Un investigador ha logrado descifrar 4.000 contraseñas de los usuarios de Ashley Madison, lo que demuestra lo importante que es elegir una contraseña segura. Los atacantes que lograron el mes pasado para robar una gran cantidad de datos de Ashley Madison, el sitio para los amantes.







Los datos fueron publicados la semana pasada en parte. Entre los datos robados también hubo 36 millones de hashes de contraseñas. Ashley Madison tenía las contraseñas qye no se almacenan en texto plano, pero si en forma de hash. Esto los hace no directamente legible, pero que puede ser descifrado.

Dean Pierce, ingeniero de seguridad de Linux en el gigante de los chips de Intel, los hashes de contraseñas terminaron con su máquina especial de crackear.

El invento de Pierce consta de 4 tarjetas de vídeo ATI R9 290

Para hashear las contraseña de Ashley Madison han utilizado el algoritmo bcrypt y también habían hecho uso de un "salt". Esto hace que sea mucho más difícil de crackear los hashes de contraseñas.

En un algoritmo más débil, como MD5, es posible tratar a millones de combinaciones de contraseñas por segundo. En el caso de los bcrypt los hashes llegó Pierce con su ordenador no ir más allá de 156 hashes por segundo.

Los experimentos también revelaron la magnitud del número de contraseña hashes problemática, por lo que podían cargar 6 millones de los 36 millones de hashes de contraseñas.

Para descifrar los hashes que utilizó el diccionario RockYou. RockYou es una empresa de desarrollo de widgets para los medios de comunicación social. En 2009 fue hackeado, dando a los atacantes más de 32 millones conseguido robar contraseñas. Estas contraseñas se almacenan en texto plano, y finalmente aparecieron en Internet. Desde entonces las contraseñas de RockYou ser utilizadas por muchos investigadores como el descifrado de contraseñas por defecto.

El comando utilizado fue

./oclHashcat32.bin -m3200 -a0 am2.txt rockyou.txt --force --weak-hash-threshold 0

Tiempo de crackeo

Pierce tuvo su potencia de la máquina durante cinco días, durante los cuales, finalmente, logró romper 4000 contraseñas. Eso equivale a 32.6 contraseñas crackeadas por hora. También mostró que hubo 1191 contraseñas únicas entre. La contraseña más común es "123456", que se produjo 202 veces. También mostró que 105 usuarios habían elegido el "password" contraseña. Pierce hizo un Top 20 de las contraseñas más comunes. La lista es muy similar a otras listas de contraseñas que se publican regularmente.



Según el investigador, es probablemente imposible de descifrar cada bcrypt contraseña, pero en el caso de Ashley Madison, finalmente, muchas contraseñas son anticuados de todos modos. Es en este caso especialmente para contraseñas débiles que se encuentran en muchos diccionarios, o simplemente a través de la fuerza bruta para recuperar la suya. Por lo tanto, en la lista de contraseñas de corto Pierce especialmente de menos de ocho caracteres.

Las 20 contraseñas más usadas:

123456 202
password 105
12345 99
qwerty 32
12345678 31
ashley 28
baseball 27
abc123 27
696969 23
111111 21
football 20
fuckyou 20
madison 20
asshole 19
superman 19
fuckme 19
hockey 19
123456789 19
hunter 18
harley 18 

Fuente:
http://www.pxdojo.net/2015/08/what-i-learned-from-cracking-4000.html