cybercrypt@gov – polska policja rozpisuje przetarg na narzędzie do łamania zabezpieczeń kryptograficznych. A my mamy do niego dokumentację ;-)

Informacje o projekcie mamy tutaj, gdzie czytamy m.in.:

Przewiduje się, że projektowany system powinien pozwalać na przełamywanie haseł opartych m.in. o MD4, MD5, SHA1, SHA-224, SHA-256, SHA384, SHA-512, SHA-3 (Keccak), NetNTLMv1, NetNTLMv1+ESS, NetNTLMv2, sha256crypt, sha512crypt a także próbę przełamania zabezpieczeń programów m.in, office 2007,2010,2013, PDF, KeePass, 7-zip, Rar oraz powszechnie stosowanych aplikacji szyfrujących (truecrypt,veracrypt, bitlocker).

To tylko wybrane algorytmy które…wspiera hashcat. Oczywiście jeszcze trzeba zadbać o działanie hashcata w trybie rozproszonym, choć i tu są ciekawe pomysły. Dla uczciwości dodamy, że na pewno całość trzeba połączyć w jeden produkt oraz zapewnić support.

Co z tą dokumentacją? Otóż na sekuraku publikowaliśmy swego czasu monstrualny 3-częściowy cykl dotyczący zabezpieczania oraz łamania haseł. Mamy wstęp teoretyczny, opis działania hashcata (z opcją przetwarzania rozproszonego),  a także informacje o słownikach / budowie słowników oraz bezpiecznym przechowywaniu haseł. Nic tylko czytać, choć zarezerwujcie sobie na to więcej czasu. Gdy z kolei ktoś zapragnie przetestować wiedzę w praktyce, polecam zerknąć na nasz serwis rozwal.to – tutaj mamy (niestety tylko w wersji płatnej) m.in. kilka zadań właśnie z krakowa…tfu z odzyskiwania haseł.

Gdyby jeszcze ktoś się chciał więcej douczyć, może spojrzeć na naszą mini recenzję książki „hash crack„.

Wracając do naszego kompendium bezpieczeństwa haseł, od czasu publikacji niewiele się zmieniło, choć dla malkontentów ;) mamy bardzo dobrą informację: odświeżona / ulepszona wersja tego tekstu już jest gotowa i znajdzie się w (papierowej) książce sekuraka dotyczącej bezpieczeństwa aplikacji webowych.

–ms