Ekki láta sæta nafnið bjána þig, þetta er skelfilegt.
Þó að þú gætir hugsað um Rainbow Tables sem sveigjanleg húsgögn, þá eru þær ekki þær sem við ætlum að ræða. Rainbow töflurnar sem við erum að tala um eru notaðir til að sprunga lykilorð og eru enn eitt tól í sífellt vaxandi vopnabúrinu.
Hvað er það með Rainbow Tables? Hvernig gæti eitthvað með svona sætu og kjánalega nafn verið svo skaðlegt?
Grunnhugtökin á bak við Rainbow töflurnar
Ég er slæmur strákur sem hefur bara tengt þumalfingur í miðlara eða vinnustöð, endurræsið það og keyrt forrit sem afritar öryggis gagnagrunninn sem inniheldur notendanöfn og lykilorð til minnislykilsins.
Lykilorðin í skránni eru dulkóðuð svo ég geti ekki lesið þau. Ég þarf að sprunga lykilorðin í skránni (eða að minnsta kosti stjórnandi lykilorðinu) svo að ég geti notað þau til að fá aðgang að kerfinu.
Hverjir eru kostirnir fyrir sprunga lykilorð? Ég get reynt að nota brotafyrir lykilorð sprunga program eins og John the Ripper, sem pundar burt á lykilorðinu skrá, reyna að hugleiða ítrekað allar mögulegar samsetningar af lykilorði. Hin valkostur er að hlaða lykilorð sprunga orðabók sem inniheldur hundruð þúsunda algengra lykilorð og sjá hvort það gerist einhverjar niðurstöður. Þessar aðferðir geta tekið vikur, mánuði eða jafnvel ár ef lykilorðin eru nógu sterk.
Þegar lykilorð er "reynt" gegn kerfi er það "hashed" með dulkóðun þannig að raunverulegt lykilorð sé aldrei sent í skýrum texta yfir fjarskiptanetið. Þetta kemur í veg fyrir að eavesdroppers taki upp lykilorðið. Lykilorðið á lykilorði lítur venjulega út eins og fullt af rusli og er yfirleitt öðruvísi en upphafleg lykilorð. Lykilorðið þitt gæti verið "shitzu" en kjötið á lykilorðinu þínu myndi líta út eins og "7378347eedbfdd761619451949225ec1".
Til að sannreyna notanda tekur kerfið kjötkássgildi sem búin er til með lykilhöggunaraðgerðum á viðskiptavinar tölvunni og samanstendur af því við kjötkáskildið sem geymt er í töflu á þjóninum. Ef kjötið passar, þá er notandinn staðfestur og veittur aðgang.
Hashing lykilorð er 1-vegur aðgerð, sem þýðir að þú getur ekki úrkóða kjötkássinn til að sjá hvað skýra texta lykilorðsins er. Það er engin lykill að afkóða kjötkássa þegar það er búið til. Það er engin "afkóðarhringur" ef þú vilt.
Lykilorð sprunga forrit vinna á svipaðan hátt og innskráningarferlið. The sprunga program byrjar með því að taka plaintext lykilorð, keyra þá í gegnum hash reiknirit, svo sem MD5, og þá bera saman kjötkássa framleiðsla með kjötkássa í stolið lykilorð skrá. Ef það finnur samsvörun þá hefur forritið klikkað lykilorðið. Eins og áður sagði, getur þetta ferli tekið mjög langan tíma.
Sláðu inn Rainbow töflurnar
Rainbow töflur eru í grundvallaratriðum stórum settum af precomputed töflum fyllt með kjötkássa gildi sem eru fyrirfram samsvörun við mögulegar plaintext lykilorð. Rainbow töflurnar leyfa í raun tölvusnápur að snúa höggunaraðgerðinni til að ákvarða hvaða lykilorð lykilorðið gæti verið. Það er mögulegt fyrir tvær mismunandi lykilorð til að leiða til sömu kjötkássa svo það er ekki mikilvægt að finna út hvað upphaflega lykilorðið var, eins lengi og það hefur sama kjötkássa. Slökkt lykilorðið getur ekki einu sinni verið það sama lykilorð sem notandinn bjó til, en svo lengi sem kjötið er passað þá skiptir það ekki máli hvað upphaflega lykilorðið var.
Notkun Rainbow Tables leyfa lykilorð að vera klikkaður á mjög stuttan tíma miðað við brute-force aðferðir, en afgangur er að það tekur mikið af geymslu (stundum Terabytes) til að halda Rainbow töflurnar sjálfir, Bílskúr þessa dagana er nóg og ódýr þannig að þetta afgreiðsla er ekki eins mikil samningur eins og það var fyrir áratug síðan þegar terabyte diska voru ekki eitthvað sem þú gætir tekið upp á staðnum Best Buy.
Tölvusnápur geta keypt fyrirframbúnar Rainbow töflur til að sprunga lykilorð við viðkvæmar stýrikerfi eins og Windows XP, Vista, Windows 7 og forrit sem nota MD5 og SHA1 sem lykilháttarferli lykilorðsins (margir forritarar nota ennþá þessar hestarreiknirit).
Hvernig á að vernda þig gegn Rainbow Tables-undirstaða Lykilorð Árás
Við óskum þess að það væri betra ráð um þetta fyrir alla. Okkur langar til að segja að sterkari lykilorð myndi hjálpa, en þetta er ekki raunverulega satt vegna þess að það er ekki veikleiki lykilorðsins sem er vandamálið, það er veikleiki í tengslum við hakkunaraðgerðina sem notuð er til að dulkóða lykilorð.
Besta ráðin sem við getum veitt notendum er að vera í burtu frá vefforritum sem takmarka lykilorðið þitt við stuttan fjölda stafa. Þetta er skýrt merki um viðkvæmar reglur um gömlu skólann lykilorð auðkenningar. Lengra lykilorð lengd og flókið getur hjálpað svolítið, en er ekki tryggt eyðublað. Því lengur sem lykilorðið þitt er, því stærri sem Rainbow Tables þyrfti að vera að sprunga það, en tölvusnápur með fullt af úrræðum getur enn náð þessu.
Ráð okkar um hvernig á að verja gegn Rainbow Tables er í raun ætlað fyrir forritara og kerfisstjóra. Þeir eru á framhliðum þegar kemur að því að vernda notendur gegn þessari tegund af árásum.
Hér eru nokkrar framkvæmdarráðleggingar um að verja gegn Rainbow Tafla árásum:
- Ekki nota MD5 eða SHA1 í lykilháttaraðgerð lykilorðsins. MD5 og SHA1 eru gamaldags lykilorðahraðarreiknirit og flest regnbogatöflur sem notaðir eru til að sprunga lykilorð eru byggð til að miða á forrit og kerfi sem nota þessar hylkjunaraðferðir. Íhuga að nota fleiri nútíma hylkjunaraðferðir eins og SHA2.
- Notaðu dulmáls "Salt" í lykilorðinu þínu. Ef þú bætir dulmáls Salt við lykilorðið þitt mun það hjálpa til við að nota Rainbow töflur sem notaðir eru til að sprunga lykilorð í umsókn þinni. Til að sjá dæmi um hvernig á að nota dulmálsaltið til að hjálpa "Rainbow-Proof" umsóknina skaltu skoða vefinn WebMasters By Design, sem hefur mikla grein um efnið.
Ef þú vilt sjá hvernig tölvusnápur framkvæma lykilorð árás með Rainbow Tables, getur þú lesið þessa frábæra grein um hvernig á að nota þessar aðferðir til að endurheimta eigin lykilorð.