staging.inyokaproject.org

Wie lange braucht man ca um mit Brute-Force-Methode]Brute[/wikipedia] Force[/url.] dein Linux Passwort zu knacken?
Gemeint ist das Passwort, was man bei der Einwahl eingeben muss. PS: Nur so aus Intresse,ich will nix hacken

Bestimtm lange.................. 😢

Probiers aus ☺ John_the_Ripper

Hi,

angenommen dein Passwort ist "gut": 10 Stellen, Groß-Kleinschreibung, Sonderzeichen und Zahlen.

Das heißt es gäbe für eine Stelle deines Passwortes 139 Möglichkeiten (und ich hab bestimmt noch eine Taste übersehen...). Dann gibt es 139^10 = 2 692 452 204 196 940 400 601 mögliche Kombinationen für dein Passwort (das sind mehr als 2 Quadrillionen wenn ich mich nicht täusche...). Angenommen dein PC kann in einer Sekunde 1000 Mögliche Kombinationen überprüfen (und das ist viel...), dann bräuchte er (2 692 452 204 196 940 400 601 / 1000) / 60 / 60 / 24 / 356 = 87535509135,616299957 ~ 87 535 509 135 1/2 Jahre.

Viel Spaß mit John The Ripper ☺

PS: Hat jemand eine Ahnung was ein realistischer Wert für die ANzahl der geprüften Passwörter pro Sekunde wäre?

Grüße,
Gnorksy

Das kommt ganz auf die Umgebung an. Hast du Zugriff auf den Passworthash (z.B. aus /etc/shadow oder einer Datenbank gelesen), dann hängt das Knacken nur noch von CPU und Speicherleistung ab. Was genau in diesem Fall realistisch ist, weiß ich nicht, aber das kann man ja relativ einfach ausprobieren.

Anders sieht es z.B. aus, wenn du das System "von außen" knacken, also den Login-Vorgang eines Servers durchlaufen musst. Gute SSH Implementierungen z.B. legen zwischen Passwortversuchen immer eine Pause von einer halben Sekunde ein, und brechen nach drei erfolglosen Versuchen die Verbindung ab. Dann kann man im Endeffekt weniger als ein Passwort pro Sekunde testen, weswegen entfernte Brute-Force-Angriffe ohne direkten Zugriff auf den Hash des Passwortes kaum Sinn machen.

Auch die Anmeldemasken von KDE, Gnome und Getty legen Zwangspausen nach falschen Eingaben ein, wie dir sicher schon mal aufgefallen ist.

Es geht noch anders. Es gibt solche HashDatenbanken. Dort werden alle Hashwerte zu (fast) jeder Zeichenkombination gelistet. Kostet natürlich etwas, wenn man diese nutzen möchte.
und ein "select * from table all_hashes where hash = <myhash> " ist natürlich viel schneller als Bruteforce. Vorausgesetzt man hat zugriff auf die passwd Datei.

mfg
mythos

Hi,

mythos hat geschrieben:

Es geht noch anders. Es gibt solche HashDatenbanken. Dort werden alle Hashwerte zu (fast) jeder Zeichenkombination gelistet. Kostet natürlich etwas, wenn man diese nutzen möchte.

Die Dinger heißen Rainbow-Tables und müssen nicht kostenpflichtig sein: http://freerainbowtables.com/

Grüße,
Gnorksy

bestimmt nur 2 Minuten.

Dem hoergen

mythos hat geschrieben:

Es geht noch anders. Es gibt solche HashDatenbanken. Dort werden alle Hashwerte zu (fast) jeder Zeichenkombination gelistet. Kostet natürlich etwas, wenn man diese nutzen möchte.
und ein "select * from table all_hashes where hash = <myhash> " ist natürlich viel schneller als Bruteforce. Vorausgesetzt man hat zugriff auf die passwd Datei.

mfg
mythos

Dein Wissen ist steinalt.
Du kannst gerne meine passwd haben. Dort wirst Du keine Hashes finden.
Du kannst auch gerne versuchen einen der Hashwerte aus /etc/shadow mittels einer Hashdatenbank zu knacken. Wenn Du denn eine mit SALT Unterstützung findest.

Das Gegenmittel lautet Salting. Dadurch wird jedes vorausberechnete Wörterbuch hinfällig.

Btw, die erwähnten freien Tabellen sind nicht unbedingt nützlich. Ich habe mir SHA1 angeschaut: Die Tabelle enthält alle Hashes von Zeichenketten bestehend aus alphanumerischen Zeichen bis zu sieben Zeichen Länge. Und wird folglich total sinnlos, wenn jemand auch nur einen einzigen Punkt im Passwort hat, oder acht Zeichen verwendet. Trotzdem ist sie bereits in komprimiertem Zustand 37 GB groß. Rainbow-Tables kosten also tatsächlich etwas, und zwar Unmengen Speicherplatz.

Tabellen selbst zu erzeugen, ist im Übrigen auch sinnlos, weil dies die Zeit zum Brechen eines Passwortes gegenüber einfachem Brute-Force nur erhöht.

@hoergen: Ein Passwort ist in dieser Zeit sicherlich nicht geknackt (und schon gar nicht mit Tabellen). Allein der Download von 30 GB dürfte wesentlich länger dauern 😉

Ja sorry, habe mich vor Jahren mal damit beschäftigt -__-
Aber danke, dass ihr mich aufgeklärt habt. Lerne ja gerne dazu \^^.

mfg
mythos

Gnorksy hat geschrieben:

angenommen dein Passwort ist "gut": 10 Stellen, Groß-Kleinschreibung, Sonderzeichen und Zahlen.

Das heißt es gäbe für eine Stelle deines Passwortes 139 Möglichkeiten (und ich hab bestimmt noch eine Taste übersehen...). Dann gibt es 139^10

2 692 452 204 196 940 400 601 mögliche Kombinationen für dein Passwort
¶

Die Empfehlung lautet, Buchstaben in Groß-Kleinschreibung zu nutzen, und 'punctation', und interpretiert man punctation als das, was unter C als solche gilt, dann kommt man auf 93 Zeichen.
Tasten haben nur sehr indirekt mit dem Passwort zu tun.
Gegen die Nutzung von äöüÄÖÜß spricht, daß sie auf ausländischen Tastaturen nicht immer leicht zu erzeugen sind. Dann gibt es 93^10

java PasswordCrackProb 8 93 250000 s 7300 30
len                     = 8
signs                   = 93
attacks per day         = 21 600 000 000
change after days       = 7300
intervals               = 30    days = 219000   years = 600
M                       = 5 595 818 096 650 401
attacks                 = 4 730 400 000 000 000
p(cracked)              = 0,8453456 without change
p(cracked)              = 0,5757720 with change

p(cracked)              = 0,0845346 without change
p(cracked)              = 0,0821749 with change

Eine künstliche Wartepause bei falschem Passwort verlängert die Dauer. Das Passwort sollte min. 1000 Zeichen lang sein und sich automatisch jede Minute ändern. Dann brauch der Hacker schon sehr viel Glück, um es zu knacken...

Der Haken: Mit (unglaublich fast unmöglich viel) Glück kann man das Passwort dennoch erraten, eine Authentifizierung die ohne Passwort auskommt, wär besser. Zudem kostet das ständige Übermitteln des Passwortes Bandbreite.

ja klar, mit Glück ist das nicht schwer, ich könnte ja mal ausprobieren ab in diesem Forum daniel12 dummerweise das Passwort daniel oder dani genommen hat, da wäre sehr großes Glück!