השנה האחרונה היתה עמוסה כרימון בדליפת מסדי נתונים המכילים ססמאות .
אתרי ענק כגון לינקדאין ורוק יו הותקפו בדרך כלל דרך הזרקת SQL וחשפו מיליוני סיסמאות משתמשים , חלקם מוצפנים (HASH) ו\חלקם לא .
חשיפה גדולה כזו של סיסמאות " עולם אמיתי" ,מעבר לשיקוף של מצב אבטחתי עגום של חברות גדולות במשק- מאפשר מחקר סטאטיסטי וניתוח תבניות של בחירת סיסמאות ע"י המשתמשים ( ותתפלאו לדעת כמה אנחנו לא מקוריים בעליל..).
מחקר כזה נערך ע"י חברת kore logic security . החברה מנהלת תחרויות לפיצוח ססמאות ומפרסמת את שיטות הפיצוח הכוללות: הבנות סטאטיסטיות,רשימות מילים נפוצות , תבניות ( RULES) עבור john the ripper וכן את דירוג כלי הפריצה המומלצים לפי תוצאות התחרויות.
אנקדוטה קטנה שרציתי להתעקב עליה מדברת על כלי שלא היה ידוע לי בשם HASH CAT הכולל גם גרסת GUI .
היחודיות של כלי זה מעבר לנוחות שלו הוא השימוש ב GPU ( כרטיסים גראפים) לביצוע פעולות הפיצוח - תומך עד שירשור של 120 כרטיסים !!! - הכלי הזה הוא גם בדרך כלל המנצח הגדול בתחריות פיצוח ססמאות הנערכות ב DEFCON ע"י kore logic security .
ממליץ לקרא את המחקר ולהוריד את רשימת המילים.
אז מה ההאקרים למדו והפכו לתבניות פריצה לססיסמא :
חוקים קימים במנוע החוקים של john the ripper:
- הוספת מספרים בסוף הססמה
- אות גדולה בתחילת כל מילה
- הוספת ! לסיום מילה עם תחיליות אות גדולה
- הוספת 123 בתחילה או בסוף הססמה.
- וריאציות על שם המשתמש ( הוספת סימנים מיוחדים,מספרים וכו)
חוקים מורחבים שהוספו ע"י kore logic:
- 4 אותיות+4מספרים או 5 אותיות +3 מספרים או 3 אותיות +5 מספרים. Nove2010 Fall2010
- הוספת 1234 בססמא בתחילתה או בסופה. - 1234pass !QAZ1234
- שימוש בשנה הנוכחית כמספר בתוך הססמה -!Jan2012 2012!! Work2012aha
- שימוש בשנה נוכחית או קודמת כמספר + סימן מיוחד 2010ly!! 2001MARK2010!! 2010#dec
- חודשים וימים בתחילת באמצע או בסוף הססמא--January!2006 March#16 OctO2008$ Octo2**9 Octob!!05 Friday.56 Thursday99=
- הוספת סימנים מיוחדים בסוף הססמה או בהתחלת !1q1q1q1q !! -FRANCE# BonJovi@
- תוספת סימנים מיוחדים בצורה " מיוחדת" Africa!1 AmyOct!1 Kar!dani1 T@Y!OR1 b@byg!r1 Amanda!1 A!lison1 We!come1 S!LVER1 Amelia7!1
- תבניות אצבעות - משתמשים אוהבים מאד להשתמש בססמאות לפי סידור המקשים במקלדת דוגמא:
- !1234qwe !@#$QWE ASDFqwer !QWERTY NHY^5tgb
- מילים הקשורות לסביבות פיתוח פרוד או בדיקות-Prod!111 prod@123 TEST-CO test!ng
Seasons - Months - Years - First Names - Last Names - Cities - States -
Regions - Countries - "RockYou" List - Regions of India/China/USA -
Religious references (books of the Bible, lists of Gods, etc) - keyboard
combinations - 4 letter words - 5 letter words - 6 letter words - 7 letter
words - Sports Teams - Colleges - Client specific words - Dates -
Numbers - Common wordlists – Facebook Names List (‘fbnames’)
מסקנה אחת גורפת:
