Strumenti aiuta: prima volta a decifrare le password

Per quanto riguarda il tempo della prigione, finché il tuo contratto è efficace e ha protezione, puoi essere abbastanza sicuro in molti paesi. Nel Regno Unito facciamo un sacco di cose del genere, soprattutto controlli della forza della password. Non darò consigli legali, ma il tuo consulente legale dovrebbe conoscere la formulazione richiesta in un contratto per questo. Nel Regno Unito utilizziamo i termini Hold Harmless e la limitazione di responsabilità in modo tale che se rompiamo qualcosa mentre accediamo ai sistemi informatici non siamo ritenuti responsabili.

Tecnicamente, se conosci i requisiti di forza della password, saprai quale tipo di tabella o forza bruta hai bisogno di lavorare. Ad esempio se il tuo requisito di lunghezza minima è di 8 caratteri, avvia la forza bruta a 8 caratteri.

Se hai già coperto gli attacchi di forza bruta e dizionario, un tavolo arcobaleno potrebbe essere la tua unica opzione. Come dice @rook, ci sono alcuni posti liberi dove puoi averli. I più comuni, tuttavia, sono le tabelle a pagamento o lo scambio di tabelle, in cui si crea una nuova tabella in cambio del set totale finora.

La tua storia è strana. Perché i "proprietari dell'azienda" vogliono rompere le password? Quali potrebbero essere le circostanze che renderebbero tale sforzo appropriato (vale a dire moralmente accettabile, legalmente accettabile e adeguato per gli obiettivi perseguiti)? Il più vicino a cui riesco a pensare è se alcuni dati quali crittografati con una chiave derivata da password e il proprietario della password non sono disponibili o non cooperativi - e questo è uno scenario tra polizieschi e terroristi, non sospetto- scenario di frode. La mia capacità di individuare il buon senso, o la sua mancanza, è un formicolio pazzesco. C'è qualcosa di sospetto nella tua situazione.

Sento un'insolita quantità di paura per qualcosa di così banale come questa disputa commerciale.

La migliore spiegazione che posso fare è che i "proprietari dell'azienda" stanno lavorando per una "compagnia" che ha l'abitudine di non coinvolgere mai le forze dell'ordine nei suoi rapporti e di amministrare la giustizia in modo autonomo. Sei sicuro di voler lavorare per la Yakuza? Il tempo di prigione potrebbe diventare una preoccupazione secondaria, per quanto riguarda il mantenimento della capacità di contare fino a dieci.

Detto questo, gli hash delle password memorizzati in un sistema Windows dovrebbero usare l'hash NT , che è un semplice applicazione di MD4 tramite la password (codificata in little-endian UTF-16). Il più noto attacco preimage su MD4 è ancora solo teorico (sforzo in 2 ¹⁰⁴ , che è molto al di là della portata di Mankind in generale, la tua copertura in particolare), quindi tu sono tornati al metodo brutale di provare le potenziali password, possibilmente ottimizzate attraverso una tabella precalcata (arcobaleno o meno).

Con una buona GPU, potresti forse provare circa 10 miliardi di password al secondo. Puoi noleggiare hardware potente su Amazon Web Services . Se si considera la tabella Ophcrack di "Vista eightXL", si afferma che copre circa il 99% delle password di 8 caratteri, per un alfabeto di 95 caratteri (l'intero set di caratteri ASCII stampabile) - si tratta di una settimana di calcoli sulla GPU summenzionata. Ricostruire il tavolo arcobaleno stesso sarebbe stato fatto in due settimane. che vale 1000 $?

Di nuovo, la pesca trasuda sotto la porta e permea l'atmosfera.

Qual è la relazione tra la violazione della password di qualcuno e il controllo della sua frode? Se vuoi controllare la corrispondenza ufficiale di tale persona, non hai bisogno di spezzare la password per questo, ma se è usata per irrompere in account di posta privata ... come dal punto di vista etico differisce dall'abbattimento nella casa di qualcuno?

Tuttavia, per questioni legali, la tua domanda dovrebbe essere legalizzata. La relazione tra etica e legge varia. Ci sono paesi in cui puoi essere condannato per aver criticato la religione (il caso di Salman Rushdie). Ci sono, cosa è ancora più difficile immaginare, paesi in cui si può andare in prigione per stampare documenti (vedi il caso di Dmitry Sklyarov). Quindi non è possibile rispondere alla tua domanda senza indicare in quale paese stai operando. Nella Corea del Nord in Cina saresti legale finché lavori per il governo, in Europa qualcosa del genere ti renderebbe criminale nella maggior parte dei casi.

In Germania, ad esempio, anche l'accesso alle e-mail dei dipendenti archiviate sui server della società è consentito solo in circostanze specifiche. Vedi fg: link