Mas de medio millon de Hashes MD5 y Sha1
Hace un tiempo liberé un sitio con una base de datos de Hashes en crecimiento, de la cual contaba con md5, md5 doble y sha1, la base de datos fue de apoco expandiendose, y en este último tiempo decidí agrandarla mas, y navengando encontre una programita en C para genrar disccionarios de passwords, e hice un par de diccionarios, desde (00000 a 99999) a (aaaa a zzzz) y de 5 cifras (este último no lo termino del todo), obviamente con mayus y minusculas, asi que el diccionario crecio de manera considerable, otra cosa es cargue varios diccionarios de contraseñas comunes en cuentas de hotmail (no me pregunten de donde los conseguí, jeje) y demas, asi que actualmente ya cuenta con mas de 5.800.000 palabras en la base de datos con sus hashes en md5 , sha1 y demas.
El sitio en cuestion es: http://hash.exodica.com.ar/
Ahí podran subir archivos con hashes o pedir una individualmene, corre en un MySQL con fulltext y la verdad que va bastante bien.
Rompiendo contraseñas con la placa de video :-) (GPU)
Todos sabemos que los microporcesadores de las placas de videos (GPU), estan preraros para muchas operaciones matematicas logicas muy complejas. Todabia no se utiliza mucho todo el pontencial del GPU en una PC (Por lo menos Compiz si lo hace), hasta que me entero por esta nota de kriptopolis, un nuevo método para romper contraseñas.
Trabando distribuidamente y usando el CPU y el GPU del equipo, y con principal enfasis en contraseñas de Windows NT, XP, 2000, 2003, Vista y los hashes MD5 este software, puede alcanzar altas velocidades:
El resultado parece impresionante, ya que el sistema es capaz de explorar hasta 1.000 millones de contraseñas por segundo. Sin llegar a tanto, y sólo para hacernos una idea, mientras un Core2Duo es capaz de probar 200 contraseñas por segundo, la adición al sistema de una simple GeForce GTX260 logra elevar la cifra hasta las 5.000 contraseñas por segundo...
Verdaderamente increible, igual me parece medio exagerado, podrán llegar a 1 billon de contraseñas por segundo[ingles] ?
Tuneles SSH
He aqui una de mis cosas favoritas del OpenSSH, o simplemente SSH
(Secure SHell).
Bueno capas que muchos tiene un consepto.. no errado pero si muy pobre de los que es el ssh, muchos creen que solo es una especie de entrada a usar una PC remota por una consola
, y que si o si siempre tiene ejecutar un bash apenas nos conectamos xD
Pero sabiendo el verdadero significado de shell: (concha, xD), una shell es una capa entre el sistema operativo y algo, eso puede ser un humano o un programa.
Si bien ssh trabaja con los usuarios del sistema, no es solo para editar un virtual en un server en produccion, puede ser util para muchas cosas, y la ventaja de este que es seguro (SECURE shell), usando juegos de llaves DSA y RSA para certificar y encriptar los datos.
Se pueden hacer tuneles TCP/IP, esto es, crear un tunel desde una PC con un cliente ssh (ssh, putty, etc) y un equipo con sshd (ssh-server), este tunel es manejado por esta SHELL (capa o interfaz/interface), pero para la conexion esto es transparente... osea..
[MAQUINA LOCAL puerto 300:-ssh]---------------------
le decimos que el ssh habra un puerto local (300) y haga un puente con el 300 de la maquina remota, esta se conectara al sshd remoto (puerto 22) y le dira al sshd que se conecte al puerto 300. Alla hay un cliente local conectandose al puerto 300, y aca hay un servicio abriendo un puerto local, para la aplicacion que trabaja con esto es totalmente transparente, pero para la comunicacion no, hay una encriptacion de los datos en vivo.
Supongamos que un programa le manda un HOLA a otro:
[PC 1 HOLA ] -----------> HOLA -----------> [PC 2]
la informacion viaja en plano y la comunicacion puede ser sniffeada o spoffeada falsificando conexiones, paquetes y etc... Ahora el puente
[PC1 HOLA --> () SSH ) ---------~jEoi8SaiO-------> [() SSHD ) -> HOLA PC 2]
La clave DSA sertifica por medio de una firma digital que ese HOLA vino de PC 1, y aparte encripta los datos para que otra PC no pueda ver que se envia, a [PC 3] por ejemplo ~jEoi8SaiO no le va a servir de nada si no tiene la llave privada para desencriptarlo (RSA).
Ahora al asunto practico, abrimos un puerto ssh y lo redirigimos... (con ssh)
ssh -N -L 300:127.0.0.1:300 server.com
aca creariamos abririamos un puerto local (300) el cual ssh tunealearia* al sshd de server.com y este a la vez al puerto 300 local.
Pero supongamos que tenemos un server WEB y un server Mysql, solo el web tiene salida a internet,asi que seria algo asi:
[PC] ------------------------------
190.54.233.176
no nos podemos conectar al server de mysql directo, pero el servidor web si, asi que se lo pedimos:
ssh -N -L 5000:192.168.1.2:3306 server.com
eso lo que le dice al sshd (server.com) es que nos concete al 3306 (mysql) de 192.168.1.2 (la ip interna del server mysql), de esa forma no solo nos sirve para asegurara la cominicacion, sino que tambien sirve paraconectarnos a maquinas que esten en el la red interna y no con acceso directo a nosotros, saltandonos firewalls, y demas.
Con el cliente de MySql no conecteriamos
mysql -u usuario -h localhost -P 5000 -p
Y es como conectarnos de alla (usuario@localhost).
Obviamente si deseamos que nuestros usuarios creen tuneles hay opciones, en /etc/ssh/sshd_config (en linux, en otros SO unix no sé)
AllowTcpForwarding yes
#X11Forwarding no
Con eso se puede desabilitar/habilitar el fordwardeo de puertos y el de interface gráfica (X11).
Hilo de discucion en GeeX: http://groups.google.com/group/unigeex/browse_thread/thread/cfe8b71f0483b1a4
El hombre que podría enloquecer al mundo
HUGO SCOLNIK, Matemático, Criptografo y Destructor de claves de seguridad. Suele dictar conferencias en universidades e institutos de medio mundo y fue premio Konex en 2003. Desde 2005 se dedica a una investigación que podría poner los pelos de punta en los sistemas de seguridad: desde las operaciones bancarias hasta los gobiernos; desde el uso de la firma digital hasta el de la tarjeta de crédito y las transacciones seguras por Internet. Lo que el matemático Argentino está a punto de develar es el modo de quebrar ciertas claves hipercomplejas que protegen casi todo lo que circula en las redes de la información global.
La criptografía, históricamente utilizada en la guerra, actualmente se emplea para resguardar la privacidad de mensajes y códigos.
El asunto es que en algún lugar de la facultad de Ciencias Exactas Hugo Scolnik está a punto de dar con el método que acabe con la seguridad de los sistemas.
Reconocido mundialmente, el matemático argentino se dedica a investigar la factorización de números gigantes, tanto que superan las 300 cifras. Licenciado en Ciencias Matemáticas de la UBA (1964) y Doctor en Matemática por la Universidad de Zurich (1970), sus campos de investigación son Criptografía, Robótica, Optimización No Lineal, modelos matemáticos y métodos numéricos. Asesor en seguridad informática, desde 2005 Scolnik trabaja en la investigación de un método de factorización que, de dar resultado, permitiría descifrar cualquier clave RSA –considerado el sistema criptográfico más seguro del mundo– en un tiempo breve.
Factorizar significa descomponer una expresión matemática en los factores que la componen. Factorizar el número 100, por ejemplo, da como resultado 2, 2, 5, 5. Esto es: 2.2.5.5= 100. Sin embargo, con números gigantes como los que se utilizan en RSA, la cantidad de cálculos que se requieren hace que sea impracticable.
–Con los métodos tradicionales –ilustra Scolnik–, intentar factorizar una clave de las normales RSA llevaría unos 300 millones de años.
Las claves RSA avanzan en complejidad con un número que indica la longitud en números decimales, por ejemplo RSA 160, RSA200, RSA 576, RSA 1024, RSA 2048.
–Si Scolnik logra su objetivo, las empresas deberían cambiar sus sistemas de cifrado, lo que puede suponer un cambio de software y hardware. El RSA es usado como sistema mayoritario para el cifrado asimétrico en todo el mundo, en las infraestructuras de clave pública, en los documentos de identidad electrónicos y en comunicaciones seguras a través de internet. Actualmente, todo el mundo usa sistemas de cifra en su vida cotidiana, por lo que el problema es global. Es evidente que tanto los bancos como organismos gubernamentales tendrían que adaptar sus sistemas y esto costaria una suma de dinero inimaginable.
Desde el Departamento de Computación de la Facultad de Ciencias Exactas, Scolnik dice estar en una última etapa de su trabajo:
–En ámbitos especializados ya se está hablando de que las RSA 1024 podrían caer...
–Sí. Pero las compañías financieras grandes usan RSA 2048.
En general, por ejemplo, en la Argentina, en el caso de las Fuerzas Armadas, estamos hablando de 4096. Y hay software de hasta 8192. Lo que pasa es que el tipo de método que esta investigando, si llega a dar resultado, va a funcionar para cualquier longitud. No va a tener una traba. Entonces, pasar de 1024 a la 2048 no va remediar la situación. El problema va a ser para el método de las RSA. Lo sabremos dentro de un tiempo.
Segun mi opinion, si esto resulta ser del todo cierto y este matematico argentino llega a estar cerca de hacer este descubrimiento, los grandes grupos economicos se van a encargar de hacerlo desaparecer de la faz de la tierra, como ya lo hiceron con aquellos que desarrollaban metodos de energia alternativa o de motores que no dependieran del combustible fosil.
Publicado por: King (Mariano Calvo) - Rch.com.ar
Fuente: Criticadigital.com
