🚀 go-pugleaf

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Ramon Jim�nez escribi�:
|>En �so tienes raz�n, pero en muy pocos sitios se utilizan contrase�as de
|>un solo uso, o sistemas como kerberos.  Lo normal, en la mayo�a de las
|
|
| No se en qu� �mbito te mover�s t� pero los clientes en los que yo he
| trabajado existe politica de contrase�as (longitud minima, caducidad,
| repetici�n, complejidad) adem�s de sistemas de autentificaci�n basados
como
| m�nimo en NTLM...
| Incluso permitiendo autentificaci�n LM, y una vez capturados los
Hash...el
| tiempo necesario para descifrar la contrase�a har�a inviable utulizarla
| porque ser�a muy superior al limite que obliga al usuario a cambiar su
| contrase�a...
|
| En definitiva, para entornos de peque�a y mediana empresa (sin
generalizar
| obviamente) donde los esfuerzos por implememntar pol�ticas de
seguridad no
| se suelen tener en cuenta lo que comentas puede valer...
|
| Pero en entornos empresariales m�s o menos serios...siento decirte que
no...
| que esa aproximaci�n no es v�lida en absoluto
|


Lo que tu dices es perfectamente posible, pero se da en pocos sitios.
Las empresas peque�as y medianas no pagan, en general, la licencia de un
2k3s.  Montan su red con xp y 2000, y lo que he descrito es
perfectamente viable ah�.  En muchos sitios de la administraci�n del
estado, las cosas est�n exactamente igual.

En fin...que una cosa es la teor�a y otra la pr�ctica.  Yo he visto como
se ha dejado un lophtcrack funcionando un par de dias en una red con w2k
y wxp, y los resultados son sorprendentes.

�Por qu�?  No lo s�.  No se si es por debilidad del protocolo, por
desidia de los usuarios, por debilidad de las contrase�as o por qu�.
Pero funciona.

Evidentemente si incorporas otros sistemas de autentificaci�n (kerberos,
contrase�as de un solo uso, etc..), o configuras t�neles cifrados (con
ssh, por ejemplo) para las comunicaciones, no va a funcionar.

- --
J.M. Goikoetxea

Clave p�blica GPG en:
http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x52C0D5DD
gpg --keyserver pgp.mit.edu --recv-keys 52C0D5DD
fingerprint: B2A0 6908 C3D6 0FCD 0FF0 7447 57A4 D484 52C0 D5DD


-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQFBqfvQV6TUhFLA1d0RApUjAJ96a5aQzhn4C8IatrWRFMqzclqdYQCgxKqu
t0yRLFmKkHcyi2gliwCIZos=
=CzNo
-----END PGP SIGNATURE-----