🚀 go-pugleaf

¿cuanto tiempo tardas en sacar una password con autenticacion NTLM?... ¿se puede?..... :DDDDDD



-- 
Jose Manuel Tella Llop
MVP - Windows
jmtella@XXXcompuserve.com   (quitar XXX)
http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
         You assume all risk for your use. 



"josema" <jmgoiko@telefonica.net> wrote in message news:unap72-av7.ln1@blackhole.mikasa.net...
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
> 
> Ramon Jiménez escribió:
> |>En éso tienes razón, pero en muy pocos sitios se utilizan contraseñas de
> |>un solo uso, o sistemas como kerberos.  Lo normal, en la mayoía de las
> |
> |
> | No se en qué ámbito te moverás tú pero los clientes en los que yo he
> | trabajado existe politica de contraseñas (longitud minima, caducidad,
> | repetición, complejidad) además de sistemas de autentificación basados
> como
> | mínimo en NTLM...
> | Incluso permitiendo autentificación LM, y una vez capturados los
> Hash...el
> | tiempo necesario para descifrar la contraseña haría inviable utulizarla
> | porque sería muy superior al limite que obliga al usuario a cambiar su
> | contraseña...
> |
> | En definitiva, para entornos de pequeña y mediana empresa (sin
> generalizar
> | obviamente) donde los esfuerzos por implememntar políticas de
> seguridad no
> | se suelen tener en cuenta lo que comentas puede valer...
> |
> | Pero en entornos empresariales más o menos serios...siento decirte que
> no...
> | que esa aproximación no es válida en absoluto
> |
> 
> 
> Lo que tu dices es perfectamente posible, pero se da en pocos sitios.
> Las empresas pequeñas y medianas no pagan, en general, la licencia de un
> 2k3s.  Montan su red con xp y 2000, y lo que he descrito es
> perfectamente viable ahí.  En muchos sitios de la administración del
> estado, las cosas están exactamente igual.
> 
> En fin...que una cosa es la teoría y otra la práctica.  Yo he visto como
> se ha dejado un lophtcrack funcionando un par de dias en una red con w2k
> y wxp, y los resultados son sorprendentes.
> 
> ¿Por qué?  No lo sé.  No se si es por debilidad del protocolo, por
> desidia de los usuarios, por debilidad de las contraseñas o por qué.
> Pero funciona.
> 
> Evidentemente si incorporas otros sistemas de autentificación (kerberos,
> contraseñas de un solo uso, etc..), o configuras túneles cifrados (con
> ssh, por ejemplo) para las comunicaciones, no va a funcionar.
> 
> - --
> J.M. Goikoetxea
> 
> Clave pública GPG en:
> http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x52C0D5DD
> gpg --keyserver pgp.mit.edu --recv-keys 52C0D5DD
> fingerprint: B2A0 6908 C3D6 0FCD 0FF0 7447 57A4 D484 52C0 D5DD
> 
> 
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v1.2.6 (GNU/Linux)
> Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org
> 
> iD8DBQFBqfvQV6TUhFLA1d0RApUjAJ96a5aQzhn4C8IatrWRFMqzclqdYQCgxKqu
> t0yRLFmKkHcyi2gliwCIZos=
> =CzNo
> -----END PGP SIGNATURE-----