариант. Хотя, для паролей от аккаунтов, не представляющих особой важности, вполне подойдет.

Все пароли лучше держать в голове. Это отлично тренирует память. Если вы не будете сохранять пароли в браузере, то вам придется постоянно его набирать. Таким образом вы его никогда не забудете, ибо его запомнит не только ваш мозг, но и пальцы. Это может вам показаться слишком сложным — каждый раз набирать пароль. Но это только первые n раз (n зависит от вашего навыка набора на клавиатуре. Кстати, постоянный ввод паролей вручную заметно способствует совершенствованию навыка слепой печати.

Символы для паролей

Никогда не используйте в паролях — номера телефонов, имена близких, даты рождения и тому подобные. Почему? Да, такие пароли легко запомнить, поскольку вы их уже знаете — остается только запомнить, что именно это и есть ваш пароль. Но дело в том, что есть такой способ узнавания паролей, называемый социальная инженерия. Один из самых эффективных и часто используемых способов взлома. Злоумышленник может без проблем узнать эти номера телефонов и даты рождения и можете не сомневаться — он обязательно попробует их в качестве пароля от вашего аккаунта.

Думаю, не стоит упоминать о различных qwerty, 1234, 09876, zaqwsx и прочих клавиатурных рисунках и последовательностях. Но таки скажу — что эти вещи пробуются при взломе в первую очередь. Также стоит сказать о различных — admin, user, password и прочих. И уж самый глупейший пароль — это совпадающий с вашим логином, поскольку логин(имя пользователя) обычно открыто. Этот вариант будет опробован злоумышленником самый первый. То же самое относится и к различным вариациям вашего имени, логина.

Ну вот в принципе основные требования к паролю — каким он быть НЕ ДОЛЖЕН. Остается только придумать такой, чтобы соответствовал всем этим требованиям и при этом был прост для запоминания.

Количество символов в пароле

Пароль должен быть больше 6 символов. Те что меньше — неустойчивы к перебору (brute force атака, метод грубой силы). Пароль не должен быть каким-то осмысленным словом — опять же, тогда он неустойчив к другому виду перебора — brute force по словарю. Однако наш метод генерации паролей позволяет придумать очень длинные и сложные пароли и никогда их не забывать. Даже сгенерировать пароль 16 символов и запомнить его не составит для вас труда. Например: lk1yysqGfh0kmB3itcnyf9wfnbCbv80k08 . Тут 34 символа, но запомнить его легко, если знать способ генерации сложного пароля. Что уж говорить о паролях из 6 или 8 символов.

Генерация паролей. Легко без программ.

Оказывается в этом ничего сложного нет. Итак, допустим вы регистрируетесь на каком либо ресурсе, скажем почтовый сервис. Чтобы сгенерить хороший пароль, придумайте фразу на русском языке, которая ассоциативно связана с ресурсом на котором вы регистрируетесь. В нашем случае это почта. Допустим мы взяли фразу «здесь лежит моя почта». Такое сложновато забыть не так ли? Ибо при проверке почты вы вспомните эту фразу автоматически. Эта фраза и будет вашим паролем. Но в первоначальном виде она на эту роль не годится. Очень редко допускаются пароли состоящие из нескольких слов, поэтому из нашей фразы их лучше просто выбросить. Получим «здесьлежитмояпочта».

Русская фраза в английской раскладке

Теперь финт ушами — пишем эту фразу русскими буквами, как она есть без пробелов НО! в английской раскладке. Получим «pltcmkt;bnvjqgjxnf». Вот это уже больше похоже на настоящий пароль, не так ли? Упаси вас бог пытаться запомнить именно эту последовательность! Как вы уже поняли, достаточно помнить исходную фразу на русском языке и вы никогда не забудете свой пароль. И там где сила пароля не критична, его можно использовать прям в таком виде.

Замените буквы на цифры

Но можно его изменить и дальше. Допустим добавить туда цифр. Берем вашу исходную фразу, на русском языке и смотрим что там можно заменить на цифры. Однозначно букву «о» можно заменить на цифру 0. Букву «ч» можно заменить на цифру 4. Букву «з» на 3, «б» на 6, «г» на 7, «д» на 9. И все это без риска забыть. Ну что ж попробуем. «39tcmkt;bnv0zg04nf» — ну как? Это уже абсолютно неломаемый пароль. И в то же время мы помним как его набирать, пока помним исходную фразу.

Используйте регистр для отделения слов

Но и это еще не все. Можно ведь еще добавить буквы в верхнем регистре! Допустим взяв исходную фразу, напишем первые или последние, а может и те и другие, буквы в верхнем регистре. При этом, цифры можно оставить в покое. Получим «39ltcmKt;bnV0zG04nf» — такому паролю может позавидовать любая утилита-генератор. Но отличие от генератора в том, что мы никогда не забудем такой пароль, ибо помним как он получен.

Правда здесь есть пару нюансов. Не всегда есть возможность использовать в паролях неалфавитные знаки — точка, точка с запятой, запятая, апостроф, квадратные скобки. Эти знаки будут появляться в паролях если в исходной русской фразе или слове есть буквы ю,ж,б,э,х,ъ, соответственно. Такие знаки только придают дополнительную криптостойкость вашему паролю, но только если они допустимы. В противном случае нужно либо брать исходную фразу где эти буквы не используются, либо заменить их например на те же цифры. Я предпочитаю именно первый вариант, правда если в моей исходной фразе есть только буква «б» я просто меняю ее на цифру 6 не отказываясь от этой фразы.

Используйте спецсимволы в пароле

Точно так же можно использовать особенности клавиатуры, если вы хотите чтобы в вашей исходной фразе были цифры. Тогда просто набирайте эти цифры с зажатой клавишей shift и получите 1=!, [email protected], 3=#, 4=$, и получите неалфавитные символы в ваш пароль что только многократно усилит его(опять же при условии что эти символы допустимы).

Теперь осталось только научиться правильно подбирать ключевую фразу или слово, чтобы была стойкая ассоциация с ресурсом на котором вы регистрируетесь.

И еще, не обязательно изменять все, которые можно изменить, буквы на цифры. Достаточно одной-двух, тут следует смотреть по ситуации — оптимизируйте свой пароль еще и для удобного набора, если вы еще пока не владеете слепым десятипальцевым методом печати.

Устойчивый пароль

Не стоит бояться, что вам будет слишком сложно его набирать — это ненадолго. При необходимости, вы можете без проблем кому-нибудь диктовать или записывать свой пароль именно В КОНЕЧНОМ ВИДЕ (например друзьям) — потому что его просто нереально запомнить. Вы и сами сможете записать или продиктовать его, только если у вас перед глазами есть клавиатура, либо вы помните раскладки наизусть. Но никогда не выдавайте никому именно исходную фразу и алгоритм генерации вашего пароля.

Сколько времени нужно хакеру, чтобы разгадать Ваш пароль? Как правило, в различных приложениях и услугах в режиме онлайн требуется пароль длиной не менее шести символов. "Сильным" считается пароль, содержащий комбинации букв, цифр и служебных знаков. При этом будет достаточно трех секунд для взлома этого пароля, если же Вы используете только буквы, то хватит и секунды для доступа к Вашим данным.

Почему надежность Вашего пароля снижается c каждым годом

20 лет назад пароли из шести или восьми символов казались надежными. На прежних компьютерах потребовались бы годы или даже века для взлома такого пароля путем пробы всевозможных цифровых комбинаций. Многие люди пользуются своим паролем уже десятилетия и не меняют его. Таким образом длина пароля сохраняется, а его надежность с каждым годом уменьшается.

За последние десятилетия развитие вычислительной техники достигло огромного прогресса, и сегодня любой личный ПК обладает большей мощностью, чем супер-ЭВМ в былые времена за несколько миллионов долларов. При этом новые графические и многоядерные процессоры предлагают такую вычислительную мощность, которую 20 лет назад большинству из нас трудно было бы представить, и каждый год появляются все новые процессоры с большим количеством ядер и графические процессоры большей мощности.

Совершенствование технических средств взлома паролей

Благодаря этому все больше людей имеет сегодня возможность взломать пароль, и технические средства становятся более усовершенствованными. Простой перебор всевозможных цифровых комбинаций, т.е. атака "грубой силы" (Brute Force Attack) без особых размышлений - это только начало. Быстро создаются таблицы с возможными паролями, которые пробуются в первую очередь. В эти таблицы занесены имена видных деятелей, актеров кино, даты рождения, ласкательные имена и затем все слова из толкового словаря. Чем чаще используется пароль, тем выше он будет находиться в такой таблице и тем быстрее он может быть найден.

Кроме того, есть разработанные "радужные таблицы" ("Rainbow-Tables"), которые экономят время за счет предварительного вычисления промежуточного результата, а для проведения более быстрых расчетов используются графические процессоры.

Какую же длину должен иметь надежный пароль?

В одной статье Дирка Фокса относительно минимальной длины паролей и криптографических ключей от 2009 года в таблице приводятся данные по продолжительности поиска паролей в Windows атакой грубой силы с использованием "радужных таблиц" (Rainbow Crack).

При этом следует учитывать тот факт, что развитие компьютерных технологий достигло за последние 3 года значительных успехов, так что на сегодняшний день на взлом паролей может потребоваться гораздо меньше времени. Дирк Фокс различает пароль, состоящий только из букв, и пароль из комбинации букв, цифр и служебных знаков. Выдержка из таблицы:

Длина пароля знаки только буквы буквы, цифры и служебные
6 символов 0,2 секунды 3,4 секунды
8 символов 8,75 минуты 6,7 часов
10 символов 16,4 дней 5,4 года
12 символов 22 года 38 147 лет

Таким образом длина пароля в Windows должна быть минимум 10 символов, если пароль состоит не только из букв, а из комбинации букв, цифр и служебных знаков. К тому же должны использоваться как строчные, так и заглавные буквы. Условие легкого запоминания пароля при такой длине уже является невыполнимым - но если все же оно соблюдается, то паролю гарантировано место в таблице хакера!

ПИН-коды банковских карт

Теперь Вы будете возможно обеспокоены вопросом, насколько надежна защита Ваших средств в банке, поскольку ПИН-код состоит всего лишь из 4 символов - причем только из одних цифр. ПИН-код в интернет-банкинге также состоит из 5 символов.

Тем не менее такой ПИН-код является в определенной степени надежным, поскольку после трех неправильных попыток ввода ПИН-кода карта или доступ к ней в режиме онлайн блокируется. То же самое относится к блокирующему коду авторадио. Это практически невозможно, чтобы хакер в первые три попытки раскрыл правильные комбинации символов, если он их не знает полностью или частично.

Также шестизначный или восьмизначный пароль может быть надежным, если контролируется число неверных вводов, и после нескольких неверных попыток происходит блокировка счета. Однако это не всегда случается, и часто блокировка снимается через некоторое время. Для надежности Вы должны все же создавать пароль длиной минимум 10 символов. Для большей уверенности в защите на протяжении лет создавайте пароль из 12 символов и более.

Если соответствующий провайдер услуг не позволяет создавать пароли длиной более восьми знаков, Вы должны подумать, стоит ли доверять Ваши данные этому провайдеру. По меньшей мере, Вы должны регулярно менять Ваш пароль, чтобы усложнить хакерам его взлом.

Подбор паролей длиной 12 символов и выше

Alexander Antipov

При помощи современного оборудования, мы можем почти наверняка расшифровать быстрый хеш, например, MD5, NTLM, SHA1 и т. д. за разумное время.


Что я подразумеваю, когда говорю о взломе пароля длиной 12 и более символов? Я утверждаю, что при помощи современного оборудования, например, данной «бюджетной» установки , мы можем почти наверняка расшифровать быстрый хеш, например, MD5, NTLM, SHA1 и т. д. за разумное время. На практике подбор в лоб последовательностей длиной 8 и более символов бесперспективен в случае с распространенными алгоритмами хеширования. Когда же мы касаемся особенностей национального языка и человеческой психологии (например, среднее английское слово длиной 4.79 символа, а люди предпочитают использовать несколько слов при составлении паролей размером 10 и более символов), то здесь уже открываются более интересные возможности с точки зрения подбора подобных паролей. Более подробно о различных инструментах подбора рассказано в книге Hash Crack .

Почему пароли длиной 12 и более символов уязвимы?

Люди, создающие пароли длиной 10 и более символов вручную, как правило, используют стандартные слова и фразы. Почему? Потому что запомнить пароль «horsebattery123» намного проще, чем «GFj27ef8%k$39». Здесь мы сталкиваемся с инстинктом следования по пути наименьшего сопротивления, который, в случае с созданием паролей, будет проявлен до тех пор, пока менеджеры паролей не станут использоваться более массово. Я согласен, что серия рисунков, посвященная устойчивости пароля , вполне имеет право на жизнь, но только в случае небыстрыми алгоритмами хеширования, наподобие bcrypt. В этой статье будут показаны примеры атак типа Combo (когда комбинируются элементы словаря) и Hybrid (когда к атаке типа Combo добавляется прямой перебор) при помощи утилиты Hashcat , которые, надеюсь, расширят ваш арсенал. В примерах ниже будет продемонстрировано, как злоумышленник может эффективно перебрать пространство ключей и взломать пароли, которые на первый взгляд кажутся устойчивыми.

Базовая информация об атаках типа Combo и Hybrid

Комбинационная атака (Combo) : комбинируются все элементы из двух словарей.

Пример
Входные данные: dictionary1.txt dictionary2.txt
Комбинации паролей:
pass => password, passpass, passlion
word => wordpass, wordword, wordlion
lion => lionpass, lionword, lionlion

Гибридная атака (Hybrid) : представляет собой атаку по словарю с примесью комбинаций сгенерированных по определенному шаблону.

Пример
Входные данные: dictionary.txt ?u?l?l
Комбинации паролей:
pass => passAbc, passBcd, passCde
word => wordAbc, wordBcd, wordCde
lion => lionAbc, lionBcd, lionCde

Примечание 1: Последовательность генерации паролей не совсем точна и приведена для описания общей идеи.

Примечание 2: Более подробные объяснения приведены на сайте Hashcat .

Комбинационная атака

Рассмотрим комбинационную атаку с использованием словаря, состоящим из 10 тысяч наиболее употребительных слов в порядке убывания популярности. Анализ проводился при помощи N-грамм и частотного анализа на базе триллионного сборника, собранного поисковой системой Google .

Рассмотрим пример двух случайно выбранных слов, соединенных в пароль длиной 16 символов, например shippingnovember и осуществляем комбинационную атаку на данный пароль, если бы использовался алгоритм MD5:

Пример
hashcat -a 1 -m 0 hash.txt google-10000.txt google-10000.txt

При переборе всех комбинаций, состоящих из слов, соединенных друг с другом, при помощи современных аппаратных средств пароль взламывается менее чем за одну секунду. При работе с другими, более медленными, алгоритмами пароль также подбирается за разумное время.


Рисунок 1: Время подбора пароля shippingnovember при помощи комбинационной атаки

Критики могут возразить, мол, если вначале каждого слова сделать заглавные буквы или добавить цифру или специальный символ, то новый пароль (например, ShippingNovember) будет более устойчив. Проверим эту теорию на практике и скомбинируем словарь google-10000 в единый большой массив паролей при помощи утилиты combinator.bin , что позволит нам комбинировать полученные слова в сочетании с правилами.

Пример
combinator.bin google-10000.txt google-10000.txt > google-10000-combined.txt

Теперь, когда у нас есть словарь комбинаций, мы добавляем правила с целью подбора модифицированного пароля (ShippingNovember).

Пример
hashcat -a 0 -m 0 hash.txt google-10000-combined.txt -r best64.rule


Рисунок 2: Время подбора пароля ShippingNovember при помощи словаря комбинаций и правил

Новый пароль расшифрован за 28 секунд. Схожим образом добавляются правила, учитывающие специальные символы, различное местонахождение комбинации и так далее. Думаю, вы уловили суть.

Пароли из 3 слов

Используя созданный словарь комбинаций, попробуем подобрать пароль из трех слов, например «securityobjectivesbulletin», при помощи комбинационной атаки.

Пример

hashcat -a 1 -m 0 hash.txt google-10000-combined.txt google-10000.txt


Рисунок 3: Время подбора пароля securityobjectivesbulletin

Схожий пароль с добавлением других символов взломается чуть медленнее. Улавливаете тенденцию?

Пароли из 4 слов

Теперь рассмотрим взлом паролей, состоящих из четырех слов (пример: «sourceinterfacesgatheredartists»). В этом случае пространство ключей увеличивается до 10.000.000.000.000.000 кандидатов, но в итоге подбор занимает разумное время. В основном из-за того, что используется алгоритм MD5. Мы создаем новый словарь комбинаций и осуществляем комбинированную атаку при помощи Hashcat.

Пример
hashcat -a 1 -m 0 hash.txt google-10000-combined.txt google-10000-combined.txt


Рисунок 4: Время подбора пароля sourceinterfacesgatheredartists

Процесс перебора при помощи современных аппаратных средств мог занять 4 дня, но правильный кандидат был найден в течение 5 часов 35 минут. Добавление цифр или специальных символов сделало бы пароль вне нашей досягаемости, но использование лишь четырех случайных слов делает пароль уязвимым.

Гибридная атака

Гибридные атаки требуют большей находчивости, но когда нужный шаблон найден, находка становится сродни золотому слитку. Особенно незабываемые ощущения доставляет прокрутка расшифрованных паролей в терминале.

Атака по словарю Google-10000 + маска

В первом примере мы будем использовать тот же словарь из 10 тысяч наиболее встречающихся слов в качестве базы для генерации кандидатов для перебора. Затем мы воспользуемся пакетом утилит PACK (Password Analysis and Cracking Kit) и словарем hashesorg251015.txt с сайта weakpass.com . Я выбрал именно этот словарь из-за высокого рейтинга успешности и относительно небольшого размера. Мы будем изучать словарь hashesorg и по результатам анализа создадим маски на базе наиболее популярных паролей, ограниченных определенных набором символов. Эти маски будут использоваться в начале и в конце базовых слов из словаря google-10000.txt.

Пример

Вначале сгенерируем статистику по маскам на базе паролей длиной 5-6 символов и запишем результаты в отдельный файл (учтите, что процесс генерации может занять некоторое время).

python statsgen.py hashesorg251015.txt --minlength=5 --maxlength=6 --hiderare -o hashesorg_5or6.masks

Затем преобразуем маски в формат Hashcat (файл.hcmasks) для последующего использования в гибридных атаках.

python maskgen.py hashesorg_5or6.masks --optindex -o hashesorg_5or6.hcmask

Далее в режиме 6 в качестве параметров указывает словарь и набор масок. Алгоритм перебора будет выглядеть следующим образом: берется первая маска и комбинируется с каждым словом из словаря, затем вторая маска, третья и так далее, пока не закончится весь перечень масок. Некоторые атаки могут заканчиваться очень быстро, некоторые осуществляются чуть дольше. Во время тестирования будем подбирать пароль «environmentsqaz472»

Пример
hashcat -a 6 -m 0 hash.txt google-1000.txt hashesorg_5or6.hcmask


Рисунок 5: Время перебора пароля environmentsqaz472

Подбор занял около 20 минут. Вначале мы добрались до маски?l?l?l?d?d?d, а затем в течение 14 взломали пароль.

Атака на базе словаря Rockyou + Rockyou -1-60. hcmask

Теперь воспользуемся набором масок, который идет в комплекте с утилитой Hashcat и сгенерирован на основе паролей из набора Rockyou. Данный набор масок разбит на отдельные порции, которые с возрастанием диапазона номеров возрастают по размеру. Размер, как я предполагаю, возрастает из-за процента паролей, на базе которых сгенерирована конкретная порция масок. Мы будем использовать файл с именем rockyou-1-60.hcmask, поскольку там наиболее ходовые маски, которые хорошо зарекомендовали себя при гибридных атаках. Этот набор масок мы будем комбинировать с паролями из словаря Rockyou . В случае с другими словарями будьте осторожны и используйте файлы не слишком большого размера. Иначе атака будет занимать СЛИШКОМ много времени. Обычно я пользуюсь словарями размером менее 500 Мб (и даже меньше) и добавляю маски в начале и в конце слов. Берем случайный пароль «sophia**!» из словаря Rockyou и в начало добавляем случайную дату «1996». В итоге получаем пароль 1996sophia**!. Во время тестов каждая маска будет комбинироваться с элементом словаря Rockyou.

Пример
hashcat -a 7 -m 0 hash.txt rockyou-1-60.hcmask rockyou.txt


Рисунок 5: Время подбора пароля 1996sophia**!

Во время перебора через несколько минут дело дошло до маски?d?d?d?d. Данный пример показан с целью демонстрации процесса и эффективности гибридных атак. Файл rockyou-1-60.hcmask содержит 836 масок, сгенерированных на базе наиболее часто встречающихся паролей из словаря rockyou.txt. Если вам мало этого набора, в комплекте с Hashcat идут все маски, сгенерированные на базе остальных паролей.

Первые 5 символов + маска

Теперь создадим новый словарь и набор масок. Мы уже знаем, что среднее английское слово занимает 4.79 символов , и поэтому будем создавать словарь, содержащий элементы не более 5 символов. Данный словарь будет сгенерирован на базе файла rockyou.txt, где у каждого элемента будут отрезаны первые 5 знаков. Далее удаляются дубликаты, и полученный список сортируется и помещается в файл first5_dict.txt. Полученный словарь занимает 18 МБ, что слишком мало для атаки на быстрый алгоритм MD5, но вполне приемлемо для более медленного хеша.

Пример
cut -c 1-5 rockyou.txt | sort -u > first5_dict.txt

Затем мы будем комбинировать элементы словаря first5_dict.txt и маски из файла rockyou-1-60, который идет в комплекте с Hashcat. Некоторые кандидаты будут менее 12 символов, но вы можете исключить маски, длиной менее 7 символов и создать новый файл с расширением.hcmask. Вновь берем случайный пароль Alty5 из файла first5_dict.txt и добавим случайную последовательность цифр 9402847. В итоге получаем пароль Alty59402847.

Пример
hashcat -a 6 -m 0 hash.txt first5_dict.txt rockyou-1-60.hcmask


Рисунок 6: Время подбора пароля Alty59402847

Эта атака особенно эффективна против пользователей, которые любят пароли, где распространенное слово сочетается с цифрами в целях рандомизации. Подобный пароль подбирается в течение 30 минут.

Прямая атака по маске на пароль 12 и более символов

Я понимаю, что данный тип атак не относится к гибридным, но, тем не менее, использование 12 символьных и более масок все еще дает результаты особенно, если пользоваться утилитой PACK. Атака на пароль, закодированный определенным алгоритмом хеширования, может быть запланирована длительностью 1 день (86400 секунд) с учетом скорости аппаратных средств. Вначале нужно измерить скорость перебора, исходя из возможностей вашего оборудования, при помощи команды hashcat -b -m #type прямо в терминале. Быстро разберем создание масок для атаки на пароли длиной 12-15 символов при помощи утилиты PACK. Для генерации масок вновь воспользуемся словарем rockyou.txt, но вначале оценим скорость перебора хешей md5.

Пример (md5)
hashcat - b - m 0


Рисунок 7: Оценка скорости перебора хешей md5

По результатам тестирования выяснилось, что скорость перебора - 76,000,000,000 ключей в секунду. Далее создаем набор масок на базе словаря rockyou.txt при помощи утилиты PACK.

Пример
python statsgen.py rockyou.txt -o rockyou.masks

Теперь создаем файл hcmask, при помощи которого часть паролей длиной 12-15 символов будут перебираться в течение 1 дня (86400 секунд).

Пример


Рисунок 8: Процедура подбора паролей по маске

Затем мы можем запустить серию атак по маскам, используя файл rockyou_12-15.hcmask, для перебора хешей md5. Промежуточные переборы будут завершаться спустя 1 день.

Пример
hashcat -a 3 -m 0 hash.txt rockyou_12-15.hcmask

Заключение

Как вы могли убедиться, пароли длиной 12 символов не являются настолько неуязвимыми. Требуется лишь немного хитрости и творчества для выработки правильной стратегии перебора. Кроме того, не думайте, что если пароль более 11 символов, то ваш любимый онлай-сервис захеширует все правильно.