nicht angemeldet
Endlich geschafft -» Wir haben nen Progi gecoded, das gecryptete passes zurückco
Hi Leute!
Vielleicht ist es unnütz, vielleicht auch nützlich. Wir die UNITED CRACKING FORCE haben es geschafft, ein gecryptetes Unixpassword wieder zu decodieren. Am Donnerstag bringen wir ein kleines Progi raus, wo ihr das gecryptete Password eingeben könnt und ihr bekommt in 2-3 Sekunden das decodierte Password. Und eine umgekehrte Methode, die das Passwort cryptet haben wir auch eingebaut.
Falls es hier einer haben will: URL posten wir Donnerstag!
Bis denn!
UNITED CRACKING FORCE
-
Hi,
Vielleicht ist es unnütz, vielleicht auch nützlich.
ich finde diese Information sehr nützlich, denn...
Wir die UNITED CRACKING FORCE haben es geschafft, ein gecryptetes Unixpassword wieder zu decodieren.
...hiermit hat sich die UNITED CRACKING FORCE verflucht lächerlich gemacht und wird daher ziemlich lange als zu meidende Gruppe pubertierender Proggi-Kiddies und Möchtegern-Hackerz[tm] erkannt bleiben.
Falls es hier einer haben will: URL posten wir Donnerstag!
Bis dahin könnt ihr ja schon mal "IN.8PtpjWWfis" dekodieren. Ich hab es euch leicht gemacht; das Passwort besteht aus zwei Wörtern, die zumindest einem halbwegs kulturell gebildeten Menschen bekannt sein müßten. Falls euch das nicht hilft:
"INFEixYdXNocM" - ein Wort, das auch ihr kennt. Und nein, es ist nicht anstößig.
Cheatah
-
Hallo Ihr Cracker,
(damit sind sicher die Kekse gemeint, oder?)< http://www.teamone.de/selfaktuell/artikel/schroepl02.htm#a4>
Reiner
-
jepp, da steht aber: meines wissens nach, geht das nicht.
wir haben's aber geschafft. das programm findet den salt mit dem das password codiert wurde automatisch heraus. Wir haben es schon ausprobiert auch mit mehreren Wörtern, es hat immer geklappt.
@Cheatah: Ich werde die beiden Passwörter mal entschlüsseln wenn das Programm fertig ist. Waren bestimmt beleidigungen! ;-)
-
wir haben's aber geschafft. das programm findet den salt mit dem das password codiert wurde automatisch heraus. Wir haben es schon ausprobiert auch mit mehreren Wörtern, es hat immer geklappt.
Oh je! Um das salt herauszufinden braucht man kein Programm. Ihr scheint ja echt Plan zu haben.
Peter
-
Hi,
Oh je! Um das salt herauszufinden braucht man kein Programm. Ihr scheint ja echt Plan zu haben.
dochdoch! Naemlich folgendes:
#!/usr/bin/perl -w
$salt = substr ($crypted, 0, 2);Schon ein wahnsinns Aufwand an Programmierung, oder?
Viele Gruesse
speedy-
Oh je! Um das salt herauszufinden braucht man kein Programm. Ihr scheint ja echt Plan zu haben.
dochdoch! Naemlich folgendes:
#!/usr/bin/perl -w
$salt = substr ($crypted, 0, 2);Ich meinte eigentlich, dass man das salt mit blossem Auge erkennen kann ;-)
Peter
-
Hi,
Ich meinte eigentlich, dass man das salt mit blossem Auge erkennen kann ;-)
Salz im Auge ist aber gar nicht gut, wirklich nicht... ;-)
Cheatah
-
-
-
-
Hi,
jepp, da steht aber: meines wissens nach, geht das nicht.
da war Michael ziemlich unscharf. crypt hat _definitiv_ keine Umkehrfunktion.
wir haben's aber geschafft. das programm findet den salt mit dem das password codiert wurde automatisch heraus. Wir haben es schon ausprobiert auch mit mehreren Wörtern, es hat immer geklappt.
Gleich morgen früh werde ich lachen.
@Cheatah: Ich werde die beiden Passwörter mal entschlüsseln wenn das Programm fertig ist. Waren bestimmt beleidigungen! ;-)
Wenn ihr es schafft, werde ich euch zweiteres spendieren - ich gebe euch bis einschließlich Donnerstag Zeit; da wollt ihr ja die URL zum Programm posten, es müßte dann also fertig sein.
Cheatah
-
Hi auch,
jepp, da steht aber: meines wissens nach, geht das nicht.
da war Michael ziemlich unscharf. crypt hat _definitiv_ keine Umkehrfunktion.hoppla, ich muß widersprechen: crypt() hat definitiv eine Umkehrfunktion!
Ich kann sogar angeben, wie man sie berechnet: Verschlüssele sämtliche legalen Worte mit sämtlichen legalen salts und konstruiere daraus eine Tabelle, welche die Umkehrfunktion darstellt. ;-)Meine Aussage bezog sich allerdings darauf, daß eine "Funktion" nach der von mir beschriebenen Methode nicht in *zumutbarer* Zeit zu berechnen ist (naja, vielleicht kann der CIA das ...).
Ob es aber eine Berechnungsvorschrift gibt, welche in kürzerer Zeit zu einem Ergebnis führt, weiß ich nicht - und denke, niemand kann das wissen. Daß es zu der Methode, wie crypt() arbeitet, keine *bekannte* Umkehrfunktion gibt, heißt nicht, daß bewiesen ist, daß es keine geben *kann*.Die Qualität von crypt hängt - wie diejenige einer jeden Verschlüsselungsfunktion - nicht unwesentlich von der Größe des Schlüsselraums ab. (Weshalb crypt() mit seinen kurzen Schlüsseln für ernsthafte Anwendungen - etwa Online-Banking - natürlich nicht verwendet wird.)
mfG - Michael
-
Hi,
da war Michael ziemlich unscharf. crypt hat _definitiv_ keine Umkehrfunktion.
...aus der Menge aller Umkehrfunktionen, die nicht auf Brute Force basieren ;-)
Verschlüssele sämtliche legalen Worte mit sämtlichen legalen salts und konstruiere daraus eine Tabelle, welche die Umkehrfunktion darstellt. ;-)
Ich bitte um Entschuldigung; meine Formulierung war ihrerseits auch etwas schwammig ;-)
Daß es zu der Methode, wie crypt() arbeitet, keine *bekannte* Umkehrfunktion gibt, heißt nicht, daß bewiesen ist, daß es keine geben *kann*.
Ich meine, genau dies sei bereits bewiesen worden. Der einzige Weg ist Brute Force, egal wie optimiert der Algorithmus dazu ist.
Cheatah
-
Hi,
Daß es zu der Methode, wie crypt() arbeitet, keine *bekannte* Umkehrfunktion gibt, heißt nicht, daß bewiesen ist, daß es keine geben *kann*.
Ich meine, genau dies sei bereits bewiesen worden. Der einzige Weg ist Brute Force, egal wie optimiert der Algorithmus dazu ist.Seit wann? URL? Das interessiert mich.
Mein Stand der Dinge ist bisher noch, daß man in der Regel nur beten kann:
Sicherheit von asymmetrischen Verfahren
---------------------------------------
Nachdem wir nun schon ein paar Grundprinzipien kennengelernt haben, stellt sich natürlich die Frage, wie werden D und E realisiert und wie sicher sind diese Verfahren damit?Um ein public-key-Verfahren sicher zu machen, muß die "legale" Benutzung relativ einfach und leicht durchzuführen sein. Der Besitzer beider Schlüsselteile, des öffentlichen und des geheimen, kann seine Absicht, die Nachricht zu entschlüsseln oder zu prüfen, schnell durchführen.
Dem potentiellen Angreifer stehen aber auch nicht wenige Informationen zur Verfügung, der öffentliche Schlüssel und der Geheimtext bzw. das unterschriebene Dokument.
Die "illegale" Berechnung des fehlenden Teils muß deswegen außerordentlich aufwendig sein, das heißt, sie darf zwar theoretisch möglich, aber sie muß wenigstens praktisch unmöglich sein.
Um das zu erreichen, werden sogenannte Falltürfunktionen benutzt. In der Theorie sind das mathematische Funktionen, die sich sehr einfach anwenden lassen; ihre Umkehrung jedoch läßt sich nur mit zu großem Aufwand berechnen.
Das Problem dabei ist, daß es äußerst schwierig zu beweisen ist, ob eine solche Falltürfunktion vorliegt.Für solche Anwendungen benutzt man in der Regel zwei mathematische Operationen, die diesen Bedingungen aller Kentnis nach gehorchen:
- Die Multiplikation natürlicher Zahlen (in der Regel Primzahlen). Die Umkehrung ist die Faktorisierung (Zerlegung in Primzahlfaktoren); für diese Operation sind nur in Spezialfällen schnelle Verfahren bekannt.
- Potenzierung innerhalb einer bestimmten mathematischen Struktur (multiplikative Gruppe eines endlichen Körpers). Das ist sehr leicht durchzuführen. Die Umkehrung, der diskrete Logarithmus, ist ebenfalls nur äußerst aufwendig zu berechnen.Solche System liefern also grundsätzlich schon eine Methode mit, wie man sie knacken kann. Es ist also, im Gegensatz zu symmetrischen Verfahren, nicht die Frage, ob man das System knacken kann, sondern ob es eine wirksamere Methode als die schon bekannte gibt, wie man an die Lösung kommt.
Das Problem an der Sache ist, daß man nichts darüber weiß. Man weiß nicht, ob es nicht vielleicht doch schnellere Methoden gibt, die Umkehrung zu berechnen; man weiß nicht, ob es nicht trickreiche andere Zugänge gibt, mit dem man das Problem der Umkehrung umgehen kann.Man gründet die Sicherheit solcher Verfahren also auf folgende Punkte:
- Man nimmt an, daß die Leistung verfügbarer Computer in absehbarer Zeit nicht wesentlich zunehmen wird, so daß der Aufwand, die Umkehrfunktion zu berechnen, ausreichend lange unbezahlbar oder unannehmbar ist.
- Man nimmt an, daß keine schnellere Art und Weise gibt, um die Umkehrfunktion zu berechnen.
- Man nimmt an, daß es keine andere Methode als die Umkehrfunktion gibt, eine Lösung zu erhalten.Mit anderen Worten: man kann die Sicherheit des Verfahrens nicht beweisen, ja noch schlimmer, man macht die Sicherheit des Verfahrens von der momentanen Unfähigkeit abhängig, eine flotte Lösung zu finden.
(aus http://www.toppoint.de/~freitag/ca/f-d-ca-theo.html, Franzis-Verlag 1997)
Und die drei letztgenannten Punkte klingen so, daß ich mir nicht vorstellen kann, man könnte *jemals* das Gegenteil beweisen.
mfG - Michael
-
Hallo,
Ich glaube, Du verwechselst da was. crypt() ist kein asymmetrisches Verschlüsselungsverfahren, also Public-Private-Key-Verfahren.
Es gibt keinen Weg um aus dem gecrypteten String das Original wiederzugewinnen.Es ist sogar afaik so, daß nicht gewährleistet ist, daß das Passwort, welches mit dem Crypt-String als salt wirklich das original-Passwort war. D.h. daß es durchaus möglich ist, daß Zwei Passwörter mit dem gleichen Salt gecryptet das gleiche Ergebnis liefert.
Grüße
Klaus-
Hi,
Es gibt keinen Weg um aus dem gecrypteten String das Original wiederzugewinnen.
den Weg einer Tabellenfunktion gibt es auf jeden Fall (nur ist die Tabelle eben riesengroß).
Hast Du den Beweis dafür, daß crypt() nicht in geschlossener Form invertierbar ist, irgendwo zur Hand?Es ist sogar afaik so, daß nicht gewährleistet ist, daß das Passwort, welches mit dem Crypt-String als salt wirklich das Original-Passwort war. D.h. daß es durchaus möglich ist, daß zwei Passwörter mit dem gleichen Salt gecryptet das gleiche Ergebnis liefert.
Das ist aber auch egal. Dem Angreifer gegen crypt() geht es ja nicht darum, das Klartext-Passwort zu erraten, sondern das verschlüsselte erzeugen zu lassen.
mfG - Michael
-
Hallo,
Das ist aber auch egal. Dem Angreifer gegen crypt() geht es ja nicht darum, das Klartext-Passwort zu erraten, sondern das verschlüsselte erzeugen zu lassen.
Aber es ist nicht egal, wenn Du es umgekehrt versuchen willst. Wenn 2 Wörter mit dem gleichen Salt 1 Ergebnis liefern, dann kannst Du umgekehrt nicht eindeutig eines der beiden ORiginale rückgewinnen.
Da fällt mir ein: Die Antwortet lautet 42. Wie lautet die richtige Frage? ;-)
Grüße
Klaus-
Hi Leute!
Da fällt mir ein: Die Antwortet lautet 42. Wie lautet die richtige Frage? ;-)
<insider>
Die richtige Frage lautetDer Sinn des Lebens?
Es gibt mehrere gültige antworten ua: 42, 776, 18642, ca. 1117440, usw.
</insider>Aber 46 ist auch nicht schlecht.
CU Roman
-
Hi,
Aber es ist nicht egal, wenn Du es umgekehrt versuchen willst. Wenn 2 Wörter mit dem gleichen Salt 1 Ergebnis liefern, dann kannst Du umgekehrt nicht eindeutig eines der beiden ORiginale rückgewinnen.
will ja auch niemand, wenn es um crypt() geht.
Da fällt mir ein: Die Antwortet lautet 42. Wie lautet die richtige Frage? ;-)
Ist doch bekannt: "What Do You Get If You Multiply Six By Nine?"
Michael (gerade mit 13-Finger-System auf der Tastatur)
-
-
-
-
Hi,
Daß es zu der Methode, wie crypt() arbeitet, keine *bekannte* Umkehrfunktion gibt, heißt nicht, daß bewiesen ist, daß es keine geben *kann*.
Ich meine, genau dies sei bereits bewiesen worden. Der einzige Weg ist Brute Force, egal wie optimiert der Algorithmus dazu ist.
Seit wann? URL?wenn ich eine hätte, hätte ich nicht "ich meine" geschrieben ;-) Sorry, die Info stammt von der glaubwürdigen Quelle "hab ich mal gehört", und sie deckt sich mit den paar Dingen, die ich aus dem Quellcode verstanden habe.
Beweisen kann ich es leider genauso wenig wie Fermats letzten Satz...
Cheatah
-
-
-
Hallo,
(naja, vielleicht kann der CIA das ...).
Nur, wenn die NSA dabei hilft ;-)
Grüße
Klaus
-
-
-
-
-
Hallo!
Wir, die grossartige INTERNATIONAL HACKERS ALLIANCE bringen in 5 Minuten folgende Programme raus:
- Ein JavaScript, daß .htaccess - Boxen ausschaltet
- WinNuke für Solaris 5.7
- GreenOrifice, ein furchterregendes Virus, daß per TCP/IP Magic Paket das Boot-PROM der Netzwerkkarte infiziert
- Einen universellen Rootpasswortgenerator
- Ein Programm, daß das Post'sche Korrespondenzproblem in O(n^4) berechnet.
- Unsere eigene Portierung von Half Life für Thinking Machines Cluster & Cray YMP
- IHA Chess, ein Programm mit ELO 10.000 Spielstärke bereits auf Schneider CPC 464
Ausserdem werden wir die USA mit ihren eigenen Atomwaffen angreifen und die Sonne verdunkeln.
Ihr werdet's ja sehen!
INTERNATIONAL HACKERS ALLIANCE
-
Hallo Earthlings,
Wir, die grossartige INTERNATIONAL HACKERS ALLIANCE bringen in 5 Minuten folgende Programme raus:
Now you got us shaking in our pants! We are really scared now! Not...
- Ein JavaScript, daß .htaccess - Boxen ausschaltet
- WinNuke für Solaris 5.7
- GreenOrifice, ein furchterregendes Virus, daß per TCP/IP Magic Paket das Boot-PROM der Netzwerkkarte infiziert
- Einen universellen Rootpasswortgenerator
- Ein Programm, daß das Post'sche Korrespondenzproblem in O(n^4) berechnet.
- Unsere eigene Portierung von Half Life für Thinking Machines Cluster & Cray YMP
- IHA Chess, ein Programm mit ELO 10.000 Spielstärke bereits auf Schneider CPC 464
And? That's what our green baby's learn while they are still in their eggs waiting for hatching into the hostile atmosphere of planet *********** (quick joke on the side, something for you to decipher, he he...)
Ausserdem werden wir die USA mit ihren eigenen Atomwaffen angreifen und die Sonne verdunkeln.
Ihr werdet's ja sehen!
Yeah, we'll enjoy your show before we take over your boring planet and make you our slaves to create Klickibunti pages for the rest of your sad lifes...
INTERNATIONAL HACKERS ALLIANCE
Greetinx,
The little green men from outer space-
Aha, und du bist so kommerziell das du englisch sprechen musst?
Hallo Earthlings,
Wir, die grossartige INTERNATIONAL HACKERS ALLIANCE bringen in 5 Minuten folgende Programme raus:
Now you got us shaking in our pants! We are really scared now! Not...
- Ein JavaScript, daß .htaccess - Boxen ausschaltet
- WinNuke für Solaris 5.7
- GreenOrifice, ein furchterregendes Virus, daß per TCP/IP Magic Paket das Boot-PROM der Netzwerkkarte infiziert
- Einen universellen Rootpasswortgenerator
- Ein Programm, daß das Post'sche Korrespondenzproblem in O(n^4) berechnet.
- Unsere eigene Portierung von Half Life für Thinking Machines Cluster & Cray YMP
- IHA Chess, ein Programm mit ELO 10.000 Spielstärke bereits auf Schneider CPC 464
And? That's what our green baby's learn while they are still in their eggs waiting for hatching into the hostile atmosphere of planet *********** (quick joke on the side, something for you to decipher, he he...)
Ausserdem werden wir die USA mit ihren eigenen Atomwaffen angreifen und die Sonne verdunkeln.
Ihr werdet's ja sehen!
Yeah, we'll enjoy your show before we take over your boring planet and make you our slaves to create Klickibunti pages for the rest of your sad lifes...
INTERNATIONAL HACKERS ALLIANCE
Greetinx,
The little green men from outer space-
Ach Du kleiner Erdenbuerger,
Aha, und du bist so kommerziell das du englisch sprechen musst?
Weisst Du denn nicht dass alle Kleinen Gruenen Maennchen Englisch sprechen? Hast Du nie einen Film ueber uns gesehen? Ach ja, in Eurem Fernsehen gibt es ja fast nur synchronisierte Fassungen die natuerlich nicht die Wahrheit wiedergeben...
Durch unseren weit ueber Euren hinausgehenden Intellekt sind wir natuerlich auch in der Lage alle anderen Sprachen zu sprechen. Tun wir nur halt selten.
Aber wir werden Deinen Mut anerkennen und Dich zum Obersklaven machen: Du darfst dann sicherstellen dass die Klickibunti-Seiten auf keinem Browser richtig funktionieren...
Bis bald...
Der Boss der Kleinen Gruenen Maennchen
-
Hi Aurélien,
sorry, aber ist das ein Full Quote ohne etwas von dir, oder habe ich es nur überlesen?
Gruß,
Martin-
Hallo Martin!
sorry, aber ist das ein Full Quote ohne etwas von dir, oder habe ich es nur überlesen?
Du hast wohl 1 Satz überlesen ... der Erste ist von ihm ;-)
MfG
Götz
-
-
hi ucf-kiddies!
falls hinter diesem post wirklich mitglieder von ucf stecken sollten,
finde ich es ziehmlich peinlich was ihr hier veranstaltet!
bisher wurden alle wirklich guten ucf-proggis von alleine bekannt =)
wäre ich an netkings stellt und würde wissen wer sich hinter diesem
dähmlichen post verbirgt (...könnt ihr eigentlich mal posten...)
wärt ihr bestimmt nicht mehr lange members...
...auch wenn das tool wirklich gecoded worden sein sollte.*!@
cinn
-
Wartet doch erstmal ab was die jungs am Donnerstag posten! Das ist so typisch deutsch, daß alle wie die Geier über einen herfallen und erstmal alles zur Sau machen was sich bewegt.
-
......
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
... -
Hi,
[...] typisch deutsch [...]
Gassner's Law. You lose.
Cheatah
-
Wenn dir die Argumente fehlen, dann guck dir doch einfach mal diesen Thread an, es ist ein Prachtbeispiel für meine These. Und deine arroganten und unhöflichen Antworten ohne jede freundlichkeit durchweg im ganzem Forum könnte man in ener Soziologievorlesung als stereotypischen Verhaltensmuster darlegen.
Aber macht ja nichts...jeder ist wie Gott ihn geschaffen hat und das geschieht jedem Recht.Hi,
[...] typisch deutsch [...]
Gassner's Law. You lose.
Cheatah
-
Wenn dir die Argumente fehlen, dann guck dir doch einfach mal diesen Thread an, es ist ein Prachtbeispiel für meine These. Und deine arroganten und unhöflichen Antworten ohne jede freundlichkeit durchweg im ganzem Forum könnte man in ener Soziologievorlesung als stereotypischen Verhaltensmuster darlegen.
Aber macht ja nichts...jeder ist wie Gott ihn geschaffen hat und das geschieht jedem Recht.[...] typisch deutsch [...]
Gassner's Law. You lose.rotfl!! Seit ihr lustig, Leute!! ...und Cruz (wieso heisst du denn eigentlich Kreuz??), merkst du nicht dass du dich genauso verhaehlst... hehe, wie gesagt, macht weiter so, ist irgentwie sympatisch...
:o)
-
-
-
-
-
Vielleicht ist es unnütz, vielleicht auch nützlich. Wir die UNITED CRACKING FORCE haben es geschafft, ein gecryptetes Unixpassword wieder zu decodieren. Am Donnerstag bringen wir ein kleines Progi raus, wo ihr das gecryptete Password eingeben könnt und ihr bekommt in 2-3 Sekunden das decodierte Password. Und eine umgekehrte Methode, die das Passwort cryptet haben wir auch eingebaut.
Also, soweit ich weiss, werden die Verschluesselungen durch Einwegfunktionen realisiert. (Modulo etc...). Somit ist es mathematisch unmoeglich vom verschluesselten Text auf den Klartext zurueckzuschliessen, da die Funktionen nicht bijektiv sind. Die einzige Moeglichkeit, den Klartext zu bekommen, ist alle Woerter in einem Woerterbuch zu verschluessen, und mit dem Passworttext zu vergleichen. Das dauert aber bei einem guten Passwort (mit Zahlen, Sonderzeichen) *ziemlich* lange. Programme die so etwas machen gibt es schon seit Ewigkeiten und bringen bei einfachen Passwoertern auch gute Ergebnisse. Auf was bezieht sich die 2-3 Sekunden? Es macht natuerlich einen Unterschied, ob ich das Zuhause auf meiner alten Kiste mache, oder auf einem massiven Parallelrechner. Also Jungs, Fakten!
Gruss
Ulli Meybohm-
Hallo Ulli,
[ ... ]
selten habe ich mich in letzter Zeit so gefreut ein Posting zu lesen,
als jetzt eben im Moment. Nachdem ich das Forum jetzt wirklich schon
volle zwei Jahre kenne und nutze, sind viele gute Leute abgewandert
und neue kamen hinzu, aber gerade Du bist für viele doch eine sehr
wichtige Person im dt. Internet, was auch die Suche nach "meybohm"
im Forumsarchiv beweist, da erscheinen 235 Ergebnisse, wenn man be-
rücksichtigt, dass es bis jetzt nicht ein einziges Posting unter
diesem Namen gab, ist es doch ein recht beachtenswertes Suchergebnis ;)
Ich hoffe, dass Du jetzt öfter mal hier (in Deiner sicher knappen
Zeit) postest, nicht nur ich sondern sehr viele andere Forumsleser-
Innen würden sich riesig darüber freuen!Nach einen neuen Release Deines "etwas" bekannteren Programmes frage
ich an dieser Stelle nicht, schließlich war das letzte Release ein
schönes Geburtstagsgeschenk für mich, dankeschön dafür nochmal.Viele Grüße aus Dresden,
Stefan Einspender -
Hallo Ulli,
willkommen im Forum, es ist schoen, dich hier zu lesen.
Demnach bist du im Amiland jetzt endlich voll ausgestattet?
Duerfen wir hoffen, dich nun als regelmaessigen Stammgast hier zu sehen?Viele Gruesse
Stefan & Kess
-