GPU baratos estan volviendo inútiles contraseñas seguras

Piensa que su contraseña de ocho caracteres consistente en caracteres en minúsculas, caracteres en mayúsculas y una rociada de números es suficientemente fuerte para protegerlo de un ataque de fuerza bruta.
Pienselo de nuevo!

Jon Honeyball, escribiendo para PC Pro, tiene una pieza sobria sobre como GPU modernas pueden ser aprovechadas como una poderosa herramienta contra contraseñas que antes eran consideradas a salvo de ataques de fuerza bruta.

Tome una GPU barata (como la Radeon HD 5770) y la herramienta revienta contraseñas gratuita potenciada por GPU 'ighashgpu' (http://www.golubev.com/hashgpu.htm) y poseerá una magra y malvada máquina de reventar contraseñas. Que tan magra y malvada? Bastante:

Los resultados son alarmantes. Trabajando contra contraseñas de login NTLM, una contraseña "fjR8n" puede ser rota en la CPU en 24 segundos, a una tasa de 9.7 millones de suposiciones de contraseña por segundo. En la GPU, toma menos de un segundo a una tasa de 3.300 millones de contraseñas por segundo.
Incremente la contraseña a 6 caracteres (pYDbL6), y la CPU se toma 1 hora y 30 minutos contra solo cuatro segundos el la GPU. Continue a 7 caracteres (fh0GH5h), y la CPU machacará por 4 días, contra unos francamente preocupantes 17 minutos y 30 segundos para la GPU.

Se pone peor. Tire una contraseña de nueve caracteres, aleatoria mazclando entre mayúsculas-minúsculas, y mientras una CPU tomaría unos abrumadores 43 años en romper esto, la GPU lo haría en 48 días.

Sin duda poniendo símbolos ahi dentro lo mantiene seguro, cierto? Equivocado! Tome una contraseña consistente en siete caracteres, contraseñas aleatorias mezclando entre mayúsculas-minúsculas/símbolos como "F6&B is" (note el espacio), eso debe ser dificil para un ataque de fuerza bruta, correcto? Una CPU tomará unos 75 días para recorrer a traves de las posibilidades, mientras una GPU se hace con ella en 7 horas.

Cual es la solución?. Bueno, Honeyball no lo sabe, y tampoco yo para ser perfectamente honesto. Lo que si se es que esto es una advertencia, y una que debe tomerse en serio. A menis que estemos dispuestos a pasarnos a contraseñas de 15-16 caracteres aleatorios, entre mayúsculas, minúsculas y símbolos (las que terminaran en notas PostIt), las contraseñas pronto solo ofreceran protección contra gente honesta.


Esta es una traducción de este artículo: Cheap GPUs are rendering strong passwords useless
Sugiero leer el artículo original por Jon Honeyball, How a cheap graphics card could crack your password in under a second.

Cadenas, Tantras y Expresiones Regulares.

Es sabido que las famosas cadenas o tantras son uno de los tipos mas comunes de ataques basados en ingeniería social, por cierto, quién no se pregunto alguna ves como es que los spamer consiguieron su dirección.

En realidad no hece falta contar con programas sofisticados para procesar uno de estos emails, cargado con cientos de direcciones de correo, y hacer una lista de ellas. Podríamos valernos de expresiones regulares, que es una técnica para encontrar un patrones dentro de un texto dado, para extraerlas.

Para demostrar el uso de expresiones regulares hice un programa que permite extraer coincidencias de un texto cualquiera. Puede bajarse de aqui.

El programa va a compañado de los códigos fuente, compila bien con Delphi 7. Necesita este componente.

Podemos copiar y pegar contenido en el cuadro de entrada, o leerlo directamente de un archivo guardado, a tal efecto se puede hacer click derecho con el raton en cualquier parte de la ventana y aparecerá un menu con las opciones de leer desde o guardar a un archivo.

No hay necesidad de preprocesar el cointenido a buscar, por ejemplo, podemos guardar una página web y leerla directamente a traves del menu.

Las siguientes reglas permiten coincidir direcciones de correo, la explicación de la sintaxis de las mismas quedará para otro post:

1. [_a-zA-Z\d\-\.]+@[_a-zA-Z\d\-]+(\.[_a-zA-Z\d\-]+)+
2. \w+@[a-zA-Z_]+?\.[a-zA-Z]{2,3}
3. ([a-zA-Z0-9_\-\.]+)@((\[[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.)|(([a-zA-Z0-9\-]+\.)+))([a-zA-Z]{2,4}|[0-9]{1,3})(\]?)

En [1] colocamos la expresión regular, en [2] el contenido de algún email o texto que contenga direcciones de coreeo, luego presionamos Evaluar. Los resultados apareceran en [3].

Debo aclarar que este programa en realidad puede extraer cualquier texto de acuerdo a la expresión regular que le introduzcamos, en este caso nos centramos en las direcciones de correo como demostración.

Cada uno es libre de creer y hacer lo que mejor le parezca, mi sugerencia es que si vamos a enviar o reenviar uno de estos mails, nos tomemos el trabajo de eliminar las direcciones que acarrea el mail, o simplemente no caer en este tipo de juego.

ETyC

Hoy inició la Exposición de Tecnología y Ciencia (ETyC) edición 2008.

La misma se lleva a cabo las instalaciones de la Facultad Politécnica en el Campus Universitario de San Lorenzo. El acceso es libre y gratuito.

Cada día de la exposición tiene programadas conferencias, charlas, cursos, encuentros, jornadas, talleres y concursos, para distintas áreas de interes, de las cuales solo algunas muy específicas tienen costo. No hay motivo para no ir dar una vuelta y participar de las actividades.

Para mas información y el cronograma de actividades, pueden visitar el sitio del evento.