© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 1 Passordknekking Vi forsøker å gjøre lokale windowspassord så sikre som mulig.

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 2 Testing/knekking av administratorbrukere. Vi kjører jevnlig innsamling av passordhashen fra lokale administratorkontoer (gjøres via daily) Disse kjøres det passordknekking på Bruker en dell 2650 med windows 2003 server Passordknekking med lophtcrack (noe john the ripper) Vi tester for dictionary crack, dictionary/brute hybrid crack og brute force crack LC4 har også funksjonalitet vi ikke bruker: sniffe logons på nettverket, distribuert knekking, hente hash fra remote maskin, mm

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 3 Testing/knekking av administratorbrukere. Brukere/maskiner med for svake passord blir gitt beskjed om å byttes til lokal IT. Vi finner av og til maskiner med administratorkontoer uten passord. Disse taes ned med en gang.

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 4 LM-hashen er et problem. Det er mye mye vanskeligere å knekke en NTLM- hash, enn en LM-hash. Det ble skrudd på lokal policy (XP-imaget) og domenepolicy i okt/nov(?) slik at LM-hash ikke lagres i lokal SAM-base. Mange eldre kontoer enn dette, bør byttes ut. Vil skje gradvis ved hhv passordbytte, reinstallasjoner og de vi knekker. Det er ikke mulig å bare slette LM-hashen fra direkte fra SAM-basen.

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 5 NTLM vs. LM Lan manager (LM) hash - deler passordet i hasher av 7 tegn | første 8 bytes i LM hash | andre 8 bytes i LM hash | hentet fra første 7 tegn hentet fra de 7 neste tegn - beregne alle kombinasjoner av 7 tegn er relativt enkelt og kan gjøres på de to halvdelene samtidig.. - ikke casesensitivt NT LAN Mangager (NTLM) hash - bruker hele 14 tegns hasher - NT4 har begrensing på 14 tegn i passord - casesenitivt NTLMv2 - W2K / XP støtter 127 tegns hasher

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 6 Mer om passord –bofh støtter kun 8 tegn (pga av kompabilitet med diverse OS, for eksempel HP-UX) –Lokale windowspassord har ingenting med bofh/cerebrum-passord å gjøre og kan ha egne regler for disse

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 7 Myter rundt passord NTLM og NTLM.v2 er trygge Dj#wP3M$c er et godt passord Alle passord kan knekkes Passord bør byttes hver 30 dag Passord bør aldri skrives ned Man kan ikke ha blanke tegn i passord

© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 8 Hvordan lage et godt passord Jo lenger, jo bedre Tenk passphrase i stedet for passord Bør inneholde: store/små bokstaver, tall, spesialtegn og gjerne norske tegn!