Qual é o objetivo do brute forçando hashes MD5? [fechadas]

Question

Ótimo artigo sobre como hackear senhas no Ars Technica: link

Mas o que não entendo é por quê? Do ponto de vista de um chapéu preto, qual é o benefício de ter uma lista de senhas se você não tiver os nomes de usuário / e-mails associados a elas? Ou os nomes de usuários geralmente estão associados a vazamentos de senha?

Estou apenas confuso porque há toda essa conversa sobre senhas, mas nenhuma conversa sobre nomes de usuários. O que é tão benéfico para um hacker em relação a uma lista de senhas? Para tentar outro ataque quando você tem um nome de usuário específico?

    

Answer 1

Sim, eles têm os nomes de usuários. Mas as ferramentas de hash não se importam com os nomes de usuários, separam os nomes de usuários e apenas alimentam os hashes de senha para as ferramentas de quebra. Então você combina os hashes que você encontrou nos nomes de usuários.

Hmm, isso dito, ainda há algum benefício se você tiver apenas as senhas. Sabendo que os humanos são criaturas de hábitos, você poderia quebrar essa lista de senhas, para pré-determinar alguns hashes para quando você obtiver uma lista com nomes de usuários e senhas. (e tem o armazenamento para isso). Isso é mais conhecido como Rainbow Tables

A ressalva aqui é que as listas precisam usar exatamente os mesmos algoritmos hash, e não (ou exatamente o mesmo) sal .

A outra coisa: Este artigo (eu li também) foi principalmente sobre o que são os mecanismos de correspondência de hash de senha. O artigo foi escrito como "como é fácil para mim quebrar hashes" e não "como faço para quebrar". Então, neste caso muito particular, os nomes de usuários eram irrelevantes para o uso do cracker de senhas. Então eles não foram criados no contexto deste artigo muito específico.

    

Answer 2

Se você puder comprometer um sistema para obter uma lista de senhas, é provável que você também consiga obter os nomes de usuários. O interessante é tecnicamente "decifrar" a senha, pois os nomes de usuário serão armazenados em texto simples. O artigo que você mencionou é sobre a decodificação de senhas usando ferramentas e técnicas existentes e a facilidade com que a maioria das senhas pode ser quebrada.