Senha Cracking Windows Accounts

Question

No trabalho, temos laptops com discos rígidos criptografados. A maioria dos desenvolvedores aqui (ocasionalmente, sou culpado disso também) deixam seus laptops no modo de hibernação quando os levam para casa à noite. Obviamente, o Windows (ou seja, há um programa rodando em segundo plano que o faz para windows) deve ter um método para descriptografar os dados na unidade, ou não seria capaz de acessá-los. Dito isto, eu sempre pensei que deixar uma máquina windows ligada no modo de hibernação em um local não seguro (não no trabalho em um cadeado) é uma ameaça à segurança, porque alguém poderia pegar a máquina, deixar funcionando, hackear as contas do Windows e usá-lo para criptografar os dados e roubar as informações. Quando comecei a pensar em como eu iria invadir o sistema do Windows sem reiniciá-lo, não consegui descobrir se era possível.

Eu sei que é possível escrever um programa para quebrar as senhas do Windows depois que você tiver acesso ao (s) arquivo (s) apropriado (s). Mas é possível executar um programa a partir de um sistema Windows bloqueado que faria isso? Não sei de uma maneira de fazer isso, mas não sou especialista em Windows. Em caso afirmativo, existe uma maneira de evitar isso? Não quero expor vulnerabilidades de segurança sobre como fazê-lo, por isso peço que alguém não publique os passos necessários em detalhes, mas se alguém puder dizer algo como "Sim, é possível que o drive USB permita execução arbitrária, "isso seria ótimo!

EDIT: A idéia de estar com a criptografia é que você não pode reinicializar o sistema, porque uma vez que você fizer isso, a criptografia de disco no sistema requer um login antes de poder iniciar o Windows. Com a máquina em hibernação, o proprietário do sistema já contornou a criptografia do invasor, deixando as janelas como a única linha de defesa para proteger os dados.

    

Answer 1

Deixar a máquina em hibernação definitivamente não é segura, uma vulnerabilidade foi encontrada onde a RAM ainda contém a chave para o bitlocker (e outros) na memória de hibernação. Já existe um ataque de verificação de conceito para essa vulnerabilidade.

O método de ataque é reinicializar rapidamente o PC e ler o conteúdo da RAM (que não é perdido quando a energia é cortada), então um programa pode pesquisar o despejo da chave.

link

A Microsoft já pode ter corrigido isso.

p.s. Entretanto, a alteração normal de senha não afeta a criptografia, pois o conteúdo criptografado não é acessível sem a senha correta, portanto, a simples alteração dos discos de inicialização por senha não é um risco de segurança.

    

Answer 2

Como foi mencionado por workmad3 , a melhor maneira de atacar uma máquina bloqueada sem reinicializar é ver como ela é vulnerável é de uma conexão de rede.

Isso dependerá das políticas de segurança em vigor na sua rede. Por exemplo, todas as contas de domínio têm acesso administrativo a esses computadores? Em caso afirmativo, verifique o compartilhamento padrão (\ pc-name \ c $). Se o compartilhamento padrão foi ativado por qualquer motivo, você tem acesso a todo o conteúdo do PC pela rede com sua própria conta. Não tenho certeza se isso funciona com um disco rígido criptografado, mas seria muito fácil testá-lo.

Quando você tiver acesso ao computador remotamente, poderá usar ferramentas como o PsExec da Sysinternals ferramenta para executar programas remotamente.

Claro, isso é apenas um vetor de ataque, e pode até não funcionar com discos rígidos criptografados, mas dá uma ideia do que pode ser feito.

EDIT: Se os laptops têm uma porta ativa Firewire você pode dar uma olhada em esta vulnerabilidade . Novamente, não sei se isso ajudaria com uma máquina criptografada, já que ela é baseada no acesso direto à memória (que deve ser criptografado).

    

Answer 3

Obviamente, se alguém tiver acesso físico à máquina, todas as credenciais armazenadas podem ser consideradas comprometidas.

Se alguém pode, por exemplo, inicializar a partir de um dispositivo USB ou unidade óptica, pode usar ferramentas de apontar e clicar, como o Ophcrack, para recuperar todas as senhas. Instruções aqui: USB Ophcrack | Bolacha de senha de login do Windows

Editar: Sim, estou ciente de que você teoricamente não pode voltar a um "disco rígido criptografado" se a máquina for reinicializada. Se a reivindicação é ou não válida, depende inteiramente do software usado para acessar as partições criptografadas. O BitLocker parece fazer um trabalho decente, mas muitas implementações anteriores eram basicamente uma piada - e se você puder acessar a máquina é trivialmente fácil despejar o banco de dados SAM no dispositivo USB e executar a quebra offline.

    

Answer 4

Bem, meu primeiro pensamento seria despertá-lo do modo de hibernação, acessar a tela de senha e começar a ver o que está vulnerável por meio da conexão de rede. Se a segurança da rede das máquinas reais não estiver à altura, você poderá ter acesso a muitas informações dessa maneira.

    

Answer 5

Gostaria de saber o que aconteceria se você gravasse um CD-ROM com um autoplay.ini adequado aos propósitos de sua experiência e fizesse a máquina acordar do modo de hibernação. Na verdade, não sei o que aconteceria, mas esse tipo de metodologia é o que eu exploraria ao tentar atacar uma máquina de hibernação - fazer com que ela acorde e introduza um executável em uma de suas portas. Tem uma porta firewire? Em teoria, é então hackável a partir dessa interface.

    

Answer 6

Que tipo de criptografia você está usando? BitLocker? Sistema de arquivos criptografado? Sem saber, não posso responder diretamente à sua pergunta.

Em qualquer caso, sua segurança seria tão boa quanto o link mais fraco. Você precisa garantir que todos os patches de segurança mais recentes sejam instalados imediatamente. Caso contrário, ferramentas como o MetaSploit podem ser usadas para testar vulnerabilidades conhecidas e obter acesso de usuário ou administrador.

    

Answer 7

O Vista e o XP-sp3 são muito menos vulneráveis do que os sistemas operacionais anteriores, que armazenavam uma senha simplesmente criptografada para a compatibilidade do LANMAN. Você ainda pode decifrar senhas fáceis usando algumas tabelas de arco-íris muito grandes, mas é bem seguro de ferramentas como o ophcrack.

    

Answer 8

No meu sistema de criptografia de disco rígido (PGP), é necessário inserir a senha de criptografia ao retornar da hibernação.

De uma suspensão, não é permitido.

    

Answer 9

Se o seu arquivo de hibernação do EFS não estiver criptografado e deve ser considerado como contendo material de chave sensível necessário para descriptografar arquivos do EFS no disco.

Se você estiver usando criptografia de disco completo, o arquivo de hibernação será criptografado com todo o resto e esse risco será atenuado.

Há um número de vetores de ataque para o bitlocker / TPM, incluindo vários ataques do tipo bus snooping e tempest. O TPM não foi projetado para proteger suas informações de um TLA determinado, mas ainda é bastante eficaz no caso de uso geral do mundo real.

O EFS pode ser evitado com a quebra de uma senha de usuário, a menos que opções significativas de syskey estejam ativadas para reduzir esse risco. EFS é melhor do que nada, mas a menos que você use uma senha resistente a tabelas syskey e ub3r ra1nb0w, você não estará apresentando uma barreira significativa ao comprometimento de seus dados EFS, em primeiro lugar.