Kan polisen knäcka winrars lösenord samt android?

Det här skulle jag också vilja veta, tillsammans med en följdfråga: Hur gjorde fransk polis för att knäcka krypteringen på den där appen som en hel del gängkriminella använde för några år sedan?

För 5-7år sedan så gick det att knäcka även långa komplicerade lösenord i winrar på minuter.
Hur det ser ut idag vet jag inte men skulle förvåna mig mycket om polis/säpo/nsa/etc INTE kan göra det.

De hade kommit åt tjänsten centralt och sett till att de kunde komma åt meddelandena innan de krypterades på enheterna.

Winrarfiler brukar knäckas väldigt fort.

Långa och oregelbundna/slumpmässiga passord är väldigt säkra, sen så finns det en del knep/val i winrar som i sin tur gör det svårare.
Som att inte kryptera filnamn i arkivet, dom kan annars ge en utgångspunkt för knäckning av passord.

If archive headers are not encrypted (“encrypt file names” option is disabled), file checksums for encrypted RAR 5.0 files are modified using a special password dependent algorithm. This prevents third parties from guessing file contents based on checksums.

When a password is entered, RAR compares its hash to the stored hash; in case of no match, it rejects the wrong password early. This one-way hash function is intentionally slow and based on PBKDF2. This noticeably decreases the chances of a successful brute force attack.

Character Password Length Time Cost of Attack WinRAR
(0-9)..............6....3.9s
(0-9,a-z)........6....5.8h
(0-9,a-z,A-Z)..6....152d
(0-9,a-z,A-Z)..7....26.6y
(0-9,a-z,A-Z)..8....1610,1y

WinRAR recommends using a password with at least 8+ characters for usual data. For sensitive data, at least 12+ characters. Please note that the maximum file encryption password length for RAR is 127 characters. Longer passwords are truncated to this length.

Källa: https://www.win-rar.com/encryption-faq.html?&L=0

Edit: Detta gäller Winrar 5 och senare, tidigare så var det lätt med bruttforce.

När vi skall skicka saker till kommunala/regionala organisationer/nyndigheter så säger de att 7-zip skall användas med kryptering då även kataloger kan krypteras i den formatet (går inte i zip-arkiv - bara kryptera innehållet i filerna medans katalogträdet finns alltid i klarspråk)

tydligen är det någon instans som har kollat på olika alternativ, utvärderat och sedan gått ut med rekommendationer där 7-zip är minst dåliga alternativet, finns på flera plattformar och har också publik källkod som kan granskas.

Bra artikel om pw komplexitet eller ej

https://phoenixnap.com/blog/strong-great-password-ideas

Tack så hemskt mycket för alla bra svar!

Jag skulle vilja påstå att allting går att knäcka / hacka sig in på.

Handlar bara om tid, och pengar. Men främst tid.

Fast att läsa av minnet på en mobil INNAN det krypteras är väl inte samma sak

Men du har såklart rätt. Frågan är bara om det knäcks inom vår eller ens människans livstid ö.h.t

Det är en väldig skillnad på att hacka någonting och att knäcka kryptering. Det är förvisso svårt att använda kryptografi på rätt sätt, men jag är säker på att det finns massor med data där ute som är krypterade på så sätt att de är i princip oknäckbara. Med "i princip" menar jag då något i stil med att man skulle kunna sätta hela mänsklighetens samlade möda på problemet i 20 år, eller all tillgänglig datorkraft på jorden i 1 miljard år, utan att lyckas. Problemet är att man inte kan välja en metod som är säker eftersom man inte känner till vilka som är det innan man lagt all den där mödan på problemet, man får gå efter indikationer som "välanvänt, open source, granskat av experter" osv.

Att hacka system däremot är mycket, mycket lättare. Man upptäcker regelbundet brister både i mjukvara (t ex Windows, Linux, webservrar, etc) och hårdvara (processorer etc) som man kan dra nytta av. Här håller jag med dig om att om man bara sätter tillräckligt duktiga personer på problemet under en tid kommer man nästan garanterat lyckas hitta hål man kan använda sig av.

Att bruteforce attackera lösenord / kryptering förr var mer mödosamt än vad det är idag då vi har väldigt kraftfulla grafikkort väl ?

Jag vill tro att knäcka winrars lösenord, eller en truecrypt fil inte behöver vara omöjligt för någon som vet vad de sysslar med eller har tillgång till / kan hyra datorkraften.

Har nog lite foliehatt när det kommer till säkerhet och it i samma mening 🙈

Finns massor av meddelande från WW2 som är krypterade med engångnycklar (blad med slumpade teckenföljder som multipliceras med meddelande enligt visst schema (XOR är en modern variant av schema) som är lika långa som meddelandet själv) och som idag anses helt omöjliga att knäcka såvida man inte hitta svagheter i de nu förlorade maskinerna som en gång i tiden slumpade fram teckenföljderna.

Att man ändå kunde knäcka somliga av dem berodde på administrativa misstag i organisationen och återanvände samma krypteringsblad för mer än en enda meddelande - och det fins historier i hur västvärldens agenter samlade och rotade i latrinerna från östtyska sidan under kalla kriget för att komma åt dessa blad som de torkade i baken med då dessa fanns i överflöd medans toalettpapper var en bristvara i den kommunistiska världen...

de flesta lyckade attacker även idag är på hanteringen av slumptalsgeneratorer och läckor i hanteringen av olika lösen - ja förutom veka password.

Det är helt otänkbart att vi kommer kunna brute forca ett modernt symmetriskt krypto med en stor nyckelstorlek (256 bitar) inom den närmaste framtiden. För att hålla det på mer jordnära nivå kan vi titta på 128 bitars nyckel istället, vilket också är vanligt förekommande. Även det är långt utom räckhåll för dagens datorer. Om vi t ex tittar på Nvidia så skeppar de runt 50 miljoner grafikkort per år. Säg att de alla är RTX 3090 som klarar ca 40 TFLOPS, dvs 40 biljoner operationer per sekund, och vi använder 100 års produktion (5 miljarder grafikkort) under 100 år för vår attack. Varje år är ca 30 miljoner sekunder. Sammanlagt blir det då 5000 miljoner * 40 biljoner * 100 * 30 miljoner = 6 miljarder kvadriljoner (5000e6 * 40e12 * 100 * 30e6 = 6e32) operationer. Om vi antar att det bara krävs 1 operation per nyckel vi provar (i verkligheten krävs det långt mer...) är vi fortfarande långt ifrån de 2^128 = 3 biljoner kvadriljoner möjliga nycklarna. Det är alltså bara en miljondels chans att vi lyckas knäcka nyckeln!

Däremot är grafikkort en tillgång när man testar lösenord, t ex brute force av alla möjliga lösenord upp till 10 tecken långa, eller alla varianter av ord i en ordbok, eller från en lista av tidigare kända lösenord. För att få motsvarande en 128 bitars nyckel behöver man uppåt 20 slumpmässigt valda tecken i sitt lösenord, och de flesta använder nog betydligt kortare lösenord eller väljer inte tecknen helt slumpmässigt.

Ja, om det är ett kasst lösenord så...

Troligen eftersom om du är här och behöver fråga så är nog din OPSec inte i topp.

Jag är inte helt med på varför du inte bara ger lösenordet till polisen?
Du hade väl inget att dölja och det låter som att du vill ha tillbaka din hårdvara? 🤔

För att svara på frågan, de kan inte dekryptera AES-256.
Är något krypterat med en bra standard så är det betydligt bättre att försöka hitta omvägar in, bruteforce har vad jag förstått blivit mer populärt igen, efter att allt fler lär sig att köra random kombinationer i sina lösenord.
Annars är och var rainbow tables väldigt populärt.
Social engineering är såklart en stor del också, tex nästintill alla kvinnor på jorden använder eller har använt, sitt djur eller barn som lösenord, i bästa fall har de även dennes födelseår, alternativt en favoritsiffra till detta.
Kika här så hittar du några kända exploits med Huawei:
https://www.cvedetails.com/vulnerability-list.php?vendor_id=5...
Nu var det länge sen jag var särskilt insatt i ämnet, men finns sidor för att hitta zero days med, tänk på att zero days i kan i många fall varit kända av olika parter en längre tid.
Polisen sitter garanterat på läckta dokument från diverse hackerattacker som offentliggjorts, har du samma lösenord på flera ställen eller använder samma siffror i lösenord som pinkoder, ja då är det ju lätt för dom att ta sig in.