{"id":83583,"date":"2022-10-07T04:23:39","date_gmt":"2022-10-07T09:23:39","guid":{"rendered":"https:\/\/blogging-techies.com\/sw\/testa-din-losenordsstyrka-med-samma-verktyg-som-hackare-anvander\/"},"modified":"2022-10-07T04:23:39","modified_gmt":"2022-10-07T09:23:39","slug":"testa-din-losenordsstyrka-med-samma-verktyg-som-hackare-anvander","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/sw\/testa-din-losenordsstyrka-med-samma-verktyg-som-hackare-anvander\/","title":{"rendered":"Testa din l\u00f6senordsstyrka med samma verktyg som hackare anv\u00e4nder"},"content":{"rendered":"
\n

\u00c4r ditt l\u00f6senord s\u00e4kert? Vi har alla h\u00f6rt m\u00e5nga r\u00e5d om vilken typ av l\u00f6senord du aldrig b\u00f6r v\u00e4lja \u2013 och det finns olika verktyg som h\u00e4vdar att de kan bed\u00f6ma s\u00e4kerheten f\u00f6r ditt l\u00f6senord online. Dessa kan dock bara vara tveksamt korrekta. Det enda s\u00e4ttet att verkligen testa s\u00e4kerheten f\u00f6r dina l\u00f6senord \u00e4r att f\u00f6rs\u00f6ka bryta dem.<\/p>\n

S\u00e5 idag ska vi g\u00f6ra just det. Jag ska visa dig hur du anv\u00e4nder ett verktyg som riktiga hackare anv\u00e4nder f\u00f6r att kn\u00e4cka l\u00f6senord, och visa dig hur du anv\u00e4nder det f\u00f6r att kontrollera ditt. Och om det inte klarar testet, ska jag visa dig hur du v\u00e4ljer s\u00e4krare l\u00f6senord som kommer<\/em> v\u00e4nta.<\/p>\n

<\/span> Konfigurera Hashcat<\/span><\/h2>\n

Verktyget vi kommer att anv\u00e4nda heter Hashcat. Officiellt \u00e4r det avsett f\u00f6r l\u00f6senords\u00e5terst\u00e4llning, men i praktiken \u00e4r det lite som att s\u00e4ga att BitTorrent \u00e4r avsett att ladda ner oupphovsr\u00e4ttsskyddade filer. I praktiken anv\u00e4nds det ofta av hackare som f\u00f6rs\u00f6ker bryta l\u00f6senord som stulits fr\u00e5n os\u00e4kra servrar. Som en bieffekt g\u00f6r detta det till ett mycket kraftfullt s\u00e4tt att testa l\u00f6senordss\u00e4kerhet.<\/p>\n

Obs: den h\u00e4r handledningen \u00e4r f\u00f6r Windows. De av er p\u00e5 Linux kan kolla in videon nedan f\u00f6r en id\u00e9 om var man ska b\u00f6rja.<\/p>\n

Du kan skaffa Hashcat fr\u00e5n webbsidan hashcat.net. Ladda ner och packa upp den till din nedladdningsmapp. H\u00e4rn\u00e4st kommer vi att beh\u00f6va f\u00e5 lite extra data f\u00f6r verktyget. Vi ska skaffa en ordlista, som i grunden \u00e4r en enorm databas med l\u00f6senord som verktyget kan anv\u00e4nda som utg\u00e5ngspunkt, s\u00e4rskilt rockyou.txt-dataupps\u00e4ttningen. Ladda ner den och l\u00e4gg den i Hashcat-mappen. Se till att den heter \u2018rockyou.txt\u2019<\/p>\n

Nu kommer vi att beh\u00f6va ett s\u00e4tt att generera hasharna. Vi kommer att anv\u00e4nda WinMD5, som \u00e4r ett l\u00e4tt gratisprogram som hashar specifika filer. Ladda ner den, packa upp den och sl\u00e4pp den i Hashcat-katalogen. Vi kommer att skapa tv\u00e5 nya textfiler: hashes.txt och password.txt. L\u00e4gg b\u00e5da i Hashcat-katalogen.<\/p>\n

Det \u00e4r allt! Du \u00e4r klar.<\/p>\n

<\/span> En folkets historia om hackerkrigen<\/span><\/h2>\n

Innan vi faktiskt anv\u00e4nder den h\u00e4r applikationen, l\u00e5t oss prata lite om hur l\u00f6senord faktiskt g\u00e5r s\u00f6nder och hur vi kom till denna punkt.<\/p>\n

L\u00e5ngt tillbaka i datavetenskapens dimmiga historia var det standardpraxis f\u00f6r webbplatser att lagra anv\u00e4ndarl\u00f6senord i vanlig text. Det h\u00e4r verkar vara vettigt. Du m\u00e5ste verifiera att anv\u00e4ndaren har skickat in r\u00e4tt l\u00f6senord. Ett sj\u00e4lvklart s\u00e4tt att g\u00f6ra det \u00e4r att ha en kopia av l\u00f6senorden till hands i en liten fil n\u00e5gonstans, och kontrollera anv\u00e4ndarens inskickade l\u00f6senord mot listan. L\u00e4tt.<\/p>\n

Detta var en enorm katastrof. Hackare skulle f\u00e5 tillg\u00e5ng till servern via n\u00e5gon listig taktik (som att fr\u00e5ga artigt), stj\u00e4la l\u00f6senordslistan, logga in och stj\u00e4la allas pengar. N\u00e4r s\u00e4kerhetsforskare plockade upp sig sj\u00e4lva fr\u00e5n det rykande vraket fr\u00e5n den katastrofen var det tydligt att vi beh\u00f6vde g\u00f6ra n\u00e5got annorlunda. L\u00f6sningen var hashing.<\/p>\n

F\u00f6r de som inte \u00e4r bekanta \u00e4r en hash-funktion en kod som tar en bit information och f\u00f6rvr\u00e4nger den matematiskt till en fast l\u00e4ngd av skratt. Detta kallas att \u201chasha\u201d data. Det som \u00e4r coolt med dem \u00e4r att de bara g\u00e5r \u00e5t ett h\u00e5ll. Det \u00e4r v\u00e4ldigt l\u00e4tt att ta en bit information och ta reda p\u00e5 dess unika hash. Det \u00e4r v\u00e4ldigt sv\u00e5rt att ta en hash och hitta en bit information som genererar den. Faktum \u00e4r att om du anv\u00e4nder ett slumpm\u00e4ssigt l\u00f6senord m\u00e5ste du prova alla m\u00f6jliga kombinationer f\u00f6r att g\u00f6ra det, vilket \u00e4r mer eller mindre om\u00f6jligt.<\/p>\n

De av er som f\u00f6ljer med hemma kanske m\u00e4rker att hash har n\u00e5gra riktigt anv\u00e4ndbara egenskaper f\u00f6r l\u00f6senordsapplikationer. Nu, ist\u00e4llet f\u00f6r att lagra l\u00f6senordet, kan du lagra hasharna f\u00f6r l\u00f6senorden. N\u00e4r du vill verifiera ett l\u00f6senord hashar du det, tar bort originalet och kontrollerar det mot listan med hash. Alla hashfunktioner ger samma resultat, s\u00e5 du kan fortfarande verifiera att de har skickat in r\u00e4tt l\u00f6senord. Avg\u00f6rande \u00e4r att de faktiska klartextl\u00f6senorden aldrig lagras p\u00e5 servern. S\u00e5 n\u00e4r hackare g\u00f6r intr\u00e5ng p\u00e5 servern kan de inte stj\u00e4la n\u00e5gra l\u00f6senord \u2013 bara v\u00e4rdel\u00f6sa hash. Detta fungerar hyfsat bra.<\/p>\n

Hackarnas svar p\u00e5 detta var att l\u00e4gga mycket tid och energi p\u00e5 att komma p\u00e5 riktigt smarta s\u00e4tt att v\u00e4nda hash.<\/p>\n

<\/span> Hur Hashcat fungerar<\/span><\/h2>\n

Vi kan anv\u00e4nda flera strategier f\u00f6r detta. En av de mest robusta \u00e4r den som Hashcat anv\u00e4nder, vilket \u00e4r att m\u00e4rka att anv\u00e4ndare inte \u00e4r s\u00e4rskilt fantasifulla och tenderar att v\u00e4lja samma slags l\u00f6senord.<\/p>\n

Till exempel best\u00e5r de flesta l\u00f6senord av ett eller tv\u00e5 engelska ord, ett par siffror och kanske n\u00e5gra \u201cleet-speak\u201d-ers\u00e4ttningar av bokst\u00e4ver eller slumpm\u00e4ssiga versaler. Av de ord som valts \u00e4r vissa mer sannolika \u00e4n andra: \u201cl\u00f6senord\u201d, namnet p\u00e5 tj\u00e4nsten, ditt anv\u00e4ndarnamn och \u201chej\u201d \u00e4r alla popul\u00e4ra. Dito popul\u00e4ra husdjursnamn, och innevarande \u00e5r.<\/p>\n

Genom att veta detta kan du b\u00f6rja generera mycket rimliga gissningar om vad olika anv\u00e4ndare kan ha valt, vilket (s\u00e5 sm\u00e5ningom) borde till\u00e5ta dig att gissa r\u00e4tt, bryta hashen och f\u00e5 tillg\u00e5ng till deras inloggningsuppgifter. Det h\u00e4r l\u00e5ter som en hoppl\u00f6s strategi, men kom ih\u00e5g att datorer \u00e4r l\u00f6jligt snabba. En modern dator kan pr\u00f6va miljontals gissningar per sekund.<\/p>\n

Detta \u00e4r vad vi kommer att g\u00f6ra idag. Vi kommer att l\u00e5tsas att dina l\u00f6senord finns i en hash-lista i h\u00e4nderna p\u00e5 en illvillig hackare och k\u00f6r samma hash-cracking-verktyg som hackare anv\u00e4nder p\u00e5 dem. Se det som en brand\u00f6vning f\u00f6r din onlines\u00e4kerhet. L\u00e5t oss se hur det g\u00e5r!<\/p>\n

<\/span> Hur man anv\u00e4nder Hashcat<\/span><\/h2>\n

F\u00f6rst m\u00e5ste vi generera hasharna. \u00d6ppna WinMD5 och din \u2018password.txt\u2019-fil (i anteckningsblocket). Ange ett av dina l\u00f6senord (bara ett). Spara filen. \u00d6ppna den med WinMD5. Du kommer att se en liten ruta som inneh\u00e5ller hashen f\u00f6r filen. Kopiera den till din hashes.txt-fil och spara den. Upprepa detta och l\u00e4gg till varje fil p\u00e5 en ny rad i filen \u2018hashes.txt\u2019, tills du har en hash f\u00f6r varje l\u00f6senord du rutinm\u00e4ssigt anv\u00e4nder. L\u00e4gg sedan, bara f\u00f6r skojs skull, in hashen f\u00f6r ordet \u201cl\u00f6senord\u201d som sista raden.<\/p>\n

\n<\/figure>\n

Det \u00e4r v\u00e4rt att notera h\u00e4r att MD5 inte \u00e4r ett s\u00e4rskilt bra format f\u00f6r att lagra l\u00f6senordshashar \u2013 det \u00e4r ganska snabbt att ber\u00e4kna, vilket g\u00f6r brute forcering mer l\u00f6nsamt. Eftersom vi g\u00f6r destruktiva tester \u00e4r detta faktiskt ett plus f\u00f6r oss. I en riktig l\u00f6senordsl\u00e4cka skulle v\u00e5ra l\u00f6senord hashas med Scrypt eller n\u00e5gon annan s\u00e4ker hashfunktion, som \u00e4r l\u00e5ngsammare att testa. Genom att anv\u00e4nda MD5 kan vi i princip simulera att vi kastar mycket mer processorkraft och tid p\u00e5 problemet \u00e4n vad vi faktiskt har tillg\u00e4ngligt.<\/p>\n

\n<\/figure>\n

Se sedan till att \u2018hashes.txt\u2019-filen har sparats och ta fram Windows PowerShell. Navigera till mappen Hashcat (CD ..<\/strong> g\u00e5r upp en niv\u00e5, ls<\/strong> listar de aktuella filerna och CD [filename]<\/strong> g\u00e5r in i en mapp i den aktuella katalogen). Skriv nu .\/hashcat-cli32.exe \u2013hash-type=0 \u2013attack-mode=8 hashes.txt rockyou.txt<\/strong>.<\/p>\n

Det kommandot s\u00e4ger i princip \u201cK\u00f6r Hashcat-applikationen. St\u00e4ll in den att fungera p\u00e5 MD5-hashar och anv\u00e4nd en \u201cprince mode\u201d-attack (som anv\u00e4nder en m\u00e4ngd olika strategier f\u00f6r att skapa variationer p\u00e5 orden i listan). F\u00f6rs\u00f6k att bryta poster i listan. filen \u2018hashes.txt\u2019 och anv\u00e4nd filen \u2018rockyou.txt\u2019 som en ordbok.<\/p>\n

Tryck p\u00e5 enter och acceptera EULA (som i princip s\u00e4ger \u201cJag sv\u00e4r att jag inte kommer att hacka n\u00e5got med detta\u201d), och l\u00e5t det sedan k\u00f6ra. Hash f\u00f6r l\u00f6senord b\u00f6r dyka upp om en sekund eller tv\u00e5. Efter det \u00e4r det bara att v\u00e4nta. Svaga l\u00f6senord dyker upp inom n\u00e5gra minuter p\u00e5 en snabb, modern CPU. Normala l\u00f6senord dyker upp inom ett par timmar till en dag eller tv\u00e5. Starka l\u00f6senord kan ta v\u00e4ldigt l\u00e5ng tid. Ett av mina \u00e4ldre l\u00f6senord br\u00f6ts p\u00e5 under tio minuter.<\/p>\n

\n<\/figure>\n

Du kan l\u00e5ta detta vara ig\u00e5ng s\u00e5 l\u00e4nge du k\u00e4nner f\u00f6r. Jag f\u00f6resl\u00e5r \u00e5tminstone \u00f6ver natten, eller p\u00e5 din dator medan du \u00e4r p\u00e5 jobbet. Om du klarar det 24 timmar \u00e4r ditt l\u00f6senord f\u00f6rmodligen tillr\u00e4ckligt starkt f\u00f6r de flesta applikationer \u2013 \u00e4ven om detta inte \u00e4r en garanti. Hackare kan vara villiga att k\u00f6ra dessa attacker under l\u00e5ng tid, eller ha tillg\u00e5ng till en b\u00e4ttre ordlista. Om du \u00e4r os\u00e4ker p\u00e5 din l\u00f6senordss\u00e4kerhet, skaffa ett b\u00e4ttre.<\/p>\n

<\/span> Mitt l\u00f6senord br\u00f6ts: Vad nu?<\/span><\/h2>\n

Mer \u00e4n troligt h\u00f6ll n\u00e5gra av dina l\u00f6senord inte. S\u00e5 hur kan du skapa starka l\u00f6senord f\u00f6r att ers\u00e4tta dem? Som det visar sig \u00e4r en riktigt stark teknik (populariserad av xkcd) l\u00f6senordsfraser. \u00d6ppna en bok som ligger n\u00e4rmast, bl\u00e4ddra till en slumpm\u00e4ssig sida och l\u00e4gg ner fingret p\u00e5 en sida. Ta n\u00e4rmaste substantiv, verb, adjektiv eller adverb och kom ih\u00e5g det. N\u00e4r du har fyra eller fem, blanda ihop dem utan mellanslag, siffror eller versaler. ANV\u00c4ND INTE \u201ckorrekt h\u00e4stbatteri\u201d. Det har tyv\u00e4rr blivit popul\u00e4rt som l\u00f6senord och finns med i m\u00e5nga ordlistor.<\/p>\n

Ett exempell\u00f6senord som jag just skapade fr\u00e5n en science fiction-antologi som l\u00e5g p\u00e5 mitt soffbord \u00e4r \u201cleanedsomeartisansharmingdarling\u201d (anv\u00e4nd inte den h\u00e4r heller). Detta \u00e4r mycket l\u00e4ttare att komma ih\u00e5g \u00e4n en godtycklig str\u00e4ng av bokst\u00e4ver och siffror, och \u00e4r f\u00f6rmodligen s\u00e4krare. Engelska som modersm\u00e5l har ett fungerande ordf\u00f6rr\u00e5d p\u00e5 cirka 20 000 ord. Som ett resultat, f\u00f6r en sekvens av fem slumpm\u00e4ssigt valda vanliga ord, finns det 20 000^5, eller ungef\u00e4r tre sexbiljoner m\u00f6jliga kombinationer. Detta \u00e4r l\u00e5ngt bortom greppet f\u00f6r n\u00e5gon nuvarande brute force attack. <\/p>\n

D\u00e4remot skulle ett slumpm\u00e4ssigt valt l\u00f6senord p\u00e5 \u00e5tta tecken syntetiseras i termer av tecken, med cirka 80 m\u00f6jligheter inklusive versaler, gemener, siffror, tecken och mellanslag. 80^8 \u00e4r bara en kvadriljon. Det l\u00e5ter fortfarande stort, men att bryta det \u00e4r faktiskt inom m\u00f6jlighetens omr\u00e5de. Med tanke p\u00e5 tio avancerade station\u00e4ra datorer (som var och en kan g\u00f6ra cirka tio miljoner hash per sekund), kan det bli brutalt forcerat p\u00e5 n\u00e5gra m\u00e5nader \u2013 och s\u00e4kerheten faller totalt om den inte \u00e4r slumpm\u00e4ssig. Det \u00e4r ocks\u00e5 mycket sv\u00e5rare att komma ih\u00e5g. <\/p>\n

Ett annat alternativ \u00e4r att anv\u00e4nda en l\u00f6senordshanterare, som kan generera s\u00e4kra l\u00f6senord \u00e5t dig i farten, som alla kan \u201cl\u00e5sas upp\u201d med ett enda huvudl\u00f6senord. Du m\u00e5ste fortfarande v\u00e4lja ett riktigt bra huvudl\u00f6senord (och om du gl\u00f6mmer det har du problem) \u2013 men om dina l\u00f6senords-hashar l\u00e4cker vid ett intr\u00e5ng p\u00e5 webbplatsen har du ett starkt extra lager av s\u00e4kerhet.<\/p>\n

<\/span> St\u00e4ndig vaksamhet<\/span><\/h2>\n

Bra l\u00f6senordss\u00e4kerhet \u00e4r inte s\u00e4rskilt sv\u00e5rt, men det kr\u00e4ver att du \u00e4r medveten om problemet och vidtar \u00e5tg\u00e4rder f\u00f6r att f\u00f6rbli s\u00e4ker. Denna typ av destruktiv testning kan vara ett bra v\u00e4ckarklocka. Det \u00e4r en sak att veta, intellektuellt, att dina l\u00f6senord kan vara os\u00e4kra. Det \u00e4r en annan att faktiskt se det dyka upp ur Hashcat efter n\u00e5gra minuter.<\/p>\n

Hur h\u00f6ll dina l\u00f6senord? L\u00e5t oss veta i kommentarerna!<\/strong><\/p>\n

Om f\u00f6rfattaren<\/strong><\/p>\n

Andre Infante (131 artiklar publicerade)
<\/strong><\/p>\n

En f\u00f6rfattare och journalist baserad i sydv\u00e4st, Andre kommer garanterat att f\u00f6rbli funktionell upp till 50 grader Celsius, och \u00e4r vattent\u00e4t till ett djup av tolv fot.<\/p>\n

Mer fr\u00e5n Andre Infante<\/p>\n

<\/span>Prenumerera p\u00e5 v\u00e5rt nyhetsbrev<\/span><\/h4>\n

G\u00e5 med i v\u00e5rt nyhetsbrev f\u00f6r tekniska tips, recensioner, free e-b\u00f6cker och exklusiva erbjudanden!<\/p>\n

Klicka h\u00e4r f\u00f6r att prenumerera<\/p>\n<\/p><\/div>\n

\n
\n

Table of Contents<\/p>\nToggle<\/span><\/path><\/svg><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n