Sevimli isimlerinin seni aldatmasına izin verme, bu şeyler korkutucu.
Rainbow Tables'i eklektik renkli mobilyalar olarak düşünebilirsiniz, ancak tartışacağımız konular bunlar değil. Konuştuğumuz Gökkuşağı Tabloları şifreleri kırmak için kullanılıyor ve hacker'ın sürekli büyüyen cephaneliğinde bir başka araç.
Gökkuşağı Masaları ne? Böyle sevimli ve sevimli bir isimle bir şey nasıl bu kadar zararlı olabilir?
Gökkuşağı Masalarının Arkasındaki Temel Kavram
Bir sunucuya ya da iş istasyonuna takılı bir sürücü taktım, yeniden başlattım ve kullanıcı adlarını ve parolaları içeren güvenlik veritabanı dosyasını başparmağımla kopyalayan bir program çalıştırdım.
Dosyadaki şifreler şifreli olduğundan onları okuyamıyorum. Sisteme giriş yapmak için bunları kullanabilmem için dosyadaki şifreleri (veya en azından yönetici şifresini) kırmam gerekecek.
Şifre kırma seçenekleri nelerdir? Parola dosyasında parola veren John the Ripper gibi bir parola zorla şifre kırma programını deneyebilirim ve her parola parolasını yinelemeli olarak tahmin etmeye çalışıyorum. İkinci seçenek, yüzbinlerce yaygın olarak kullanılan şifreleri içeren bir şifre kırma sözlüğü yüklemek ve herhangi bir isabet alıp almadığına bakmaktır. Parolalar yeterince güçlü ise, bu yöntemler haftalar, aylar hatta yıllar alabilir.
Bir parola bir sisteme karşı "denendiğinde" şifreleme kullanılarak "hashed" olur, böylece gerçek parola hiçbir zaman iletişim hattında net metin olarak gönderilmez. Bu, dinleyicilerin şifreyi yakalamasını önler. Bir parola karması genellikle bir demet çöp gibi görünür ve genellikle orijinal paroladan farklı bir uzunluktadır. Şifreniz "shitzu" olabilir, ancak şifrenizin karması "7378347eedbfdd761619451949225ec1" gibi bir şeye benzeyecektir.
Bir kullanıcıyı doğrulamak için, sistem istemci bilgisayarında parola kesme işlevi tarafından oluşturulan karma değerini alır ve bunu sunucudaki bir tabloda saklanan karma değeriyle karşılaştırır. Karmalar eşleşirse, kullanıcı kimliği doğrulanır ve erişim verilir.
Parolayı şifrelemek, 1 yollu bir işlevdir, yani parolanın açık metninin ne olduğunu görmek için karma şifresini çözemezsiniz. Oluşturulduktan sonra karma şifresini çözmek için bir anahtar yoktur. Eğer yapacaksan, "kod çözücü halkası" yoktur.
Şifre kırma programları, giriş işlemine benzer şekilde çalışır. Çatlama programı, düz metin şifreleri alarak, MD5 gibi bir karma algoritması ile çalıştırılarak başlar ve sonra karma çıkışını çalıntı şifre dosyasındaki karmalarla karşılaştırır. Bir eşleşme bulursa, program şifreyi kırdı. Daha önce söylediğimiz gibi, bu süreç çok uzun zaman alabilir.
Gökkuşağı Tablolarını Girin
Gökkuşağı Tabloları, temel olarak, olası düz metin şifreleriyle önceden eşleştirilen karma değerler ile doldurulmuş önceden hesaplanmış büyük tablolar kümesidir. Gökkuşağı Tabloları aslında hackerların düz metin parolasının ne olabileceğini belirlemek için karma işlevini tersine çevirmesine izin verir. Aynı karmaşa sahip olmak için iki farklı şifrenin kullanılması mümkündür, bu yüzden orijinal şifrenin ne olduğunu öğrenmek önemli değildir, aynı karmaşaya sahip olduğu sürece. Düz metin şifresi, kullanıcı tarafından oluşturulan şifreyle aynı olmayabilir, ancak karma eşleştiği sürece, orijinal şifrenin ne olduğu önemli değildir.
Gökkuşağı Tablolarının kullanımı, şifrelerin, kaba kuvvet yöntemleriyle karşılaştırıldığında çok kısa bir sürede kırılmasına izin verir, ancak, trade-off, Gökkuşağı Tablolarını kendileri tutmak için çok fazla depolama (bazen Terabayt) gerektirmesidir. Bu günlerde depolama çok ucuz ve ucuzdur, bu yüzden bu ticaret, on yıl önce terabayt sürücülerinin yerel Best Buy'tan alabileceğiniz bir şey olmadığı zamanki kadar büyük bir anlaşma değildir.
Hackerlar, Windows XP, Vista, Windows 7 ve MD5 ve SHA1 kullanan şifreli işletim sistemlerinin parola karma mekanizması olarak parolaları kırmak için önceden hesaplanmış Rainbow Tabloları satın alabilirler (birçok web uygulaması geliştiricisi hala bu karma algoritmaları kullanır).
Gökkuşağı Tabanlı Tabanlı Parola Saldırılarına Karşı Kendinizi Nasıl Korur
Bunun için herkes için daha iyi tavsiyeler olmasını diliyoruz. Daha güçlü bir şifrenin yardımcı olabileceğini söylemek isteriz, ancak bu gerçekten doğru değildir, çünkü bu problemin şifresinin zayıflığı değil, şifreyi şifrelemek için kullanılan karma işlevle ilişkili zayıflıktır.
Kullanıcılara verebileceğimiz en iyi tavsiyemiz, şifre uzunluğunuzu kısa sayıda karakterle sınırlayan web uygulamalarından uzak durmaktır. Bu, savunmasız eski okul şifre kimlik doğrulama rutinlerinin açık bir işaretidir. Genişletilmiş şifre uzunluğu ve karmaşıklığı biraz yardımcı olabilir, ancak garantili bir koruma şekli değildir. Parolanız ne kadar uzun olursa, Rainbow Tables'in o kadar büyük bir çatlağı olması gerekirdi, ancak çok fazla kaynağı olan bir hacker bunu gerçekleştirebilir.
Gökkuşağı Tablolarına karşı nasıl savunacağımıza dair tavsiyelerimiz gerçekten uygulama geliştiricileri ve sistem yöneticileri içindir. Bu tür saldırılara karşı kullanıcıları korumak söz konusu olduğunda ön hatlardalar.
Rainbow Table saldırılarına karşı savunmada bazı geliştirici ipuçları:
- Şifre karma işlevinizde MD5 veya SHA1 kullanmayın. MD5 ve SHA1, eski parola karma algoritmalarıdır ve parolaları kırmak için kullanılan pek çok tablo, bu karma yöntemleri kullanarak uygulamaları ve sistemleri hedeflemek için oluşturulmuştur. SHA2 gibi daha modern karma yöntemleri kullanmayı düşünün.
- Parola toplama yordamında bir şifreleme "Tuz" kullanın. Şifreli karmaşama fonksiyonuna şifreli bir Tuz eklemek, uygulamanızdaki şifreleri kırmak için kullanılan Rainbow Tablolarının kullanımına karşı savunmanıza yardımcı olacaktır. Uygulamanıza "Gökkuşağı Koruması" yardım etmek için şifreleme tuzunun nasıl kullanılacağına ilişkin bazı kodlama örneklerini görmek için lütfen konuyla ilgili harika bir makaleye sahip WebMasters By Design sitesini inceleyin.
Korsanların Gökkuşağı Tabloları'nı kullanarak bir şifre saldırısı gerçekleştirdiğini görmek istiyorsanız, bu teknikleri kendi parolalarınızı kurtarmak için nasıl kullanacağınız hakkında bu mükemmel makaleyi okuyabilirsiniz.