Spargerea parolelor folosind GPU

Radu Potop

● Acum câteva zile (17.06.2011) grupul LulzSec a publicat o

arhivă cu peste 62000 de parole și emaluri din diverse surse

(forumuri, conturi de email, etc)

● http://lulzsecurity.com/releases/62000_random_logins.txt

O analiză asupra acestora:

● Lungimea medie a unei parole este de 7 caractere

[1]

O analiză asupra acestora:

● Cea mai comună parolă este 123456, cu 569 de repetări

● Username-ul, cu 789 repetări

● Urmat de:

● 123456789 / 184 repetări

● password / 132 reperări

● altele: romance, mystery, tigger, shadow

● aleatoare: 123qwe, asdf1234

GPU computing:

● Calcule generale pe plăci grafice (GPU)

● Procesoarele grafice sunt puternic paralele

● Putem rula același cod pe o mulțime de thread-uri cu date de

intrare diferite

Brute-force attack folosind GPU:

● ighashgpu dezvoltat de Ivan Golubev [2]

● Suportă brute-force attacks pe hash-uri de parole:

● MD5, SHA1

● NTLM (Windows)

● MSSQL / MySQL 5 / Oracle 11g

● vBulletin forums, etc.

● Îl vom compara cu Cain&Abel, care folosește CPU

Brute-force attack folosind GPU:

● Pentru parole de 5 caractere, litere mari și mici, cifre:

● CPU: 24 secunde, la o rată de 10 mil parole / secundă

● GPU: <1 secundă, la o rată de 3.3 mld parole / secundă [3]

● Parole de 6 caractere:

● CPU: 1h 30 min

● GPU: 17 secunde

Brute-force attack folosind GPU:

● Parole de 7 caractere:

● CPU: 4 zile

● GPU: 17 min, 30 sec.

● Parole de 8 caractere:

● CPU: 1 an

● GPU: 18 h, 30 min.

Brute-force attack folosind GPU:

● Parole de 9 caractere:

● CPU: 43 ani

● GPU: 48 zile

● Parolă de 10 caractere:

● CPU: ?

● GPU: 8 ani, 70 zile

Brute-force attack folosind GPU:

Parole care conțin punctuație, litere mari și mici, cifre:

● Parole de 7 caractere:

● CPU: 75 zile

● GPU: 7h

● Parole de 8 caractere:

● CPU: 19 ani

● GPU: 26 zile

Brute-force attack folosind GPU:

Parole care conțin punctuație, litere mari și mici, cifre:

● Parole de 9 caractere:

● CPU: ?

● GPU: 9 ani

Metode de prevenire:

● Parole >= 10 caractere

● Punctuație, litere mari și mici, cifre

● Parole unice pt fiecare login (de ex. user@host:fixed)

Pentru stocare în baze de date:

● Salted passwords

Mulțumesc

Referințe:

1) http://www.codelord.net/2011/06/18/statistics-of-62k-passwords/

2) http://www.golubev.com/blog/

3) http://mytechencounters.wordpress.com/2011/04/03/gpu-password-cracking-crack-a-windows-password-using-a-graphic-card/