Nazwa przedmiotu: Bezpieczeństwo Sieci laboratorium
Prowadzący: mgr in\
. Radosław Michalski ([e-mail])
mgr in\
. Jerzy śemła ([e-mail])
Temat laboratorium: Bezpieczeństwo haseł
Czas trwania: 2h
Uwagi:
I Wprowadzenie do zajęć
Często powtarzana maksyma dotycząca bezpieczeństwa brzmi: jest ono tylko tak mocne
jak jego najsłabsze ogniwo.
Nale\
y zdawać sobie sprawę, \
e na bezpieczeństwo składają się: technika, organizacja i
ludzie, i do ka\
dego z tych elementów przykładać odpowiednią wagę, ze szczególnym
naciskiem na ostatni.
Coraz popularniejsze ataki socjalne wcale nie dotyczą łamania zabezpieczeń w sposób
techniczny, lecz wykorzystują zaufanie ludzi do uzyskania cennych informacji (np. haseł
do systemów). Po zdobyciu hasła u\
ytkownika, adwersarz mo\
e usiłować przejąć prawa
administratora systemu na przykład poprzez wykorzystanie luki w zainstalowanej
aplikacji lub te\
poprzez próbę złamania hasła. Ten drugi etap jest o tyle ułatwiony, \
e
w wielu systemach plik z hasłami zawiera skróty haseł wszystkich u\
ytkowników i
mo\
liwe jest skopiowanie tego pliku na własną maszynę, gdzie mo\
na podjąć próbę
odgadywania hasła nie wzbudzając podejrzeń administratorów.
Podczas tego laboratorium poznamy kilka aplikacji słu\
ących do łamania haseł, które
mogą dać wyobra\
enie na temat koniecznych wymogów co do zło\
oności haseł. Nie
nale\
y jednak zapominać, \
e zło\
oność hasła jest czynnikiem drugorzędnym w stosunku
do świadomości u\
ytkowników, którzy w niektórych sytuacjach nie mają oporów by
swoje hasło wyjawić obcej osobie (działając jednak w dobrej wierze).
II Realizowane scenariusze
1. Testowanie bezpieczeństwa funkcji skrótu MD5
Wejdz
na stronę http://www.adamek.biz/md5-generator.php, gdzie znajduje się
prosty program liczący funkcję skrótu z podanego ciągu. Wpisz tam  tajne2 i
wygeneruj z niego skrót.
Następnie wejdz
na stronę programu MDCrack: http://membres.lycos.fr/mdcrack/
i stamtąd ściągnij tę aplikację
(http://membres.lycos.fr/mdcrack/download/MDCrack-182.zip). Słu\
y ona do
generowania sum kontrolnych kilku funkcji skrótu korzystając z metody
bruteforce.
Spróbuj teraz samodzielnie złamać hasło dla uzyskanej sumy kontrolnej
zapoznawszy się uprzednio ze sposobem u\
ycia aplikacji (MDCrack-sse --help),
plikiem README.txt oraz FAQ-18.txt.
Nale\
y zwrócić uwagę, \
e MDCrack mo\
e łamać 18 ró\
nych algorytmów, z których
korzysta wcią\
bardzo wiele aplikacji, więc ryzyko złamania hasła jest dość du\
e.
2. Testowanie bezpieczeństwa haseł systemu Windows
W systemie Windows (m.in. Windows XP) stosowany jest system NTLM, którego
bezpieczeństwo sprawdzimy.
W tym celu potrzebne jest narzędzie PWdump2:
http://www.bindview.com/Services/razor/Utilities/Windows/pwdump2_readme.cfm
Ściągnij je, a następnie w systemie Windows załó\
u\
ytkownika  wsiz i nadaj mu
hasło  bsieci . Korzystając z programu PWdump2 pobierz lokalną listę haseł i z
wpisu dot. u\
ytkownika  wsiz pobierz drugi zakodowany ciąg. Następnie
przetestuj go w aplikacji MDCrack.
3. Narzędzie John the Ripper
Kolejnym interesującym programem jest John the Ripper, bardzo wydajne
narzędzie do łamania wielu systemów haseł kilkoma metodami
(bruteforce/słownikowa/single_crack/własne implementacje metod). JtR jest w
wersji dla Linuxa i Windows. My posłu\
ymy się wersją dla Windowsa:
http://www.openwall.com/john/e/john171w.zip
Spróbujemy złamać hasła dwiema metodami  słownikową (plik wsiz-dict.txt),
oraz bruteforce (w nomenklaturze JtR  przyrostową, pliki wsiz-shadow.txt oraz
wsiz-tcb.txt). Dwie operacje bruteforce mogą długo trwać, więc wskazane jest ich
uruchomienie poza laboratorium.
III Sprawozdanie
W sprawozdaniu opisz w jaki sposób realizowałbyś/realizowałabyś politykę
wdro\
enia mocnego systemu haseł zaczynając od podniesienia świadomości
u\
ytkowników. Jakich argumentów u\
yć aby u\
ytkownicy byli przekonani do
stosowania mocnych haseł? Czy częste zmiany haseł podnoszą czy osłabiają
system? Czy mo\
na Twoim zdaniem zapisywać hasła na karteczkach? Czy masz
jakiś ciekawy system tworzenia zło\
onych haseł? Jeśli tak to go opisz.
IV Materiały pomocnicze
1. Polityka ochrony haseł
http://cso.cxo.pl/artykuly/53690_2.html
2. Bruce Schneier s Cryptogram  Real World Passwords
http://www.schneier.com/crypto-gram-0612.html#2
3. Wikipedia  Password cracking
http://en.wikipedia.org/wiki/Password_cracking
4. Password Cracking with Rainbowcrack and Rainbow Tables
http://www.darknet.org.uk/2006/02/password-cracking-with-rainbowcrack-and-
rainbow-tables/
5. Oracle Password Cracker
http://www.red-database-security.com/software/checkpwd.html