Passwortwiederherstellung

Was ist Passwortwiederherstellung?

Ist Passwortwiederherstellung noch relevant?

🛜

Ist Passwortwiederherstellung noch relevant?

Microsoft said hackers working for the Russian government breached its corporate networks recently and stole email from executives and some employees to find out what the company knew about them. The tech company said the breach was not due to any flaw in its software, but rather began with a “password spraying.” The technique worked on what Microsoft said was an old test account, and the hackers then used the account’s privileges to get access to multiple streams of email.

—The Washington Post; Joseph Menn (January 19, 2024)

Ist Passwortwiederherstellung noch relevant?

Researchers Uncover How Outlook Vulnerability Could Leak Your NTLM Passwords

A now-patched security flaw in Microsoft Outlook could be exploited by threat actors to access NT LAN Manager (NTLM) v2 hashed passwords when opening a specially crafted file.

[...] Varonis security researcher Dolev Taler, who has been credited with discovering and reporting the bug, said NTLM hashes could be leaked by leveraging Windows Performance Analyzer (WPA) and Windows File Explorer. These two attack methods, however, remain unpatched.

"What makes this interesting is that WPA attempts to authenticate using NTLM v2 over the open web," Taler said.

—The Hacker News (Jan 29, 2024)

Wiederherstellung von Passwörtern mit unterschiedlicher Komplexität

Beurteilen Sie die Qualität der folgenden Passwörter in Hinblick darauf wie aufwändig es ist das Passwort wiederherzustellen:

1. Donaudampfschifffahrt

2. Passwort

3. ME01703138541

4. 2wsx3edc4rfv

5. Haus Maus

6. iluvu

7. Emily18

8. MuenchenHamburg2023!!!!

9. hjA223dn4fw"üäKßß k`≤-~ajsdk

10. Baum Lampe Haus Steak Eis Berg

11. password123

Quellen für Passwortkandidaten

• Wörterbücher

• Verzeichnisse (z. B. Postleitzahlen, Städte, Straßennamen)

• Leaks (Sammlungen von realen Passwörtern, die meist von Hackern veröffentlicht wurden.)

  • Rockyou

  • LinkedIn

  • Sony

  • etc.

Raum der Passwortkandidaten

• Eine vierstellige PIN: 10.000 mögliche Kombinationen.

• „Normales“ Passworte mit 8 Zeichen und 70 Zeichen im Zeichensatz (a-z, A-Z, 0-9 und ausgewählte Sonderzeichen): \(70^8 = 576.480.100.000.000\) Kombinationen.

• Eine einfache Passphrase mit 4 Wörtern aus einem Wörterbuch mit 100.000 Wörtern: \(100.000^4 = 10^{20}\) Kombinationen.

• Eine Passphrase mit 6 Wörtern aus einem Wörterbuch mit 2.000 Wörtern: \(2.000^6 = 64 \times 10 ^{18}\) Kombinationen.

• Ein komplexes Passwort mit 16 Zeichen und 84 Zeichen im Zeichensatz (a-z, A-Z, 0-9 und die meisten Sonderzeichen): \(84^{16} = 6,14 \times 10^{30}\) Kombinationen.

Hashfunktionen (Wiederholung)

• Eine Hashfunktion \(H\) akzeptiert eine beliebig lange Nachricht \(M\) als Eingabe und gibt einen Wert fixer Größe zurück: \(h = H(M)\).

• Eine Änderung eines beliebigen Bits in \(M\) sollte mit hoher Wahrscheinlichkeit zu einer Änderung des Hashwerts \(h\) führen.

• Kryptographische Hashfunktionen werden für die Speicherung von Passwörtern verwendet.

Kryptografische Hashfunktionen für Passworte

• Bekannte kryptografische Hash-Funktionen: MD4, MD5, SHA-256, SHA-512, RIPE-MD, ...

• Bekannte Funktion zur Schlüsselableitung: PBKDF2, ...

• Beim Hashing von Passwörtern werden die Basisalgorithmen in der Regel mehrfach (ggf. viele hunderttausend Male) angewendet, um die Laufzeit zu verlängern und es für Angreifer schwieriger zu machen.

• Mehrere Hash-Algorithmen/Schlüsselableitungsfunktionen wurden ausdrücklich für das Hashing von Passwörtern entwickelt, um gängigen Angriffen zu widerstehen. z. B. bcrypt, scrypt oder die Argon2 Familie.

• Einige dieser Algorithmen sind so rechenintensiv, dass sie nicht für Webanwendungen bzw. Situationen geeignet sind, in denen viele Benutzer gleichzeitig autorisiert werden müssen. Diese Algorithmen werden in der Regel zum Schutz von Dateien, Containern oder lokaler Festplatten verwendet.

Vom Salzen (Salt) ...

Vom Salzen (Salt)...

• Ein Salt sollte ausreichend lang sein (zum Beispiel 16 Zeichen oder 16 Byte).

• Ein Salt darf nicht wiederverwendet werden.

• Ein Salt wird am Anfang oder am Ende an das Passwort angehängt bevor selbiges gehasht wird.

• Ein Salt unterliegt (eigentlich) keinen Geheimhaltungsanforderungen.

... und Pfeffern (Pepper) von Passwörtern

• Wie ein Salt geht auch der Secret Key in den Hashvorgang des Passworts ein.

• Der Secret Key wird jedoch nicht mit den Hashwerten der Passworte gespeichert.

  • Ein Secret key kann zum Beispiel in einem Hardwaresicherheitsmodul (z. B. Secure Element oder TPM Chip) gespeichert werden.

  • Gel. wird der Secret Key bzw. ein Teil davon auch im Code gespeichert.

• Der Secret Key sollte zufällig sein.

• Wie ein Salt sollte auch auch Secret Key mind. 16 Byte lang sein. Um ein Brute-Force Angriff auf den Secret Key zu verhindern, sollte dem Angreifer zu einem Hash und Salt auch noch das Klartext Passwort bekannt sein.

• Der Secret Key sollte pro Instanziierung einer Anwendung einmalig sein.

Sichere Hashfunktionen für Passworte

• Argon2 (z. B. verwendete von LUKS2)

• bcrypt (basierend auf Blowfish)

• scrypt (z. B. ergänzend verwendet für das Hashing von Passwörtern auf Smartphones)

• yescrypt (z. B. moderne Linux Distributionen)

PBKDF2 (Password-Based Key Derivation Function 2)

• Dient der Ableitung eines Schlüssels aus einem Passwort.

• Das Ergebnis der Anwendung der PBKDF2 wird zusammen mit dem Salt und dem Iterationszähler für die anschließende Passwortverifizierung gespeichert.

• die \(PBKDF2\) Schlüsselableitungsfunktion hat 5 Parameter \(DK = PBKDF2(\)PRF, Password, Salt, c, dkLen\()\):

  PRF:

  eine Pseudozufallsfunktion; typischer Weise ein HMAC

  Password:

  das Masterpasswort

  Salt:

  der zu verwendende Salt

  c:

  Zähler für die Anzahl an Runden

  dkLen:

  die Bitlänge des abgeleiteten Schlüssels.

HMAC (Hash-based Message Authentication Code)

HMAC Computation in Python

Implementierung PBKDF2 mit einer Runde

import hashlib
pwd = b"MyPassword"
stretched_pwd = pwd + (64-len(pwd)) * b"\x00"

ikeypad = bytes(map(lambda x : x ^ 0x36 , stretched_pwd)) # xor with ipad
okeypad = bytes(map(lambda x : x ^ 0x5c , stretched_pwd)) # xor with opad

hash1 = hashlib.sha256(ikeypad+b"JustASalt"+b"\x00\x00\x00\x01").digest()
hmac  = hashlib.sha256(okeypad+hash1).digest()

hmac =
b'h\x88\xc2\xb6X\xb7\xcb\x9c\x90\xc2R...
  \x16\x87\x87\x0e\xad\xa1\xe1:9\xca'

import hashlib
import hmac

hash_hmac = hmac.new(
    b"MyPassword",
    b"JustASalt"+b"\x00\x00\x00\x01",
    hashlib.sha256).digest()

hash_hmac =
    b'h\x88\xc2\xb6X\xb7\xcb\x9c\x90\xc2R...
      \x16\x87\x87\x0e\xad\xa1\xe1:9\xca'

PBKDF2-HMAC

(HMAC = Hash-based Message Authentication Code)

Im Fall von PBKDF2 ist der Schlüssel \(K\) also das Passwort und die Nachricht \(M\) das Salz.

Beispielcode

from passlib.crypto.digest import pbkdf2_hmac
pbkdf2_hmac("sha256",
    secret=b"MyPassword",
    salt=b"JustASalt",
    rounds=1,   # a real value should be >> 500.000
    keylen=32 )

Bei einer Runde und passenden Blockgrößen ist das Ergebnis der PBKDF2 somit gleich mit der Berechnung des HMACs wenn der Salt um die Nummer des Blocks \x00\x00\x00\x01 ergänzt wurde.

Passwortwiederherstellung

1. Wissen wo/in welcher Form der Passworthash zu finden ist.

2. Extraktion des Hashes

3. Wiederherstellung des Passwortes durch das systematische Durchprobieren aller Kandidaten.

Beispiel - Wiederherstellung eines Linux Login Passwortes

~% sudo cat /etc/shadow
[...]
john:$6$zElzjLsMqi36JXWG$FX2Br1/[...]. ↩︎
RxAHnNCBsqiouWUz751crHodXxs0iqZfBt9j40l3G0:19425:0:99999:7:::
[...]

% echo -n '$6$zElzjLsMqi36JXWG$FX2Br1/[...]. ↩︎
RxAHnNCBsqiouWUz751crHodXxs0iqZfBt9j40l3G0' > hash.txt

% hashcat -m 1800 hash.txt -a 3 '?d?d?d?d?d?d'

Systematisches Testen aller Kandidaten

Konzeptionell führt die Software Hashcat die folgenden Schritte durch:

from passlib.hash import sha512_crypt

sha512_crypt.hash(
    "123456",
    salt="zElzjLsMqi36JXWG",
    rounds=5000)

Aufbau von Passworten

Von Menschen vergebene Passwörter basieren häufig auf Kombinationen von Wörtern aus den folgenden Kategorien:

• Pins: 1111, 1234, 123456, …

• Tastaturwanderungen (keyboard walks): asdfg, q2w3e4r5t, …

• Patterns: aaaaa, ababab, abcabcabc, …

• Reguläre Wörter aus Wörterbüchern: Duden, Webster, …

• Kontextinformationen:

  • Szenespezifisch: acab, szenetypischen Marken (z. B. Gucci, Ferrari), …

  • Privates Umfeld: Namen von Kindern, Eltern, Hunden, Geburtsort, Adresse, …

Häufige Passworte

Eine gute Quelle für das Studium von Passwörtern sind sogenannte Leaks oder auch Listen mit gängigen Passwörtern. Zum Beispiel Becker's Health IT 2023:

Herausforderung: Hashraten in MH/s auf aktueller Hardware

Herausforderung: Unmöglichkeit eines Brute-Force Angriffs auf Luks2

Herausforderung: Unmöglichkeit eines Brute-Force Angriffs auf lange Passworte

Herausforderung: stets neue Algorithmen

Angriff auf LUKS2 mit Argon2

[…] The choice of Argon2 as a KDF makes GPU acceleration impossible. As a result, you’ll be restricted to CPU-only attacks, which may be very slow or extremely slow depending on your CPU. To give an idea, you can try 2 (that’s right, two) passwords per second on a single Intel(R) Core(TM) i7-9700K CPU @ 3.60GHz. Modern CPUs will deliver a slightly better performance, but don’t expect a miracle: LUKS2 default KDF is deliberately made to resist attacks. […]

—Elcomsoft Luks2 with Argon2

Herausforderung: Passwortrichtlinien

Moderne Passwortrichtlinien (Password Policies) machen es unmöglich, ältere Leaks direkt zu nutzen.

Beispiele:

• Mindestanzahl von Zeichen (maximale Anzahl von Zeichen)

• Anforderungen an die Anzahl der Ziffern, Sonderzeichen, Groß- und Kleinbuchstaben

• Anforderungen an die Vielfalt der verwendeten Zeichen

• einige Passwörter (z. B. aus bekannten Leaks und Wörterbüchern) sind verboten

• ...

Die Struktur von Passwörtern verstehen

Die Zusammensetzung von Passwörtern verstehen

Der Effekt von Passwortrichtlinien auf Passwörter

Reale Passwortrichtlinie:

Nutze 1 Großbuchstabe, 1 Kleinbuchstabe, 2 Symbole, 2 Ziffern, 4 Buchstaben, 4 Nicht-Buchstaben

Aufbau von Passwörtern - Zusammenfassung

• Passwörter, die häufig eingegeben werden müssen, basieren in den allermeisten Fällen auf echten Wörtern.

• Echte Wörter werden oft nicht unverändert verwendet, sondern nach einfachen Regeln umgewandelt, z. B. durch Anhängen einer Zahl oder eines Sonderzeichens, Veränderung der Groß-/Kleinschreibung, etc.

Herausforderungen beim Testen/Generieren von Passwörtern

Aufgrund der Unmöglichkeit eines Brute-Force-Angriffs stellen sich folgende Herausforderungen:

• Verfügbare Kontextinformationen sollten in die Auswahl/Generierung einfließen.

• Es sollten nur technisch sinnvolle Passwörter getestet/generiert werden.

• Es sollten keine Duplikate getestet werden.

• Auswahl/Generierung von Passwörten in absteigender Wahrscheinlichkeit.

• Die Auswahl/Generierung sollte effizient sein.

Ansätze und Werkzeuge zum Generieren von Passwortlisten

• Grundlegende Werkzeuge zum vermischen von Wörtern (word mangling)

  • Prince

  • Markov-Modelle (OMEN)

  • Hashcat

  • ...

Markov-Ketten

OMEN lernt - zum Beispiel basierend auf Leaks - die Wahrscheinlichkeiten für das Aufeinanderfolgen von Bigrammen und Trigrammen und nutzt diese, um neue Passwortkandidaten zu generieren.

Password Cracking Using Probabilistic Context-Free Grammars [PCFG]

• Lernt die Muster, Worte, Ziffern und verwendeten Sonderzeichen basierend auf der Auswertung von realen Leaks. Die gelernte Grammatik wird als Schablone verwendet und aus Wörterbüchern befüllt. (Zum Beispiel: S → D1L3S2 → 1L3!! → 1luv!! )

• Generiert Passwortkandidaten mit absteigender Wahrscheinlichkeit.

• Prozeß:

  1. Vorverarbeitung, um die Basisstrukturen und deren Wahrscheinlichkeiten zu identifizieren (z. B. zwei Ziffern gefolgt von einem Sonderzeichen und 8 Buchstaben.)

  2. Passwortkandidatengenerierung unter Beachtung der Wahrscheinlichkeiten der Basisstrukturen und der Wahrscheinlichkeiten der Worte, Ziffern und Sonderzeichen.

     (In der Originalversion wurden die Wahrscheinlichkeiten von Worten nicht beachtet; die auf GitHub verfügbare Version enthält jedoch zahlreiche Verbesserungen.)`

PCFG - Analyse - Beispiel

PCFG - Generierung - Beispiel

PCFG+

Next Gen PCFG Password Cracking [NGPCFG]:

Unterstützt Tastaturwanderungen (zum Beispiel asdf oder qwerty12345) und Passworte bestehend aus mehrerern Worten und wiederholten Worten (zum Beispiel qpqpqpq).

On Practical Aspects of PCFG Password Cracking [PAofPCFG]:

Im Wesentlichen Performanceoptimierungen, um PCFG schneller zu machen.

Using personal information in targeted grammar-based probabilistic password attacks [PIandPCFG]:

Im Wesentlichen werden zwei PCFGs gewichtet zusammengeführt (0 < alpha < 1).

SePass: Semantic Password Guessing Using k-nn Similarity Search in Word Embeddings [SePass]

Zusätzliche Wortkandidaten werden mithilfe von Worteinbettungen identifiziert. Ermöglicht es verwandte Wörter automatisch zu finden.

Example

SePass: Semantic Password Guessing Using k-nn Similarity Search in Word Embeddings

Vermeidet menschliche Voreingenommenheit.

Example

SePass: Semantic Password Guessing Using k-nn Similarity Search in Word Embeddings

Vermeidet menschliche Voreingenommenheit.

Example

Bewertung von Passworten

Wörterbuchgenerierung - Evaluation von Werkzeugen

Quellen für Werkzeuge & Anleitungen

• Hashcat Tools

• John (the Ripper)

• Googeln

Relevante Linux Kommandozeilenwerkzeuge

• file dient der Ermittlung des Typs einer Datei.

• binwalk durchsucht Binärdateien in Hinblick auf das Vorkommen bekannter Muster (insbsondere Dateiheader, aber auch Kryptokonstanten etc.)

  -E kann zur Visualisierung der Entropie verwendet werden.

• dd kopiert Daten blockweise von einem Startpunkt in einer Datei in eine andere Datei. Wird ggf. zum Extrahieren von Hashes benötigt.

• xxd und hexdump erstellen beide einen Hexdump einer Datei.

Verschlüsselte PDF Dateien

Extraktion erfolgt (zum Beispiel) mit den John Tools:

$ pdf2john Document.pdf > Document.pdf.john
$ cat Document.pdf.john
Document.pdf:$pdf$4*4*128*-3392*1*16*861da8b9c1672ddc3953dee025
5d622d*32*301d0810078c5698ab17b286e2123070000000000000000000000
00000000000*32*c038ddb8fbdaeb67b6e80e2d936108fc851ff40c5b652c71
97bda4f797939532

Danach kann der Hash entweder direkt mit John angegriffen werden, oder nach dem Entfernen des Headers mit Hashcat.

$ pdf2john Document.pdf \
  | sed -E "s/^[^:]+://"        # Dateiname entfernen
  > Document.pdf.hashcat

Libreoffice Dateien

Extraktion des Basishashes erfolgt auch hier (zum Beispiel) mit den John Tools. Danach muss sowohl der Prefix als auch der Suffix, der für die Entschlüsselung nicht relevant ist, abgeschnitten werden, wenn im Folgenden Hashcat verwendet werden soll.

$ libreoffice2john Document.odt
  | sed -E -e 's/[^:]+://' -e 's/:::::[^:]+$//'
  > Document.odt.hashcat

Verschlüsselte Mac Disk Images (.dmg)

In diesem Fall hat nur John (the Ripper) Unterstützung für den konkreten Hash.

$ dmg2john Container.dmg > Container.dmg.john   # Extraktion

$ john Container.dmg.john \                     # Angriff
  --wordlist=/usr/share/wordlists/rockyou.txt

Verschlüsselter USB Stick (APFS Volume)

Es liegt ein normaler USB Stick vor auf dem eine Partition vom Typ Apple APFS ist.

Disk /dev/sda: 14.45 GiB, 15518924800 bytes, 30310400 sectors
Disk model: Flash Disk
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: gpt
Disk identifier: 1D63D8AE-7CBC-47BE-9093-8469B0786EAF

Device      Start      End  Sectors  Size Type
/dev/sda1      40   409639   409600  200M EFI System
/dev/sda2  409640 30310359 29900720 14.3G Apple APFS

Verschlüsselter USB Stick (APFS Volume)

1. Installation von apfs2hashcat (umfasst das Kompilieren der Sourcen)

2. Hash extrahieren durch Copy-and-Paste aus dem Logfile/der Konsole.

   $ sudo ./apfs-dump-quick \
     /dev/sda2 \   # /dev/sda2 ist die Ziel APFS Partition
     /tmp/log.txt

3. Hash angreifen

   $ hashcat -m 18300 fv2.hashcat \
     /usr/share/wordlists/rockyou.txt

Hashcat - Einführung

Hashcat ist – Stand 2024 – das Tool zum Wiederherstellen von Passwörtern.

Liest ein(e Liste von) Hash(es) ein und prüft, ob einer der angegebenen Passwortkandidaten nach dem Hashen mit einem gegeben Hash übereinstimmt.

• unterstützt über 350 Hash-Typen (mit einigen automatischen Erkennungen)

• unterstützt mehrere Angriffsmodi, z. B.,

  • Wörterbuch (ggf. mit Regeln)

  • Masken

  • Kombinationen aus Wörterbüchern und Masken

  • <Lesen von Passwortkandidaten aus stdin>

• Open-Source

• Kann zum Generieren von neuen Kandidaten verwendet werden.

• ist CUDA/OpenCL basiert und auf entsprechenden Grafikkarten extrem schnell.

Hashcat - relevante Parameter

-a0 Angriff mit Wörterbuch
    (ggf. mit Regeln -r)

-a1 Kombinationsangriff
    Angriff mit dem Kreuzprodukt
    zweier Wörterbücher.

-a3 Brute-force Angriff

-a6 Hybridangriff
    Wörterbuch und Maske

Hashcat - Ausgewählte Regeln (Teilweise John kompatibel)

Passwörter angreifen - Zusammenfassung

• Passwörter können vielfach effizient angegriffen werden.

• (gute bis exzellente) Kenntnisse über die Zielpersonen sind häufig notwendig.

• Viele Werkzeuge sind verfügbar (siehe auch Hashcat Werkzeuge, Princeprocessor, John the Ripper, etc.)

• Kleine etablierte Kommandozeilenwerkzeuge (tr, greb, sed, awk, ...) oder selbstentwickelte Werkzeuge (zum Beispiel in Python) sind häufig ergänzend notwendig und führen oft schneller zum Ziel als die Suche nach dem Tool.

• Insbesondere wenn es um die semantische Anreicherung von Wörterbüchern geht, dann sind (bisher) keine etablierten Werkzeuge vorhanden.

• Häufig führen nur Kombinationen von etablierten und eigenen Werkzeugen zum gewünschten Ziel.

Sichere Passwörter

• Nehmen Sie kein Passwort, dass 1:1 in einem Wörterbuch, Verzeichnis oder Leak (vgl. https://haveibeenpwned.com) vorkommt.

• Nehmen Sie keine Szenepasswörter (zum Beispiel: admin, root, acab, 1312, 88, ...).

• Je länger desto besser, aber keine trivialen Sätze.

• Wählen Sie ein Passwort, dass sie sich merken können. Kombinieren Sie z. B. Dinge aus Ihrem privaten Umfeld, die aber niemand direkt mit Ihnen in Verbindung bringen kann. (D. h. die Namen Ihrer Kinder, Haustiere, etc. sind keine gute Wahl, aber ggf. das Modell Ihres Fernsehers in Kombination mit einer Pin und dem Namen Ihres ersten Smartphones getrennt durch ein paar Sonderzeichen).

Literaturverzeichnis