Aufwand Brute Force fuer pw crack

Internet Internet Sicherheit
#1

Hi,

ich beschaeftige mich seit einiger Zeit mit Programmen zur Datenverschluesselung. Truecrypt, AxCrypt, KeePass um genau zu sein. Die wohl einzige, fuer Halbwissende wie mich, erfolgversprechende Methode diese Programme zu „knacken“ ist sicher per brute force Angriff. Nun war ich immer der Meinung, dass man sich einfach ein Programm aus dem www runterlaedt und es auf die verschluesselte Datei ansetzt, vielleicht noch ein rainbow table und nach ein paar Minuten ist das pw ausgespuckt (wenn es ein simples ist). Also habe ich mal gesucht, aber keine Programme gefunden die sowas machen. Nur wenig vertrauenswuerdige Seiten die mit „crack every password for free“ werben. Bin dann auf John The Ripper gestossen, aber komme damit so ueberhaupt nicht zurecht.

Gibt es diese Programme also wirklich „einfach zum runterladen“ oder muss man schon echt ein Profi sein um sie zu verwenden? Brauche ich also keine grosse Angst haben dass der gemeine Laptopdieb meine mit AxCrypt verschluesselte Datei mit dem pw „grosserhund“ per rainbowtable innerhalb von 20 Sekunden knackt?

Und wenn der Autor von AxCrypt sagt „AxCrypt is specifically engineered to counter brute force attacks, and does it rather well“ - was meint er damit? Kann man ein Programm brute force resistent machen?

Danke
K

#2

Hallo,

beben den verwendeten Verschlüsselungsalgorithmen spielt natürlich das Passwort eine alles entscheidene Rolle.

http://www.heise.de/security/artikel/Passwort-Knacke…

"Gibt es diese Programme also wirklich „einfach zum runterladen“

Ja.

„oder muss man schon echt ein Profi sein um sie zu verwenden?“

Hilfreich, aber nicht unbedingt notwendig.

„Brauche ich also keine grosse Angst haben dass der gemeine Laptopdieb meine mit AxCrypt verschluesselte Datei mit dem pw „grosserhund“ per rainbowtable innerhalb von 20 Sekunden knackt?“

„grosserhund“ ist keine sehr gute Idee, da es diesem sowohl an Länge als auch an fast allen anderen wichtigen Qualitätsmerkmalen mangelt.

http://www.passwordmeter.com/
https://passwortcheck.datenschutz.ch/check.php
https://www.grc.com/passwords.htm

Rainbow-Tables bei AES? Mir ist nicht bekannt, das AES über Rainbow-Tables angreifbar wäre.

Zu den 20 Sekunden: Sicherlich nicht. Aber warum sollte der gemeine Laptop-Dieb sich denn nur 20 Sekunden Zeit nehmen?

Wähle ein anständige Passwort und du hast eine für normale Anwender ausreichende Sicherheit. Ansonsten müßtest du dir ja auch noch Gedanken über temporäre Dateien usw. machen.

„Kann man ein Programm brute force resistent machen?“

M.E. nicht. Aber wenn eine Bruteforce Attacke nach heutigem Stand 1.000.000 Stunden-Rechenzeit beanspruchen würde, ist naturlich "eine gewisse Sicherheit gegeben.

Grüße

godam

P.S.: Eine ganz interessante Diskussion über einige grundsätzliche Fragen, eben auch über AxCrypt, in der auch der Author teilnimmt, findest du hier:

http://www.wilderssecurity.com/archive/index.php/t-9…

Ist zwar schon „uralt“ (2003), aber dennoch ganz interessant.

#3

Rainbow-Tables bei AES? Mir ist nicht bekannt, das AES über
Rainbow-Tables angreifbar wäre.

Das Konzept von Rainbow-Tables ist völlig unabhängig vom eingesetzten Algorithmus.

Ciao, Allesquatsch

1 Like
#4

Hallo,

Rainbow-Tables bei AES? Mir ist nicht bekannt, das AES über
Rainbow-Tables angreifbar wäre.

Das Konzept von Rainbow-Tables ist völlig unabhängig vom
eingesetzten Algorithmus.

Nein, ist es nicht. Rainbow-Tables sind nicht unabhängig vom eingesetzten Algorithmus. Rainbow-Tables sind nur bei Algorithmen einsetzbar, bei denen das generieren von Hash-Werten ein elementarer Bestandteil des Algorithmus ist. Denn genau dafür - nämlich die Suche von Klartexten zu einem bestimmten Hashwert - sind Rainbow-Tables da. Dies trifft insbesondere auf fast alle asymmetrischen Verschlüsselungsverfahren zu. Da AES wie praktisch alle symmetrischen Verschlüsselungsverfahren keine Hash-Algorithmen einsetzt, sind Rainbow-Tables hier völlig unbrauchbar.
Und auch bei Algorithmen, die Hash-Funktionen als integralen Bestandteil haben, lassen sich Angriffe über Rainbow-Tables einfach verhindern, in dem man den gehashten Daten einen sogenannten Salt hinzufügt.

Allesquatsch

Scheint so :wink:

vg,
d.

#5

Hallo,

vielleicht mache ich ja einen Denkfehler, aber:

Sind Rainbow-Tables nicht Passwort-Tabellen mit dem entsprechenden Hashes?

Arbeitet AES mit Hashes?

Rainbow-Tables sind eben nicht unabhängig vom verwendeten Verschlüsselungs-algorithmus. GiG (Ganz im Gegenteil!)

Grüße

godam

1 Like
#6

Fehleinschätzung Größenordnung

Brauche ich also keine grosse Angst haben dass der
gemeine Laptopdieb meine mit AxCrypt verschluesselte Datei mit
dem pw „grosserhund“ per rainbowtable innerhalb von 20
Sekunden knackt?

Die Größenordnungen sind bei brute-force-Verfahren andere.

Nimm man mal rein zufällige Zeichenkombinationen, ist bei einem Zeichenvorrat von 64 bei 64 hoch 11 = 73.786.976.294.838.206.464:
Wenn 1 Millionen Rechner zur Verfügung hat, die jeder 1 Million Passwörter in der Sekunde testen können, dauert es trotzdem noch über zwei Jahre , bis alle Kombinationen durch getestet sind.

Allerdings wäre Dein Passwort über eine Wörterbuch-Angriff viel leichter knackbar. Denn wenn man als Ausgangspunkt eine Tabelle von 50.000 kurzen deutschen Wörtern nimmt („grosser“ und „hund“ sind dann sicher dabei), ist die Kombination von zwei Worten selbst mit einem einzigen Rechner in weniger als einer Stunde durchgetestet (statt in 2,5 Mio Jahren).

Ciao, Allesquatsch

#7

Bei nochmaligem Nachdenken,
scheint es so, als hätte ich da wirklich auf dem Schlauch gestanden.
Danke für die schnelle Korrektur.

Ciao, Allesquatsch

#8

vielleicht mache ich ja einen Denkfehler, aber:

Der lag bei mir. Sorry

#9

Danke, aber…
Hi,

danke! Also AES und Rainbow geht nicht. Gut zu wissen. AxCrypt arbeitet ja auch noch mit einer „dynamic key wrapping irgendwas“ wodurch wohl ein brute force Angriff schwerer wird je laenger er dauert. Da sthet was mit „13 bit“ auf der website mit der der key wohl verlaengert wird. Mit einem aus dem Netz geladenen Programm wird man da doch ganz schnell den Spass verlieren, wenn das pw das format aaaaaa111 hat (woebei a fuer einen buchstaben steht und 0 fuer eine Zahl. Oder?

K

#10

Besser eine Passphrase

Mit einem aus
dem Netz geladenen Programm wird man da doch ganz schnell den
Spass verlieren, wenn das pw das format aaaaaa111 hat (woebei
a fuer einen buchstaben steht und 0 fuer eine Zahl. Oder?

Klingt eher nach einem schwachen Passwort. Extrem schwach, wenn aaaaaa in irgendeinem Wörterbuch zu finden ist oder in Bezug zu etwas aus Deinem sozialen Umfeld steht: „Marina118“ dürfte bei Wörterbuchangriffen sehr schnell geknackt sein.

Besser einen kurzen Satz mit Zahlen und Zeichen und dann die Anfangs-buchstaben/Ziffern und Sonderzeichen merken:

Mein 2. Auto hat 120 PS und fährt 190 km/h.
ergibt

M2.Ah1Puf1k/.

Ciao, Allesquatsch

#11

c´t
Hallo,
in einer der letzen c´t (Nr. 13 vom 6.6.2011)
war ein Beitrag zur sicheren Passwortspeicherung drin.
Artikel: „Cracke-Bremse“ von Daniel Bachfeld.
http://www.heise.de/security/artikel/Passwoerter-unk…
http://www.heise.de/security/artikel/Passwoerter-unk…

Gruß Uwi

1 Like
#12

Hallo,

zu:

„Mit einem aus dem Netz geladenen Programm wird man da doch ganz schnell den Spass verlieren, wenn das pw das format aaaaaa111 hat (woebei a fuer einen buchstaben steht und 0 fuer eine Zahl. Oder?“

Nein.

Noch einmal: Siehe

https://passwortcheck.datenschutz.ch/check.php

Grüße

godam

#13

Hi,

nochmals Danke fuer die Infos und die Links. Konkret geht es hier um Dateien die nicht so sensibel sind. Hier arbeite ich mit AxCrypt und einem einfachen pw. Will es einem Angreifer schwer machen, aber wenn er es knackt - meinetwegen.Die wirklich sensiblen Daten habe ich natuerlich mit einer komplizierten passphrase gesichert. An der wird sicher keiner wirklich spass haben.

K