🚀 go-pugleaf

On Tue, 22 Jul 2003 22:20:52 +0000, Johan V. wrote:

> Uw commentaar hierop graag:
> 
> http://www.securityfocus.com/archive/1/330004/2003-07-19/2003-07-25/0

Een gelijkaardig documentje verscheen vandaag op ZDnet Belgie:
http://www.zdnet.be/techz.cfm?id=29010
Er is daar ook een discussie aan de gang.

Mijn reactie op het artikel van ZDnet:

1. Waarom brute-force als je een Windows paswoord op 1,2,3 kan resetten?

2. "De methode van het EPFL werkt enkel als de hacker beschikt over het
gecodeerde paswoord. Dat is enkel toegankelijk voor iemand die kan
inloggen als beheerder." Een beheerder dient altijd en overal aan te
kunnen, dus waarom heeft hij een paswoord van een gewone user nodig?

3. 4096 langer dan 13 seconden is 14,79 uur en dat is eigenlijk nog altijd
peanuts

(gemiddeld 5 seconden volgens het artikel uit jullie bron, betekend
gemiddeld 5 sec x 4096 = 20480 sec = 5.69 uur om een niet Windows based
systeem te kraken. Peanuts dus.

4. "Toch is de zwakke Windows-encryptie een probleem. Een aanvaller zou de
gecodeerde paswoorden op een onbewaakt moment kunnen bemachtigen en ze
later analyseren, of in een slecht beveiligde netwerkomgeving toegang
krijgen tot andere machines." Zie ook vorig antwoord + dit geldt tevens
voor lokaal opgeslagen linux paswoorden.

Greetz, barramundi...