Slik knekkes passordet på Windows og trådløsnett

Slik knekkes passordet på Windows og trådløsnett

Glemt passordet? Å få det tilbake kan være enkelt – også for andre. Og er ditt wlan sikret?

Uvitenhet eller sløvhet? Fortsatt er det mange som har dårlig sikkerhet på sine trådløse nettverk og benytter dårlige passord.

Passord er i dag låsen som skal forhindre at hvem som helst får tilgang til dine private data, tjenester du bruker, bedriftens ressurser og systemer og mer til.

Svært mange er late når det gjelder å sikre sine nettverk, pc-er og data/tjenester. Naturligvis har man mang en gang lest tips om at man bør bruke bedre teknologi og bedre passord. Men er det så lett å komme forbi et passord selv om det er enkelt? Kan virkelig andre gjette seg fram til passordet?

Et kreativt passord kan være vanskelig for en person å gjette seg fram til, men i dag har man løsninger som i en vanlig pc kan teste ut over 100 000 passord per sekund i visse sammenhenger.

Vi skal her ikke gå så mye inn i teknologiene rundt dette, men vise et par praktiske eksempler på ikke bare hvordan man kan komme seg forbi passordene i noen tilfeller, men også hvordan man får fram passord i klartekst gjennom programvare som er gratis og ikke spesielt vanskelig å benytte. Det å få tak i et passord i en sammenheng vil for mange kunne gi store problemer – ofte benyttes det samme passordet svært mange steder.

LES OGSÅ:

Slik sikrer du din Android-mobil

Windows-passordet

Fysisk tilgang til en vanlig pc gir dårlig sikkerhet. Dette er strengt tatt ikke et problem med Windows – også for MacOS X og Linux har man enkle metoder for å komme seg forbi den vanlige brukerautoriseringen. Til dels kan man si at det er designet slik at det skal være mulig. Det har også reddet mange at det er såpass enkelt – blant annet i situasjoner der ansatte har glemt passord til om så sentrale servere eller ansatte har sluttet, omkommet eller er i en konflikt der man nekter å gi fra seg passordene til bedriftens systemer.

Men det å få tak i passordet kan gi en del videre komplikasjoner. Hos mange brukere er det passordet lagret i systemet for tilkobling til andre tjenester – for eksempel om en bærbar pc blir stjålet og man kommer seg forbi innloggingspassordet, kan det være ferdige tilkoblinger mot bedrifts VPN-tjeneste, e-post-systemer, fjernadministrasjonsverktøy og andre tjenester man benytter. Mange benytter dessuten det samme passordet overalt – har man først Windows-passordet har man i mange tilfeller passordet til omtrent alle tjenester en del brukere har tilgang til, både i jobb og privat.

Et eksempel kan være en pc på et kontor. En ulojal medarbeider finner passordet på pc-en og videre mulighet til å jevnlig logge inn på denne pc-en – filer på pc-en kan også aksesseres via nettverket i bedriften selv når en annen bruker den, og brukerens passord kan videre benyttes til å overvåke e-post og andre tjenester.

At slikt kan være mulig kan unngås eller vanskeliggjøres på flere måter. En del pc-er rettet mot bedriftsmarkedet har flere sikkerhetsmekanismer som kan benyttes for å gjøre pc-en sikrere – en løsning vil blant annet være kryptering av filsystem, deaktivere oppstart fra annet enn intern harddisk og autorisering mot server med gode passord. Videre kan også bruk av smartkort eller RFID-moduler i kombinasjon med passord være løsninger som ytterligere forbedrer sikkerheten.

LES OGSÅ:

Firefoxtillegg kaprer Facebook og Twitter

Så enkelt?

En løsning som har vært brukt i mange år er Offline NT Password Editor. Dette er et program utviklet av en nordmann og har trolig spart bedrifter for millionbeløp de 13-14 årene programmet har vært ute. Dette programmet baserer seg på å slette eller endre passordet for en bruker. Løsningen fungerer for Windows NT og alle nyere versjoner av Windows. Programmet viser ikke gammelt passord.

Programmet kan lastes ned som ISO-fil som brennes ut på CD, som pc-en videre kan starte opp fra. Man kan også legge programmet på usb-minnepinne.

Ophcrack er en løsning som gi deg passordet på Windows-brukere i klartekst. Også dette er en løsning som baserer seg på oppstart via cd eller usb-minnepinne. Her får man videre et grafisk brukergrensesnitt for programmet. Hvor lang tid dette tar, eller hvorvidt løsningen klarer å finne passordet, er avhengig av kvaliteten til passordet.

Det ikke en ordliste i tradisjonell forstand som benyttes som grunnlag for å finne passordene, men såkalte «Rainbow Tables». Dette blir pregenererte tabeller ut ifra algoritmer som benyttes for å finne passordene. Utviklerne bak Ophcrack selger ekstra lister, men det finnes også gratis samlinger av lister som man kan benytte - for eksepemel via www.freerainbowtables.com. Vi forsøkte oss på noen av de mindre listene, og var da i stand til å finne passord som Ophcack originalt ikke klarte. De mest omfattende listene er på flere hundre gigabyte. Disse gir større sjanser for at man finner passordet, men det tar også lengre tid.

Programmer som kan utnytte grafikkprosessor, mye minne og store Rainbow Tables liggende på SSD vil da være sentrale for å kjøre opp ytelsen. Mange løsninger kan være bedre og mer omfattende enn Ophcrack, men krever mer komperanse for å bruke - enkelheten i Ophcrack blir en av de sentrale styrkene. Det finnes også programmer som baserer seg på bruk av ordlister og passorddatabaser fra mange forskjellige kilder - og websider dedikerte for å samle opp passorddatabaser fra for eksempel websider og andre it-systemer som har blitt hacket. Et annet aktuelt verktøy her er Hashcat, som det også finnes et tillegg til for å gi grafisk brukergrensesnitt.

En del slike løsninger vil kunne utnytte moderne grafikkprosessorer til å øke ytelsen betraktelig, slik at selv en vanlig pc blir et kraftig verktøy for å finne passord. SSD-er er her også en god medhjelper, når det gjelder å utnytte store rainbow tables, passordlister osv. i kombinasjon med en pc som er i stand til å gjette svært mange passord per sekund.

For andre programmer

Skulle uvedkommende få tilgang til din pc, for eksempel ved at den blir stjålet, vil nødvendigvis ikke krypterte dokumenter og passord for forskjellige tjenester være trygge. Her er det nødvendigvis ikke snakk om å bruke «undergrunnsverktøy» for å hacke tilgang til dataene eller få fram passordene.

Det finnes et kommersielt marked for verktøy for å gjøre nettopp dette. Et par eksempler er selskaper som Passware og Elecomsoft . Her finner man verktøy som baserer seg på en del av de samme prinsippene som for eksempel Ophcrack som vi har sett på, men selskapene kan blant annet også tilby løsninger som utnytter grafikkprosessorer for akselerasjon av prosessen. Verktøy finnes her både for trådløse nettverk og Windows-brukerkontoer, men også for PDF-filer, Zip-filer, Office-dokumenter, e-post-systemer og mye mer. Programmene kan være lagt opp slik at man slettes ikke trenger de store kunnskapene for å gå i gang, hvilket gjør at avansert bedriftsspionasje ikke trenger å bety at man trenger en it-sikkerhetsekspert.

Et godt passord

  • Passordet skal være lett å huske, men vanskelig å gjette. Passfrase kan benyttes («setning»)
  • Minimum tolv tegn. Flere sterkt anbefalt.
  • Ikke bruk samme passord overalt.
  • Bytt passord regelmessig.
  • Bruk bokstaver (store og små), tall og spesialtegn
  • Ikke bruk et ord som finnes i en ordliste, med mindre man ikke bruker det som en del av en passfrase.
  • Unngå personlige referanser i passordet (fotballag, hundenavn, barnenavn, årstall, bilmerke o.l.)

Et passord kan være en setning, eller en forkortning av en setning. For eksempel kan vi si «Bilen min er sort. Det er en 06-modell», samt at vi slenger på noen spesialtegn. Det kan vi korte ned til «?Bmes.(Dee06-m)!». Man kan også bruke en hel setning - for eksempel «Bilen 2006 Har Fire Hjul, Og Er Sort" er enkelt å huske og skrive inn, men samtidig et passord som på grunn av sin lengde er vanskelig for en datamaskin å gjette seg til. Men det er også tungt å skrive inn, spesielt på mobile enheter og gir nødvendigvis ikke spesielt bedre sikkerhet enn langt enklere passord.

Lange passord vil sterkt øke sikkerheten i henhold til løsninger som skal gjette seg fram til passord - lengden blir her gjerne viktigere enn kompleksiteten til passordet. Økt kompleksitet i henhold til bruk av tegn i tillegg til bokstaver kan imidlertid være en fordel. Et passord som nevnt ovenfor er komplekst og langt, men et enklere "HoppetNiss1Hvor?" gir også et godt passord som er langt enklere å skrive og man husker det uten at man har en "regle" for det.

Mange i dag har flere tiltalls steder man benytter passord – flere også godt over hundre steder. Som sagt bør man unngå å bruke det samme passordet overalt. Skal man ha gode passord og ikke bruke de samme, blir det vanskelig å huske dem. Man kan lagre passord nedskrevet, bare dette gjøres på et trygt sted. Skal man ha forskjellige passord på mange tjenester/systemer kan dette være den eneste praktiske løsningen for å huske hva man benytter hvor. Tjenester med applikasjoner til forskjellige plattformer, slik som Lastpass.com, kan være en løsning. Naturligvis er det viktig at man for en slik tjeneste har et meget godt passord.

Ønsker man å teste sitt passord kan prøve Microsofts passord-tester.

Enterprise