Пароли к Windows XP стали легкой добычей для самодельного кластера

Авторитетный специалист по информационной безопасности Джереми Госни (Jeremi Gosney), также известный под псевдонимом «epixoip», построил и продемонстрировал собственный самодельный кластер из пяти серверов. С помощью собственной утилиты HashCat автор смог взломать пароль к ОС Windows XP за шесть минут.

Работа нового кластера была показана на конференции Passwords^12 в г. Осло (Норвегия). Для написания распределенного алгоритма подбора паролей Госни применил язык программирования OpenCL, изначально предназначенный для параллельных вычислений на процессорах общего назначения и на графических процессорах. Вместе с языком OpenCL была применена платформа VCL (Virtual OpenCL). Вся эта программная связка вместе с утилитой HashCat запущена на комплексе из пяти серверов высотой 4U, в которых установлено 25 графических ускорителей AMD Radeon. Передачу данных между узлами кластера осуществляет коммутационная панель Infiniband с пропускной способностью 10 Гбит/с.

Кластер Госни предлагает новый уровень вскрытия паролей путем подбора и эффективно справляется даже с самыми сложными из них, если те шифруются такими слабыми алгоритмами, как в системах LM и NTLM компании Microsoft. В ходе проведенного теста кластер смог обрабатывать 348 миллиардов хэш-кодов к паролям NTLM в секунду. Взлом пароля осуществляется с помощью прямого перебора и словаря. Пароль к Windows XP из 14 символов, хэшированный по системе LM, был подобран всего за шесть минут. Как пояснил сам разработчик кластера, технология LM используется в среде WinXP и переводит все пароли длиной до 14 символов в символы верхнего регистра, а потом разбивает их на две строки по 7 символов перед хэшированием. В итоге для взлома в большинстве случаев нужно перебрать «всего» 69^7 комбинаций. Для паролей NTLM скорость перебора обеспечивает вскрытие любого пароля из 8 символов за 5,5 часов, сообщает soft.mail.ru.

На самом деле, системы вроде описываемого кластера не подходят для взлома в режиме онлайн – они более полезны для офлайн-атак, когда выполняется вскрытие шифрованной базы паролей, полученной в результате кражи или утечки. В таких случаях время взлома не имеет решающего значения, зато на первый план выходят аппаратные и программные ограничения. Кроме всего прочего, новый «самодельный» кластер из графических процессоров можно использовать для взлома более сложных алгоритмов хэширования. Так, перебор хэш-кодов MD5 выполняется на скорости 180 млрд попыток в секунду, SHA1 — 63 млрд в секунду. Так называемые алгоритмы «медленного хэширования» оказываются более устойчивыми: для алгоритма bcrypt (05) и sha512crypt скорость перебора составляет 71 000 и 364 000 попыток в секунду соответственно.

Как говорит сам разработчик нового кластера, сначала он пытался использовать кластеры из обычных процессоров, потом переключился на графические процессоры. Тем не менее, на начальной стадии решено было устанавливать максимальное число графических процессоров в каждый сервер, чтобы меньше заботиться о кластеризации и перераспределении нагрузки. В апреле этого года исследования зашли в тупик, поскольку кластеризованный гипервизор VMware не позволял создать виртуальную машину, охватывающую все узлы кластера. Госни хотел построить из пяти серверов по 8 процессоров в каждом одну виртуальную машину на 40 процессоров, но это было невозможно.

Трудности в кластеризации процессоров общего назначения привели Госни к пока малоизвестной платформе VCL и одному из ее создателей, профессору Амнону Бараку (Amnon Barak), который в 70-х годах прошлого века стоял у истоков распределенной операционной системы MOSIX. Профессора пришлось долго убеждать, что будущая система не ставит своей целью превращение мира в один большой ботнет. В итоге Барак согласился устранить некоторые недоработки технологии VCL, обеспечив простое и полностью автоматическое перераспределение нагрузки в кластере из графических процессоров. Теоретически технология VCL в нынешнем виде может обслуживать кластер из 128 графических процессоров AMD.

Стоит заметить, что Джереми Госни далеко не новичок в искусстве вскрытия паролей. Летом этого года, когда произошла утечка 6,4 млн шифрованных пользовательских паролей из сервиса Linkedin, Госни со своим коллегой стали одним из первых, кому удалось взломать их. По оценкам сторонних экспертов, им удалось подобрать 90-95 % из всех похищенных паролей.

Сейчас Госни собирается использовать свой кластер для коммерческих целей. В мире уже существует несколько сервисов, где за определенную плату можно проверить стойкость паролей. Кластер от Госни может стать еще одним из таких сервисов, где клиенты смогут либо арендовать машинное время, либо проводить проверочный взлом паролей. Также кластер может использоваться для платного аудита безопасности доменов. Как говорит сам автор: «Я слишком много вложил в этот проект, чтобы не попытаться получить какую-нибудь отдачу».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Инфосистемы Джет заключила соглашение о взаимодействии Jet CSIRT с НКЦКИ

Компания «Инфосистемы Джет» заключила соглашение о взаимодействии Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT с Национальным координационным центром по компьютерным инцидентам (НКЦКИ) для предоставления экспертных сервисов по организации взаимодействия с ГосСОПКА.

Ранее портфель услуг «Инфосистемы Джет» в части защиты объектов критической информационной инфраструктуры (КИИ) включал обследование и категорирование объектов КИИ, проектирование и внедрение средств защиты информации, разработку организационно-распорядительной документации и эксплуатацию систем безопасности. С получением Jet CSIRT статуса Корпоративного центра ГосСОПКА в этот список добавились экспертные сервисы по передаче данных об инцидентах ИБ регулятору. Теперь ИТ-компания сможет закрывать задачи заказчиков по обеспечению безопасности объектов КИИ и выполнению требований законодательства в этой области «под ключ».

Передача функций по взаимодействию с ГосСОПКА на аутсорсинг в «Инфосистемы Джет» позволяет компаниям сократить затраты на формирование и содержание штата ИБ-специалистов, не организовывать собственный канал передачи данных в НКЦКИ и сэкономить на выстраивании процессов категорирования, фильтрации и обработки киберинцидентов в объектах КИИ.

«Выбор Корпоративного центра ГосСОПКА для передачи данных об инцидентах ИБ регулятору не отменяет требований к наличию у заказчика ИБ-команды, однако позволяет снизить нагрузку на нее. Такую службу можно сформировать из минимального числа специалистов, которые будут только курировать работу сервис-провайдера и смогут фокусироваться на решении внутренних задач. Более того, за счет отказа от ночных дежурных смен ИБ-специалистов можно сократить затраты на ФОТ в 2-3 раза. Что касается оборудования и лицензий, то тут экономия может быть также кратной. При этом важно, что такой аутсорсинг позволяет повысить эффективность превентивных мер защиты, мер по детектированию и реагированию, поскольку указанными задачами занимаются специализированные эксперты с большим опытом», — прокомментировал Алексей Мальнев, руководитель Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».

Сведения об инцидентах в значимых объектах КИИ Jet CSIRT передает в ГосСОПКА круглосуточно — в течение 3 часов с момента их возникновения. В последующие 48 часов Центр также уведомляет НКЦКИ о принятых мерах по реагированию на атаку. В случае с незначимыми объектами КИИ оповещение о вредоносной активности происходит в течение 24 часов. 

Данные передаются в автоматическом режиме по защищенному каналу в соответствии с согласованным с заказчиком регламентом. Для исключения отправки в ГосСОПКА сведений о ложных срабатываниях средств защиты информацию дополнительно проверяют аналитики по мониторингу инцидентов ИБ. 

«Мы применяем системный подход к защите данных наших заказчиков: не только выполняем требования регуляторов в области ИБ, но и внедряем международные стандарты. Недавно мы получили подтверждение в виде Сертификата соответствия нашей Системы менеджмента ИБ требованиям международного стандарта ISO/IEC 27001:2013. Хочется отметить, что в России немногие ИТ-компании успешно проходят такую сертификацию, так как она предполагает детальный аудит всех внутренних процессов, проверку технологий и навыков команды», — добавил Алексей Мальнев.

Команда Jet CSIRT помогает владельцам объектов КИИ и в решении задач по реагированию на киберинциденты. В зависимости от выбранной опции (консультационное или техническое реагирование), эксперты могут предоставлять заказчикам точные инструкции по реагированию или реализовать весь процесс Incident Response собственными силами.

Комплекс услуг от «Инфосистемы Джет» по защите объектов КИИ «под ключ» будет востребован компаниями финансового сектора, предприятиями энергетики, горнодобывающей, металлургической и химической промышленности, а также другими организациями, на которые распространяется действие 187-ФЗ «О безопасности критической информационной инфраструктуры в РФ» и его подзаконных актов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru