Általánosságban a mostani hashek túl erősek a sima brute force-hoz. Nem tudom, hogy milyen jelszóra gondolsz, de gyorsan utanászámolva egy sima nyolckarakteres, csak betűket és számokat tartalmazó WPA2 jelszó feltörése se triviális, mert így is 62^8 lehetőség van, a hashcat meg legjobb GPU-kon is csak pár millió hash/secet hoz - ha kétmillióval számolok, az akkor is 3,5 év.

Ezen túl ráadásul egy csomó esetben amúgy is nem irányított támadás van, a támadók bőven megelégednek azzal, ha a berzett jelszavak egy részét fel tudják törni és a dictionarykkel meg mintákkal viszonylag gyorsan törhető 123456, p4ssw0rd, ItsASecret bőven elég nekik, nem fogják a KCGa4Ggu-t is megtörni, ahogy az látható az időnként előkerülő jelszóadatbázisokban is.

Egyéb okoskodás?

Mármint azon túl, hogy az NTLMv1-nek az MD4 alapú hashe az így 2020 táján nagyjából annyira számít biztonságosnak, mint a ROT13? Azt persze, hogy meg tudtátok brute force-olni, de ennek bármi normális hashalgoritmust érintő revelanciája nincs.

[ Szerkesztve ]

Tudtam, hogy nem állod meg.
1. Az számít, hogy mi fordul elő a gyakorlatban. Az elmélet meg egy másik dolog. Konkrét eseten talántunk a fenti konfigurációval, ami biztos vagyok benne, hogy nem egyedi.
2. Az alap állítás az volt, hogy "Brute force nak mindegy, hogy értelmes szó vagy nem, csak is a hossz a mérvadó". Ez általánosságban teljes mértékben igaz, hiszen brute force törés ugyanannyi idő alatt talál meg egy értelmes jelszót, mint egy értelmetlent. Ebbe az evidenciába sikerült belekötnöd. Az másodlagos, hogy hány karakterig van értelme így törni: az alap állítás általánosságban igaz volt (persze rontana a tévedhetetlen önimázsodon ezt beismerned - inkább kötöd az ebet a karóhoz, egyre jobban beégetve magad... ).
3. Hány darab sérülékenység vizsgálatban vettél részt életedben? Én már túlvagyok páron...

Az NTLMv1-nek olyan remekül sikerült a handshake-e, hogy offline is lehet jelszót törni.

[ Szerkesztve ]

Köszönöm, ez már értelmesebb hozzászólás volt.

Ettől az egész jelszó ellenőrzéstől megvadulok. Ha én, mint felnőtt és gyámság alatt nem álló polgár úgy döntök, hogy a jelszavam egy darab egyes, akkor úgy döntöttem, és tessék elfogadni. Max egy igazolás kérése, hogy tudatában vagyok a jelszó gyengeségének, enyém a felelősség, bla bla bla...