AES128 vs AES256
> Gaat hij dan vervolgens zelf daar variaties op bedenken?
Nee, niet op die manier, maar stel dat de dictionary "Wilhelmus van Nassau" bevat, dan kun je in je software eenvoudig alle combinaties van hoofd- en kleine letters aflopen, spaties vervangen door allerle rare tekens en standaard letteromwisselingen (3-E, 1-I, 1-l, 1-!, 2-@, etc) uitvoeren.
Het zal op die manier weliswaar langer duren dan wanneer je die truuks niet uithaalt, maar het gaat evengoed een paar ordes sneller dan bij een brute force attack.
De kunst is om een slimme dictionary samen te stellen. Ik heb ooit eens bij wijze van proef op mijn werk alle woorden uit alle Word-documenten in een lijst gezet en die gevoerd aan l0phtcrack. Er waren schandalig weinig collega's waar ik niet binnen drie minuten het wachtwoord van wist. ;-)
Maar waren dat dan heel simpele en korte wachtwoorden?
Nee, niet simpel of kort, maar veelvoorkomend. Het draait om de frequentie, waarschijnlijkheid en kansrekening.
Dat is nu juist de inschattingsfout van slimmeriken die denken slimme wachtwoorden te verzinnen: andere slimmeriken hebben die slimmigheid ook al bedacht.
Ik moest erg lachen om de post van Willem: onze sysadmin ging namelijk ook binnen een paar minuten plat op een update van de wordlist. Dat geeft te denken, maar fijn dat we niet alleen staan ;-)
Maar kun je/jullie eens voorbeelden geven dan van een wachtwoord van een collega wat zo snel te kraken was? Ik kan het me namelijk niet echt voorstellen ... en zeker als je in de IT werkt zou je denken dat er wel een beetje slimme wachtwoorden worden gekozen. Dus ehm eh ... voorbeelden zodat we even kunnen lachen? :)
P.S. zelf gebruik ik een wachtwoord van 50 tekens. Ja, ik hoor sommigen van jullie al denken ... oh jaaaa, wat dan? Nou, het zijn allemaal zessen, maar ik vertel uiteraard niet in welke volgorde ze staan!
Pff, da's 18 jaar geleden of zo... Veel wachtwoorden waren in ieder geval gebaseerd op projecten of producten van ons. Het hielp daarom ook wel dat ik de interne documenten had geharvest. ;-) Ik kan me in ieder geval nog wel herinneren dat iemand 'appelmoes' als wachtwoord had. Meer dan 8 letters, dus 'veilig' volgens de destijds geldende richtlijnen.
Saillant detail was dat ik toen werkte op een ontwikkelafdeling waar we ons ook bezighielden met... cryptografie. En dan op een dusdanig niveau dat de ramen waren afgeschermd met een speciale stralingswerende folie. De meeste van mijn collega's wisten dus absoluut wel waar ze mee bezig waren. Maar gemakzucht kun je niet voorkomen.
Overigens is het me gaandeweg wel gelukt om sterkere wachtwoorden in gebruik te krijgen. Ik ben nooit voorstander geweest van beleid om elke xx weken je wachtwoord verplicht te veranderen; daarmee werk je m.i. alleen maar in de hand dat mensen gemakkelijk te onthouden wachtwoorden gaan gebruiken. In plaats daarvan draaide ik regelmatig een passwordscanner. Zodra ik van iemand zijn wachtwoord had gekraakt, kreeg die persoon het vinkje 'verander wachtwoord bij volgende login'. Moet je kijken hoe snel ze het aanleren om sterke wachtwoorden te bedenken. ;-)
Een aantal jaren later kwam ik bij een (groot!) bedrijf te werken dat als beleid had dat je minimaal elke 8 weken je wachtwoord moest veranderen. En als je het eenmaal veranderd had, kon je het binnen twee weken niet nog eens veranderen. En de laatste 15 of 20 wachtwoorden die je had gebruikt, kon je niet nog eens gebruiken. Recalcitrant als ik ben veranderde ik mijn initiële wachtwoord 'Welkom01' naar 'Welkom02'. En 8 weken later naar 'Welkom03'. Enzovoort. Als ik dan eens een keer mijn wachtwoord zou vergeten, hoefde ik alleen maar in mijn agenda te kijken hoe lang ik er al werkte.
Op mijn huidige werkplek ben ik trouwens helemaal afgestapt van het gebruik van wachtwoorden; in plaats daarvan maak ik gebruik van SSH met private key authentication. Veel veiliger. Mits je tenminste een sterk wachtwoord op je keyfile hebt. (Tsja, helemáál zul je er niet vanaf komen, maar 1x per dag een sterk wachtwoord intikken is een stuk beter dan 180x per dag 'appel42moes'.) Ideaal: ik hoef alleen maar aan te klikken op welk systeem ik wil werken en ik ben al ingelogd. In HeidiSQL doe ik hetzelfde: ik verbind naar de database-server via een SSH-tunnel waarbij ik de authenticatie doe middels mijn private key. Niemand die meer over mijn schouder kan meekijken terwijl ik mijn wachtwoord intik. En niemand die daarna vanaf een andere pc onder mijn account kan inloggen. Het is eenmalig wat werk om het op te zetten, en daarna is het klik, klak, klaar. En aangezien ik nu zelfs de reclameslogan van Windows 3.1 begin te citeren denk ik dat het tijd wordt om naar bed te gaan.
Maareh ...
>> En dan op een dusdanig niveau dat de ramen waren afgeschermd met een speciale stralingswerende folie.
Euuhhh ... waaatttuuhhh???
Ozzie PHP op 18/09/2015 22:53:29:
Maar kun je/jullie eens voorbeelden geven dan van een wachtwoord van een collega wat zo snel te kraken was?
Ik heb iets leukers voor je: http://wpengine.com/unmasked/
Electronische apparaten zenden straling uit. Die straling kun je met de juiste apparatuur op soms wel tientallen meters opvangen en zo zou je zelfs kunnen reconstrueren wat er op een beeldscherm wordt getoond.
En het kan nog gekker, want er is zelfs software die aan de hand van een opgenomen telefoongesprek kan reconstrueren wat de persoon aan de andere kant van de lijn op zijn toetsenbord heeft ingetikt.
We hoefden nog net geen aluminium hoedjes te dragen tijdens het werk. ;-)
Oeh ... dat scheelt dan weer :-)))