HOW I BECAME A PASSWORD CRACKER? (A LA ESPAÑOLA)
GP6
Introducción a la Auditoría de Contraseñas Cuestiones de Evaluación. Autores: Enrique de la Hoz de la Hoz ( Iván Marsá Maestre Universidad de Alcalá
HOW I BECAME A PASSWORD CRACKER?
ÁREA DE INGENIERÍA TELEMÁTICA
HOW I BECAME A PASSWORD CRACKER? SEGURIDAD
INTRODUCCIÓN En el año 2013, el sitio web arstechnica (http://www.arstechnica.com) publicó un artículo que consiguió cierta notoriedad en Internet con el título ‘How I became a password cracker?’ (http://arstechnica.com/security/2013/03/how-i-became-a-password-cracker/1/ ). En este artículo, un redactor técnico realizaba una incursión en las herramientas para la auditoría de contraseñas para tratar de aprender cómo averiguan los investigadores de seguridad las contraseñas a partir de las distintas filtraciones de ficheros de claves.
OBJETIVOS Y REQUISITOS PREVIOS Objetivos de la Sesión El objetivo de esta sesión es usar ese artículo como hilo conductor para conocer los fundamentos de la auditoría de contraseñas. Para la realización de esta sesión necesitaremos: •
•
•
Un ordenador equipado con herramientas para la obtención de clave. Aunque podemos instalar muchas de estas herramientas tanto en Windows como en Mac OS X, la forma más sencilla de hacernos con un entorno preparado para esto es empleando la distribución Kali Linux. Uno o varios diccionarios: listados de palabras que nos sirvan como punto de partida para la auditoría. En la práctica de auditoría WiFi, generamos nuestros propios diccionarios desde cero. Aquí, partiremos de unos diccionarios base que adaptaremos a cada uno de los análisis que realicemos. El fichero de claves a auditar: un fichero que contenta las contraseñas que queramos obtener. Estas contraseñas habitualmente no se almacenan en claro sino que suele almacenarse el resultado de procesar la contraseña del usuario mediante alguna función basada habitualmente en funciones hash. Cuando tengamos un fichero de claves, lo primero que debemos tratar de determinar es en qué formato están almacenadas. Sin eso, estaremos dando palos de ciego.
El artículo comienza con la siguiente frase: ‘At the beginning of a sunny Monday morning earlier this month, I had never cracked a password. By the end of the day, I had cracked 8,000’. No sé si al final de esta sesión habremos encontrado 8.000 contraseñas pero al menos sí que habremos establecido las bases para poder encontrarlas.
Página 1
HOW I BECAME A PASSWORD CRACKER?
Herramientas Necesarias En el laboratorio, todos disponéis de una VM con Kali Linux. Recordamos una vez más que debéis usar el usuario ‘root’ con clave ‘toor’ (sin comillas ambas cosas). Podéis descargar una imagen de VM con Kali Linux preinstalado de aquí: https://www.offensivesecurity.com/kali-linux-vmware-arm-image-download/
¿QUÉ VAMOS A HACER? El artículo traza el siguiente plan de trabajo, que nosotros vamos a tratar de seguir: 1. Encontrar un fichero de contraseñas sobre el que trabajar. El objetivo es determinar la contraseña correspondiente al usuario a partir del valor almacenado en el fichero. 2. Seleccionar una herramienta o conjunto de herramientas con las que trabajar 3. Elegir un diccionario, lo suficientemente bueno como para que la búsqueda posterior sea exitosa 4. Lanzar la búsqueda sobre un ordenador sin características extraordinarias. Por ejemplo, no debería ser obligatorio disponer de un equipo con GPU. 5. Encontrar el mayor número de contraseñas posibles. En el peor de los casos, al menos una. En los siguientes apartados vamos a ir analizando cada uno de los puntos anteriores. Dado que en cada uno de los pasos hay muchos aspectos a tener en cuenta, intentaremos dejar algunos enlaces para que podáis seguir investigando por vuestra cuenta, más allá de los objetivos de la asignatura.
EL FICHERO DE CONTRASEÑAS ¿Qué es un Fichero de Contraseñas? El proceso de auditoría de contraseñas siempre parte del mismo punto: nos hemos hecho con un fichero de contraseñas. Podemos estar hablando de un fichero de contraseñas de los usuarios de un sistema operativo (/etc/shadow en Linux o el fichero SAM en Windows) o un fichero con las contraseñas de una determinada aplicación web. Cómo se consigue este fichero es otra historia que no vamos a cubrir aquí pero puede llegar a requerir comprometer el sistema objetivo o simplemente aprovechar descuidos en la medidas de control de acceso de un sistema físico. En cada línea, cada línea se corresponde con una contraseña y se le suele denominar comúnmente como hash, aunque en realidad no tenga por qué ser la salida de una función hash: puede ser la combinación de varias, una función basada en hashes criptográficos u otras posibilidades. Es muy importante tener en cuenta que cada sistema o aplicación empleará un formato distinto para el almacenamiento de las contraseñas. La tabla 1 muestra algunos formatos típicos empleados en distintos sistemas operativos y aplicaciones web. Algunas de las entradas hacen referencias a aplicaciones específicas y no a formatos de almacenamiento. La expresión $pass hace referencia a la contraseña y $salt a la sal asociada a esa entrada.
Página 2
HOW I BECAME A PASSWORD CRACKER?
Formatos de Hashes MD5 md5($pass.$salt) Joomla md5($salt.$pass) osCommerce, xt:Commerce md5(unicode($pass).$salt) md5($salt.unicode($pass)) HMAC-MD5 (key = $pass) HMAC-MD5 (key = $salt) SHA1 nsldap, SHA-1(Base64), Netscape LDAP SHA sha1($pass.$salt) nsldaps, SSHA-1(Base64), Netscape LDAP SSHA Oracle 11g sha1($salt.$pass) SMF > v1.1 OSX v10.4, v10.5, v10.6 sha1(unicode($pass).$salt) MSSQL(2000) MSSQL(2005) sha1($salt.unicode($pass)) EPiServer 6.x < v4 HMAC-SHA1 (key = $pass) HMAC-SHA1 (key = $salt) sha1(LinkedIn) MySQL phpass, MD5(Wordpress), MD5(phpBB3) md5crypt, MD5(Unix), FreeBSD MD5, Cisco-IOS MD5 MD4 NTLM Domain Cached Credentials, mscash SHA256 sha256($pass.$salt) sha256($salt.$pass) sha256(unicode($pass).$salt) sha256($salt.unicode($pass)) EPiServer 6.x > v4 HMAC-SHA256 (key = $pass) HMAC-SHA256 (key = $salt) descrypt, DES(Unix), Traditional DES
Pรกgina 3
HOW I BECAME A PASSWORD CRACKER?
Formatos de Hashes md5apr1, MD5(APR), Apache MD5 SHA512 sha512($pass.$salt) SSHA-512(Base64), LDAP {SSHA512} sha512($salt.$pass) OSX v10.7 sha512(unicode($pass).$salt) MSSQL(2012) sha512($salt.unicode($pass)) HMAC-SHA512 (key = $pass) HMAC-SHA512 (key = $salt) sha512crypt, SHA512(Unix) Domain Cached Credentials2, mscash2 Cisco-PIX MD5 WPA/WPA2 Double MD5 vBulletin < v3.8.5 vBulletin > v3.8.5 IPB2+, MyBB1.2+ LM Oracle 7-10g, DES(Oracle) bcrypt, Blowfish(OpenBSD) SHA-3(Keccak) Half MD5 Password Safe SHA-256 IKE-PSK MD5 IKE-PSK SHA1 NetNTLMv1-VANILLA / NetNTLMv1+ESS NetNTLMv2 Cisco-IOS SHA256 Samsung Android Password/PIN RipeMD160 Whirlpool AIX {smd5} AIX {ssha256} AIX {ssha512} 1Password AIX {ssha1} Lastpass GOST R 34.11-94
Pรกgina 4
HOW I BECAME A PASSWORD CRACKER?
Formatos de Hashes OSX v10.8 GRUB 2 sha256crypt, SHA256(Unix) Kerberos 5 AS-REQ Pre-Auth etype 23
Tabla 1: Algunos Formatos de Hashes (Fuente: https://hashcat.net/wiki/doku.php?id=oclhashcat) Por ’crackear un hash’ nos referimos a encontrar la contraseña que se corresponde con una línea concreta del fichero de contraseñas. En la clase de teoría habéis analizado el esfuerzo computacional necesario para encontrar una contraseña en distintos escenarios. Ese esfuerzo se medía en hashes. Esos hashes realmente se calculan siguiendo las fórmulas de la tabla anterior: cuanto más complejos sean, más ralentizaremos al posible atacante. Una buena práctica de diseño para proteger un fichero de contraseñas consiste en emplear hashes complejos como PBKDF2 (que ya hemos estudiado), bcrypt (https://en.wikipedia.org/wiki/Bcrypt ) o scrypt (https://en.wikipedia.org/wiki/Scrypt ). Por el contrario, es mala idea usar simplemente una función hash MD5, como hacía Ashley Madison (http://arstechnica.com/security/2015/09/once-seen-as-bulletproof-11million-ashley-madison-passwords-already-cracked/ ) por ejemplo, u otras funciones débiles como SHA1. En general, deberíamos emplear funciones con estructura iterativa que implicaran muchas iteraciones. Para saber más: Recomendaciones de OWASP sobre almacenamiento de contraseñas para aplicaciones web https://www.owasp.org/index.php/Password_Storage_Cheat_Sheet
Elección de un Fichero de Contraseñas Para la realización de la práctica, vamos a emplear un fichero de contraseñas que por su extensión (146 millones de contraseñas) se utiliza como referencia para las investigaciones de seguridad. Estos 146 millones de contraseñas provienen de distintas filtraciones, foros, etc. y no hay ninguna información personal asociada a las mismas: sólo son las contraseñas correspondientes con usuarios reales de distintas aplicaciones y entornos. El fichero tiene un tamaño (comprimido) de unos 2,5 GB y puede encontrarse en la siguiente URL: https://www.korelogic.com/InfoSecSouthwest2012_Ripe_Hashes.html. Para los propósitos de este laboratorio, se os proporciona una porción del mismo en vuestro directorio de usuario. Si descargáis el fichero, en primer lugar deberéis descomprimirlo. No es necesario hacer eso en el laboratorio porque ya está descomprimido. Tenéis todos los hashes en el directorio hashes/ . Ese fichero contiene hashes de distintas procedencias por lo que están separados por el formato que tienen. En este ejercicio trabajaremos con hashes MD5 que están contenidos en el fichero raw-md5.hashes.txt. Cada línea del fichero bajo estudio se corresponde con la expresión: MD5($pass) Es decir, este fichero de contraseñas no emplea sal, lo que lo hace especialmente fácil de abordar.
Página 5
HOW I BECAME A PASSWORD CRACKER?
Estos hashes son los que requieren menos esfuerzo computacional y además son el grupo más numeroso. Por estos dos motivos los hemos seleccionado. En el artículo, el redactor trabaja sobre un fichero que contiene 17.000 hashes. En nuestro caso, partimos de un fichero que contiene 147 millones. Es decir, aproximadamente 10.000 veces más grande. No podemos procesar un fichero tan grande.
Vosotros ya tenéis un fragmento manejable con el que trabajar. No obstante, si tuvieras que procesar ficheros de contraseñas tan gigantescos, lo razonable es dividirlo en trozos más pequeños. Para ello usaremos la orden split. split -l 3000000 raw-md5.hashes.txt part En el laboratorio, no tendréis que hacer esto, ya se os darán las porciones sobre las que trabajar. Una vez que ya hemos elegido el fichero de contraseñas, tenemos que elegir las herramientas que usaremos para atacar este fichero..
SELECCIÓN DE LA HERRAMIENTA Algunas de las Herramientas más Usadas Hay muchas herramientas que podemos emplear para analizar y obtener contraseñas a partir de un fichero de hashes. Dependiendo de la aplicación o SO que estemos auditando puede tener más sentido emplear una u otra. Por ejemplo, podríamos usar Cain & Abel si vamos a analizar un sistema Windows. Podéis ver un ejemplo de uso de esta herramienta en el siguiente enlace: http://null-byte.wonderhowto.com/how-to/hacklike-pro-grab-crack-encrypted-windows-passwords-0146679/ En Kali Linux podemos encontrar dos de las herramientas que más comúnmente se emplean para recuperar contraseñas: John the Ripper ( orden jtr, http://www.openwall.com/john/ ) y (ocl)hashcat (http://hashcat.net/hashcat/ ). Cualquiera de las dos herramientas podría ser una buena opción. Para esta actividad emplearemos hashcat u oclhashcat. Oclhashcat es la versión de hashcat preparada para ejecutarse sobre GPU. Se anuncia como la herramienta más eficiente. En la siguiente tabla, tomada de su sitio web, se muestran algunas estadísticas de su rendimiento en distintas configuraciones: Hash Type
PC1
PC2
PC3
PC4
MD5
8581 Mh/s
2753 Mh/s
115840 Mh/s
92672 Mh/s
SHA1
3037 Mh/s
655 Mh/s
37336 Mh/s
31552 Mh/s
SHA256
1122 Mh/s
355 Mh/s
14416 Mh/s
12288 Mh/s
SHA512
414 Mh/s
104 Mh/s
4976 Mh/s
4552 Mh/s
SHA-3(Keccak)
179 Mh/s
92 Mh/s
3400 Mh/s
2032 Mh/s
Página 6
HOW I BECAME A PASSWORD CRACKER?
RipeMD160
1810 Mh/s
623 Mh/s
23936 Mh/s
Whirlpool
65845 kh/s
85383 kh/s
1480000 kh/s
LM
1388 Mh/s
450 Mh/s
15616 Mh/s
NTLM
16916 Mh/s
4185 Mh/s
250360 Mh/s
NetNTLMv1
9108 Mh/s
2330 Mh/s
56448 Mh/s
NetNTLMv2
589 Mh/s
200 Mh/s
7944 Mh/s
WPA/WPA2
142 kh/s
48 kh/s
2096.
20016 Mh/s 1122304 kh/s 16392 Mh/s 175808 Mh/s 97800 Mh/s 6496 Mh/s
Kh/s
1536.
PC1: Windows 7, 32 bit Catalyst 14.9, 1x AMD hd7970 1000mhz core clock, oclHashcat v1.35 PC2: Windows 7, 64 bit ForceWare 347.52, 1x NVidia gtx580 stock core clock, oclHashcat v1.35 PC3: Ubuntu 14.04, 64 bit, ForceWare 346.29, 8x NVidia Titan X stock core clock, oclHashcat v1.36 PC4: Ubuntu 14.04, 64 bit Catalyst 14.9, 8x AMD R9 290X stock core clock, oclHashcat v1.3 Tabla 2: Rendimiento de oclhashcat en distintas configuraciones (Fuente: http://hashcat.net/oclhashcat/, Octubre 2015) En el laboratorio, al no disponer de las tarjetas gráficas necesarias, emplearemos hashcat, la versión que se ejecuta sobre CPU. Si queréis reproducir esto en vuestros equipos y disponéis de una GPU soportada, será interesante comprobar las diferencias en rendimiento. En el resto de la actividad, emplearemos hashcat. Tenéis un espléndido resumen de las opciones http://m0m3nt0.com/2014/09/hashcat-cheat-sheet-basic/
básicas
en
el
siguiente
enlace:
Tenéis muy buenos ejemplos de utilización de hashcat aquí: http://blog.thireus.com/cracking-story-how-icracked-over-122-million-sha1-and-md5-hashed-passwords Ahora este enlace no os será útil, pero guardadlo para más adelante. Para que una herramienta de este tipo sea realmente útil, necesitamos trabajar con diccionarios. El siguiente apartado se ocupará de la elección de un buen diccionario
ELECCIÓN DE UN DICCIONARIO Consideraciones Básicas a Tener en Cuenta Tal y como vimos en la sesión de auditoría de redes WiFi, a partir de cierta longitud de clave no es viable la realización de un ataque de fuerza bruta. Las auditorías de contraseñas las realizamos tomando como base un listado de palabras al que denominamos diccionario (en inglés se usa el término wordlist).
Página 7
Kh/s
HOW I BECAME A PASSWORD CRACKER?
El éxito de la auditoría depende muy directamente de la calidad del diccionario elegido. Los diccionarios deben estar adaptados al contexto de la auditoría que estemos realizando. Por ejemplo, si estamos haciendo una auditoría en España sobre una aplicación principalmente de ámbito nacional, tendría sentido emplear un diccionario que contuviera palabras y contraseñas empleadas en España. Hay muchos diccionarios disponibles en Internet. Estos diccionarios se van adaptando para contener aquellas elecciones de contraseñas más típicas por parte de los usuarios. Esta información se obtiene en muchas ocasiones de estudios sobre filtraciones de bases de datos de contraseñas. Así, casos como la filtración de Adobe, Linkedin o Ashley Madison han servido para conocer mejor las costumbres que tienen los usuarios a la hora de elegir contraseñas y aplicarlas para adaptar y mejorar los diccionarios existentes. En una auditoría, el diccionario es siempre el punto de partida. Es decir, no probaremos únicamente con las palabras contenidas en el diccionario sino que derivaremos contraseñas a partir de las palabras contenidas en nuestro diccionario mediante la aplicación de reglas (rules, en terminología de hashcat o jtr). Volveremos a esto más adelante. Hay muchos diccionarios disponibles en Internet y para vuestras auditorías os recomendamos que construyáis el vuestro propio. En la práctica usaremos el mismo diccionario que proponen en el artículo; se trata del diccionario con todos las contraseñas que se filtraron (¡¡en claro!!) tras el hackeo de Rockyou. En este incidente (podéis leer más aquí: http://techcrunch.com/2009/12/14/rockyou-hacked/) se filtraron un total de 32 millones de contraseñas. Todas las contraseñas se almacenaban en claro, esto es, sin pasarlas por un hash o una protección de cualquier tipo. Podéis descargar el fichero de la web https://wiki.skullsecurity.org/Passwords. El enlace está en la sección ‘Leaked Passwords’. Para saber más: Un enlace muy completo que además contiene enlaces a muchos diccionarios lo podéis encontrar en ‘Dictionaries + Wordlists’ http://blog.g0tmi1k.com/2011/06/dictionaries-wordlists/. Llegados a este punto ya tenemos el fichero de contraseñas sobre el que trabajar, las herramientas a usar y el diccionario que emplearemos. El siguiente paso ya es comenzar a trabajar para averiguar contraseñas.
BUSCAR (¿Y ENCONTRAR?) CONTRASEÑAS Estamos ya casi en condiciones de comenzar a descubrir contraseñas. Tenemos el fichero de contraseñas, la herramienta de búsqueda de contraseñas y un diccionario. Ahora sólo nos queda determinar qué estrategias es mejor emplear. Para conseguir obtener el mayor número de contraseñas posible, será necesario emplear distintas estrategias. Por estrategias, nos referimos a las distintas formas de utilizar y combinar el diccionario para generar el listado de palabras final que se verificará (calculando el hash) contra el fichero de contraseñas. A continuación os proponemos algunas estrategias. Conocéis algunas de ellas porque las hemos utilizado en la práctica anterior. Otras serán nuevas. Por supuesto, podéis emplear cualquier otra que veáis conveniente. Os proponemos un conjunto de estrategias de orden de complejidad creciente para atacar nuestro fichero de contraseñas. Cara a la evaluación, sólo os tendremos en cuenta la utilización de un ataque si sois capaces de:
Página 8
HOW I BECAME A PASSWORD CRACKER?
1. Poner un ejemplo justificado de una contraseña que se probará empleando este ataque 2. Estimar el esfuerzo máximo (en número de hashes) que se calcularán. Esto es equivalente a estimar el tamaño del fichero de palabras que se generará En caso de no saber responder a estas dos preguntas, entenderemos que no entendíais lo que estabais haciendo y no tendremos en cuenta los resultados que adjuntéis como resultado de la aplicación de ese ataque.
Fuerza Bruta (Mask Attack) En la práctica de auditoría WiFi, probábamos con todas las claves que respondían a un determinado patrón. Es decir, no estábamos haciendo fuerza bruta, sino que restringíamos la búsqueda. Esta estrategia en hashcat se llama ‘Mask Attack’ y se define de la siguiente forma: ‘Try all combinations from a given keyspace just like in Brute-Force attack, but more specific’ Tenéis toda la información sobre este ataque en el siguiente enlace: https://hashcat.net/wiki/doku.php?id=mask_attack
Ataque de Diccionario Si os fijáis bien, en el ataque anterior no estábamos empleando las palabras contenidas en nuestro diccionario. En su lugar, estábamos generando nuestro propio diccionario ‘al vuelo’ a partir de las instrucciones que dábamos en el patrón. La forma más básica de emplear un dicciones es emplear directamente cada una de las palabras del diccionario para hacer las pruebas. Recorreremos el diccionario palabra por palabra y comprobaremos si están o no en el diccionario. Se define este ataque de la siguiente forma: ‘The dictionary attack, or “straight mode,” is a very simple attack mode. It is also known as a “Wordlist attack”. All that is needed is to read line by line from a textfile (aka “dictionary” or “wordlist”) and try each line as a password candidate.’ Tenéis toda la información aquí: https://hashcat.net/wiki/doku.php?id=dictionary_attack
Ataque de Combinación (Combinator Attack) El ataque de combinación responde al intento de utilizar de forma más inteligente el diccionario del que disponemos. Si usamos un ataque de diccionario, podremos hacer tantas pruebas como palabras hay en el diccionario. Con total seguridad, nos quedarán muchas contraseñas sin averiguar dado que si la contraseña no coincide exactamente con la palabra del diccionario, no la encontraremos. Un primer paso podría consistir en combinar palabras, concatenarlas. Esto es lo que intenta el ataque de combinación. Este ataque podría, por ejemplo, encontrar la famosa clave de XKCD ‘batteryhorsestaple’ (para más información sobre este cómic, leer esto https://xkcd.com/936/ ), siempre y cuando las palabras ‘battery’, ‘horse’ y ‘staple’ estuvieran en el diccionario inicial. Página 9
HOW I BECAME A PASSWORD CRACKER?
Hashcat define el ataque de la siguiente forma: ‘Each word of a dictionary is appended to each word in a dictionary. Tenéis toda la información sobre este ataque aquí: https://hashcat.net/wiki/doku.php?id=combinator_attack
Ataque Híbrido En el ataque anterior, combinábamos palabras contenidas en el diccionario con palabras contenidas en el diccionario. Sin embargo, usando esa estrategia no podríamos encontrar combinaciones de palabras contenidas en el diccionario con otros conjuntos de caracteres como, por ejemplo, bloques de números (palabra + XXXX donde XXXX es un número de 4 dígitos). El ataque híbrido puede verse como un ataque de combinación en que combinamos palabras procedentes de un diccionario con otro diccionario que generaríamos al vuelo a partir de ataque de fuerza bruta (por ejemplo, todos los números de N dígitos, concatenaciones de letras) Hashcat define este ataque de la siguiente manera: Basically, the hybrid attack is just a Combinator attack. One side is simply a dictionary, the other is the result of aBrute-Force attack. In other words, the full Brute-Force keyspace is either appended or prepended to each of the words from the dictionary. That's why it's called “hybrid”. Alternatively you can use Mask attack or Rule-based attack to replace the Brute-Force side. Tenéis toda la información aquí: https://hashcat.net/wiki/doku.php?id=hybrid_attack
Ataque de Permutación El objetivo de este ataque es generar un nuevo listado de palabras a partir del listado inicial donde cada palabras del nuevo listado debe corresponderse con una permutación de las letras de la palabra inicial. Así, por cada palabra podremos generar varias permutaciones. Muchos usuarios hacen esto mismo para elegir sus contraseñas así que esta estrategia podría ser de éxito. Hashcat define el ataque como: Each word in a dictionary generates all permutations of itself. Tenéis toda la información aquí: https://hashcat.net/wiki/doku.php?id=permutation_attack
Ataque Basado en Reglas
Página 10
HOW I BECAME A PASSWORD CRACKER?
El ataque basado en reglas consiste en que definamos nuestras propias reglas para generar las palabras a usar a partir de el diccionario original. Es otra forma más de extender el listado original y probar con más posibilidades. Podemos aprender el lenguaje de definición de reglas y definirlas o usar reglas ya predefinidas y que podemos usar. Las reglas están en el directorio rules de hashcat (/usr/share/hashcat/rules/). Os recomendamos usar las reglas best64.rule y passwordspro.rule The rule-based attack is one of the most complicated of all the attack modes. The reason for this is very simple. The rule-based attack is like a programming language designed for password candidate generation. It has functions to modify, cut or extend words and has conditional operators to skip some, etc. That makes it the most flexible, accurate and efficient attack. Tenéis toda la información aquí: https://hashcat.net/wiki/doku.php?id=rule_based_attack
ENTREGA Y EVALUACIÓN Debéis entregar un documento de DOS páginas como máximo. El documento debería contener, al menos:
• •
Nombre, apellidos, puesto y cuenta de usuario. Datos técnicos: nombre del fichero analizado, herramienta o herramientas (hashcat) y diccionario o diccionarios usados. Un resumen ejecutivo: un párrafo en el que resumáis los logros más importantes que habéis alcanzado y los aspectos más relevantes de la auditoría. Aquí habría que incluir también un breve resumen por tipo de ataque con conclusiones sobre la eficiencia del uso de cada ataque Número de contraseñas obtenido, separado por tipo de ataque empleado. Un (breve) resumen técnico por cada estrategia (ataque) empleada. Indicad las órdenes usadas, explicando antes qué pretendíais conseguir. Incluid los tiempos de cálculo emplados. Os recuerdo que sólo se tendrán en cuenta los resultados de cada ataque si antes respondéis a las siguientes cuestiones: o Poner un ejemplo justificado de una contraseña que se probará empleando este ataque o Estimar el esfuerzo máximo (en número de hashes) que se calcularán. Esto es equivalente a estimar el tamaño del fichero de palabras que se generará
•
Un apartado con referencias (libros, enlaces, artículos…) que habéis usado como apoyo
• • •
Página 11