Пароль - слово секретное

Тема восстановления паролей слишком широка для небольшой заметки, поэтому,  зная что нельзя объять необъятное, остановлюсь только на случаях типичных для рядового пользователя ПК. Пароль секретное слово, знание которого  дает доступ к защищаемому ресурсу. Причем трактовка понятия ресурс может быть весьма широка - от файлового архива, зашифрованного с помощью  пароля, до компьютеров домена, доступ к которым пользователь получает, предъявив правильный логин и пароль. Рассказывая о программах, помогающих вспомнить забытый пароль, исхожу из предположения, что пользователь пытается получить свой собственный забытый пароль. Инструменты, о которых будет рассказано, может использовать и хакер, пожелавший добраться до чужих тайн, однако такие инструменты  для него в большинстве случаев не самый лучший вариант. Для пользователя, забывшего пароль, задача сводится только к его получению. Перед хакером, интересующимся закрытой информацией,  стоит задача несколько иная и более широкая - обычно он ищет уязвимость, знание которой позволяет получить контроль над чужим компьютером.  Пусть пользователь Вася постоянно архивирует свои файлы в zip архив с помощью "суперпароля" - parol. Если он его забыл, то вариантов  только два или  подумать и  вспомнить или воспользоваться программой взлома пароля. Программы для это цели можно без труда можно найти в Сети. Например, AZPR http://www.passwords.ru/azpr.html Advanced ZIP Password Recovery - программа для восстановления забытых паролей к архивам, созданных архиваторами ZIP и WinZIP: позволяет подбирать пароли к архивам прямым перебором, либо атакой по словарю. Естественно, что если пароль не такой примитивно-осмысленный, а случайная строка букв и цифр длиной в 15-20 символов, то пароль методом полного перебора придется подбирать очень долго. Хакер, зная что Вася полный чайник в компьютерах, может подкинуть ему под видом очередной игрушки шпиона-трояна и получить полный контроль над всей вводимой информацией, в том числе и над паролями. Если пользователь постоянно вводит пароль и пренебрегает правилами компьютерной безопасности, то подсмотреть его обычно намного легче, чем взламывать архивный файл методом перебора. Для протоколирования, как правило,  скрытного, нажимаемых клавиш применяют специальные программы -  кейлоггеры. Программы используют не только хакеры. Иногда законопослушный пользователь компьютера сам устанавливает программу, чтобы быть уверенным, что в его отсутствие компьютер не используют в неблаговидных целях. Родители могут убедиться, что их чадо действительно набирает реферат и смотрито учебные сайты, а совсем не порноресурсы и так далее. В качестве примера, приведу три программы - клавиатурных перехватчика: Absolute Key Logger (http://lastbit.com/akl), Ghost Keylogger (http://www.keylogger.net/) и @KeyLogger Pro (activity-tracker.com).  К последней прилагается русскоязычная документация. 

Пароли продуктов Microsoft Office и не только

     Программы подбора паролей к продуктам Microsoft Office можно скачать со специализированных сайтов, например, таких как: http://www.passwords.ru/, http://www.elcomsoft.com/ или http://lastbit.com/mso/default.asp.  На сайте http://www.passwords.com размещены ссылки на ресурсы, относящиеся к теме паролей. Для примера приведу две программы из довольно большого списка: http://www.passwords.ru/aopb.html Advanced Office Password Breaker (AOPB) - программа расшифровки документов Word 97/2000 и Excel 97/2000, защищенных паролем на открытие документа. Обеспечивает гарантированное вскрытие документа независимо от сложности пароля и его длины, что достигается путем перебора 40-битных ключей шифрования. Такая небольшая длина ключа используется в Office 97/2000 из-за экспортных ограничений. http://www.passwords.ru/aoxppr.html  Advanced Office XP Password Recovery (AOXPPR), раньше называлась Advanced Office 97 Password Recovery, - программа для восстановления потерянных паролей к документам Microsoft Office всех версий, существующих на данный момент (Office 95, Office 97, Office 2000, Office XP, Office 2003 Beta, Office 2003). Поставляется в двух редакциях - Standard и Professional. Большинство паролей находит мгновенно, прямым декодированием. Интерфейс русский и английский.
    Пароли, защищающие архивные файлы и  файлы с документами разных программных продуктов, как правило, не хранятся в этих документах в зашифрованном виде. Пароль используется в качестве ключа шифрования и нигде не хранится. Другое дело пароли учетных записей почтовых программ, пароли доступа по ftp или пароли для установления соединения с интернет провайдером по диалапу.  Типичный пользователь вводит их в окошко с бумажки. Вводимые  символы отображаются звездочками. Юзер кладет бумажку в надежное место и забывает где же оно. Время переустановки системы - трагический момент! Пароли вроде бы есть, но их и нет. Доступ к системе полный, но что под звездочками? Есть программы и для таких вариантов. Написать их, кстати, совсем не сложно. Если пароль есть в неизменном виде, но скрыт сверху символами маски, то эта маска делается "прозрачной". Что касается ftp и pop серверов, то они, получая пароль вместе с логином, сравнивают данные с имеющимися у них учеными записями. Одно из решение очевидно - подмена удаленного сервера на локальный.  Например, запись для приема почты типа mail.webplus.ru в почтовой программе Outlook Express заменяется на 127.0.0.1 - адрес локального компьютера. На нем запускается программа, выполняющая роль сервера, принимающего любой логин и пароль, но вместо проверки просто отображающего поступившую информацию. С этой задачей успешно справляется Advanced Mailbox Password Recovery (AMBPR) в который встроено целых два  сервера - простой и продвинутый. 

Операционные системы Windows и их пароли

      Операционная система Windows стоит у большинства пользователей, поэтому вопрос восстановления забытых паролей для этих систем нельзя обойти стороной, в отличии от таких операционных систем как Unix, Linux, FreeBSD или Solaris. Обзор их не менее интересен, но нельзя объять необъятное! При подготовке описания я использовал материалы хелп справки бесплатно распространяемого продукта LC+4 (http://lcp.nm.ru/),  отечественного аналога не менее знаменитой зарубежной программы  L0phtCrack.  
       Начнем с более легкого варианта. Предположим, что у пользователя с установлена одна из операционными систем: Windows 3.11, Windows for Workgroups или Windows 95/98/Me. По умолчанию в этих системах выполняется кэширование паролей пользователей на диск в файлы %WinDir%\<ИмяПользователя>.pwl (PassWord List - список паролей). Пароли хранятся в зашифрованном виде, причем регистр букв игнорируется - всегда используется верхний. Алгоритм шифрования паролей, начиная с Windows 95 OSR2, был изменен после обнаружения серьезной ошибки в системе безопасности, поэтому восстановить пароли из старых PWL-файлов значительно проще. Для этого можно использовать программы Glide (автор Frank Andrew Stevenson), PWL_Key (автор Артур Иванов), PwlHack (автор Владимир Калашников), PwlTool (авторами являются Vitas Ramanchauskas, Евгений Королев). Для восстановления паролей из новых PWL-файлов можно применять PwlHack или PwlTool. Для примера привожу результат работы программы Win95 PWL viewer v1.01 (c) 1997, 98 Vitas Ramanchauskas http://webdon.com. 

************
DISCLAIMER This program intended to be used for legal purpose only!
ccenter.wplus.net/ADMIN        : aiv1:mrtqeqrqwq
*Rna\3166765\aiv               : 21235636361
Press Enter to quit

Видно, что программа успешно извлекла два пароля. Пароль 21235636361 принадлежит юзеру aiv, который обращается к провайдеру по удаленному доступу (тел. 3166765), второй пароль mrtqeqrqwq вводит пользователь aiv1, проверяя личную статистику работы в Сети на странице провайдера ccenter.wplus.net.  
      Учетные записи пользователей хранятся в реестре Windows NT/2000/2003/XP в той его части, которая находится в файле SAM (Security Account Manager - диспетчер защиты учетных записей).  Файл можно найти на диске в каталоге %SystemRoot%\system32\config. Названные операционные системы хранят пароли в зашифрованном виде, называемом хэшами паролей (hash - смесь, мешанина). Пароли не могут быть получены непосредственно из хэшей, так как операция шифрования необратима. При вводе пароля он шифруется, затем полученное значение сравнивается с хранимым хэшем. Если значения совпали, то пароль будет принят, так как он совпадает с установленным. Есть несколько вариантов получения хэшей паролей, зависящих от их местонахождения и имеющегося доступа: из файла SAM или его резервной копии, непосредственно из реестра операционной системы локального или удаленного компьютера, из реестра или Active Directory локального компьютера или удаленного компьютера внедрением DLL, посредством перехвата аутентификационных пакетов в сети. В рассматриваемой программе LC+4 пароль, на основе анализа хэшей паролей, может быть получен различными способами: атакой по словарю, последовательным перебором и гибридной  атакой (комбинация двух названных вариантов). LC+4 поддерживает два основных типа файлов, содержащих хэши паролей: PwDump - (passwords dump - дамп паролей) и Sniff-файл.

Cтрока PwDump-файла имеет формат:
"ИмяПользователя:RID:LM-хэш:NT-хэш: ПолноеИмя,Описание:ОсновнойКаталогПользователя:"
Каждая из 7-символьных половин пароля зашифрована независимо от другой в LM-хэш по алгоритму DES (бывший федеральный стандарт США), NT-хэш получается в результате шифрования всего пароля по алгоритму MD4 (фирмы RSA Security, Inc.). LM-хэш содержит информацию о пароле без учета регистра (в верхнем регистре), а NT-хэш - с учетом регистра. После имени пользователя находится уникальный идентификатор учетной записи RID (relative identifier (относительный идентификатор), для получения хэшей не используемый. При существовании LM-хэша восстановление сначала осуществляется по LM-хэшу, а после нахождения LM-пароля используется NT-хэш для определения NT-пароля. Каждая строка Sniff-файла имеет следующий формат: "ИмяПользователя:3:ЗапросСервера:LM-ответ:NT-ответ" LM-ответ получается в результате шифрования LM-хэша, NT-ответ - в результате шифрования NT-хэша. Шифрование выполняется по алгоритму DES таким образом, что определить LM- и NT-пароль можно только при проверке всего пароля. Кроме того, в каждом случае используется свой запрос сервера. Поэтому на определение паролей по Sniff-файлу потребуется значительно больше времени. Если восстановление паролей не требуется, то их можно изменить,  имея доступ к локальному компьютеру. Для этой цели идеально подходит программа Offline NT Password & Registry Editor, разработанная Petter Nordahl-Hagen. Скачать ее можно с домашней страницы автора http://home.eunet.no/~pnordahl/ntpasswd/. 

Подводя итоги

     Было названо несколько  полезных программ, которые  полезно  иметь под рукой, даны ссылки на ресурсы, с информацией по темам установки паролей и оценки их устойчивости к методам взлома. Информация видится полезной и для аккуратных пользователей, никогда не забывающих свои пароли.  Можно твердо помнить и никогда не забыть свой любимый пароль psw, но полезно знать  и то, что программа типа LC+4 тратит на восстановление такого "сложного" пароля меньше минуты, а задача полного перебора паролей длинной до 8 символов решается современным компьютером за несколько часов. Можно успокаивать себя тем, что крутых хакеров не так и много, а вы лично не представляете для них  интерес. Но все дело в том, что для взлома паролей в большинстве случаев не надо быть хакером. А надо всего лишь зайти на нужный сайт, скачать программу, потратить полчаса на изучение документации и несколько часов машинного времени  для ожидания  неизменно превосходного результата. Легкость нахождения паролей, которые лет пять назад относились к разряду сложных, программами типа LC+4 поражает. Но,  предупрежденный - вооружен. Храните пароли в надежных местах, не теряйте и не забывайте их, используйте длинные пароли и чаще их меняйте. Знакомство с новинками в области аудита паролей так же не будет лишним! На этом все, желаю удачи!