Karmaları Kırma

Bir çalışma sırasında parola özetlerini genellikle veritabanlarından, yapılandırma dosyalarından veya bellek dökümlerinden elde edersiniz. Bunları kırmak, zayıf parolaları doğrular ve müşteri üzerindeki gerçek etkiyi gösterir.

Unutmayın: Özetleme tek yönlüdür. Bir özeti doğrudan tersine çeviremezsiniz. Bunun yerine girdileri tahmin eder, her tahmini özetler ve hedefle karşılaştırırsınız.

Kırma işleminden önce özeti hangi algoritmanın ürettiğini bilmeniz gerekir. İpuçları uzunluk ve biçimden gelir:

• 32 onaltılık karakter büyük olasılıkla MD5'tir.
• 40 onaltılık karakter büyük olasılıkla SHA-1'dir.
• 64 onaltılık karakter büyük olasılıkla SHA-256'dır.
• $2b$ ile başlaması bcrypt anlamına gelir; $argon2 ise Argon2 anlamına gelir.

Araçlar, tahminde bulunmanız gerekmemesi için özet tanımlamayı otomatikleştirir. hashid ve hash-identifier, biçimi analiz ederek olası algoritmaları önerir.

Çıktı, kırma aracınıza hangi mode numarasını geçirmeniz gerektiğini gösterir.

Sözlük (kelime listesi) saldırısı, listedeki her kelimeyi dener, her birini özetler ve karşılaştırır. Hızlıdır ve yaygın parolaları seçen çok sayıdaki kullanıcıyı yakalar.

Ünlü rockyou.txt kelime listesi, sızdırılmış milyonlarca gerçek parola içerir ve çoğu kırma işlemi için varsayılan başlangıç noktasıdır.

Kaba kuvvet saldırısı, olası tüm karakter birleşimlerini dener. Sonunda başarılı olması garanti olsa da maliyeti üstel olarak artar.

Bunu bir maske ile sınırlandırabilirsiniz: örneğin yalnızca küçük harfler ve rakamlardan oluşan tam 8 karakter. Parola politikasını bildiğinizde maskeler hedefli kaba kuvvet saldırılarını uygulanabilir hâle getirir.

İnsanlar temel kelimeleri öngörülebilir biçimde değiştirir: 'password', 'Password1!' hâline gelir. Kural tabanlı saldırılar, her kelime listesi girdisine dönüşümler (ilk harfi büyütme, yıl ekleme, harfleri rakamlarla değiştirme) uygular.

Bu yöntem, tam kaba kuvvetin maliyetine katlanmadan gerçekçi insan parolalarını yakalar. best64 kural kümesi, verimli ve popüler bir başlangıç noktasıdır.

hashcat, önde gelen GPU hızlandırmalı kırma aracıdır. Her algoritma için sayısal kip kodları ve bir saldırı kipi seçeneği kullanır (-a 0 sözlük, -a 3 kaba kuvvet).

GPU'lar, MD5 ve SHA gibi hızlı özetlerde hashcat'i CPU ile kırma işleminden çok daha hızlı hâle getirir.

John the Ripper, CPU üzerinde güçlü olan ve çok çeşitli biçimleri destekleyen başka bir klasik kırma aracıdır. Özet türünü çoğu zaman otomatik olarak algılar.

John, Linux'taki /etc/passwd ve /etc/shadow dosyalarını kırılabilir tek bir dosyada birleştiren unshadow gibi kullanışlı yardımcı araçlara sahiptir.

Kırma hızı büyük ölçüde algoritmaya bağlıdır:

• Bir GPU, saniyede milyarlarca MD5 tahmini deneyebilir.
• bcrypt veya Argon2, tasarımları gereği saniyede yalnızca birkaç bin tahmine izin verebilir.

Tuzlar ayrıca her özeti ayrı ayrı kırmaya zorlayarak gökkuşağı tablosu kısayolunu ortadan kaldırır. Savunma tarafının tuzlanmış ve yavaş özetler kullanmasının nedeni tam olarak budur.

Tuzlanmamış hızlı özetler için CrackStation gibi çevrim içi veritabanları önceden hesaplanmış aramalar barındırır ve yaygın özetleri çoğu zaman anında kırar.

Etik: Yalnızca test etme yetkiniz olan özetleri kırın. Gerçek kimlik bilgilerini izin almadan kırmak yasa dışıdır. Çalışmalarda kırılmış parolaları zayıf politikanın kanıtı olarak bildirin; bunları asla kötü amaçlarla yeniden kullanmayın.

Bir kırma işlemine saatler ayırmadan önce uygulanabilirliğini tahmin edin:

• Algoritma hızı: MD5 hızlı kırılır; bcrypt tasarımı gereği yavaştır.
• Parola karmaşıklığı: Uzunluk ve karakter kümesi, olası anahtar alanını katlanarak büyütür.
• Donanım: Güçlü bir GPU sistemi, dizüstü bilgisayar CPU'sunu açık ara geride bırakır.

Uzun ve rastgele bir parolaya sahip tuzlanmış bir bcrypt özetini kırmak yüzyıllar sürecekse kaba kuvvet uygulamak yerine başka saldırı yollarına yönelin.

Bir veritabanı dökümü ele geçirdiniz. En akıllıca ilk adımı belirleyin.

Özet kırma iş akışını öğrendiniz:

• hashid kullanarak algoritmayı uzunluğuna ve biçimine göre belirleyin.
• Saldırıları maliyetlerine göre sırayla uygulayın: önce sözlük, sonra kurallar, ardından maskeli kaba kuvvet.
• hashcat (GPU) ve John the Ripper (CPU, otomatik algılama) kullanın.
• Tuzlar ve yavaş özet algoritmaları (bcrypt, Argon2), kırma hızını büyük ölçüde düşürür.
• Her zaman yetkilendirme sınırları içinde kalın.

Bu bölümle Hackerlar için Kriptografi tamamlanıyor. Sıradaki modül: Anonimlik ve OPSEC.