Herramientas ayuda: primera vez que descifra contraseñas

En lo que respecta al tiempo en la cárcel, siempre que su contrato sea efectivo y tenga protección, puede estar bastante seguro en muchos países. En el Reino Unido hacemos muchas cosas de este tipo, principalmente auditorías de seguridad de contraseñas. No voy a dar consejos legales, pero su asesor legal debe conocer la redacción requerida en un contrato para esto. En el Reino Unido utilizamos los términos de Hold Harmless, y la restricción de responsabilidad, de modo que si rompemos algo al acceder a los sistemas informáticos no somos responsables.

Técnicamente, si conoce los requisitos de seguridad de la contraseña, sabrá con qué tipo de tabla o fuerza bruta necesita trabajar. Por ejemplo, si su requisito de longitud mínima es de 8 caracteres, comience su fuerza bruta en 8 caracteres.

Si ya ha cubierto los ataques de fuerza bruta y diccionario, una tabla de arco iris puede ser su única opción. Como dice @rook, hay algunos lugares gratuitos donde puedes conseguirlos. Sin embargo, las más comunes son las tablas pagadas o el intercambio de tablas, donde creas una nueva tabla a cambio del conjunto total hasta el momento.

Tu historia es rara. ¿Por qué los "propietarios de la empresa" quieren descifrar contraseñas? ¿Cuáles podrían ser las circunstancias que harían este esfuerzo apropiado (es decir, moralmente aceptable, y legalmente aceptable y adecuado para los objetivos perseguidos)? Lo más cercano que puedo pensar es si algunos datos de encriptados con una clave derivada de contraseña, y el propietario de la contraseña no están disponibles o no cooperan, y eso es un escenario de policía contra terroristas, no un sospechoso. Escenario de fraude. Mi capacidad para detectar el sentido común, o la falta de ella, está hormigueando locamente. Hay algo sospechoso en tu situación.

Siento una cantidad inusual de miedo por algo tan trivial como esta disputa comercial.

La mejor explicación que puedo hacer es que los "dueños de la compañía" están trabajando para una "compañía" que tiene la costumbre de nunca involucrar a las agencias de aplicación de la ley en sus tratos, y de administrar justicia rápida en forma autónoma. ¿Seguro que quieres trabajar para la Yakuza? El tiempo en la cárcel podría convertirse en una preocupación secundaria, con respecto a mantener su capacidad de contar hasta diez.

Dicho esto, los hash de contraseña almacenados en un sistema Windows deben utilizar el hash de NT , que es un simple Aplicación de MD4 sobre la contraseña (codificada en little-endian UTF-16). El ataque preimage más conocido en MD4 es todavía solo teórico (esfuerzo en 2 ¹⁰⁴ , que está muy lejos del alcance de la humanidad en general, su alcance en particular), por lo que volvemos al método brutal de probar contraseñas potenciales, posiblemente optimizadas a través de una tabla precomputada (con o sin arco iris).

Con una buena GPU, quizás puedas probar unos 10 billones de contraseñas por segundo. Puede alquilar hardware potente en Servicios web de Amazon . Si considera la tabla Ophcrack "Vista eightXL", afirma que cubre aproximadamente el 99% de las contraseñas de 8 caracteres, para un alfabeto de 95 caracteres (todo el conjunto de caracteres ASCII imprimible), es decir, aproximadamente una semana de cálculos en la GPU mencionada anteriormente. La reconstrucción de la mesa del arco iris en sí se haría en una quincena. Es que vale 1000 $?

Una vez más, la pesadez rezuma debajo de la puerta e impregna la atmósfera.

¿Cuál es la relación entre romper la contraseña de alguien y verificar si es un fraude? Si desea verificar la correspondencia oficial de esa persona, no necesita romper la contraseña para eso, pero si se usa para ingresar en cuentas privadas de correo ... ¿cómo difiere desde el punto de vista ético de irrumpir en la casa de alguien?

Sin embargo, para cuestiones legales, su pregunta debe ser legalizada. La relación entre ética y derecho varía. Hay países en los que puede ser condenado por criticar la religión (caso de Salman Rushdie). Hay países en los que puedes ir a la cárcel por imprimir documentos (ver el caso de Dmitry Sklyarov), lo que es incluso más difícil de imaginar. Por lo tanto, no es posible responder su pregunta sin indicar en qué país está operando. En Corea del Norte, en China, serías legal mientras trabajes para el gobierno, en Europa, algo así en la mayoría de los casos te volvería criminal.

En Alemania, por ejemplo, incluso acceder a los correos del empleado almacenados en los servidores de la empresa solo se permite bajo circunstancias específicas. Consulte fg: enlace