AI knäcker de vanligaste lösenorden på under en minut

Permalänk
Medlem

Jag tror mer sidan är genererad av en AI i ett försök att forska i hur lätt det är för en AI att lura av människor lösenord eller något liknande.

Det spelar ingen roll om jag skriver in "aaaaaaaaaaaa" (12 st a) eller "professional" (12 tecken långt ord som finns i alla engelska ordböcker) eller "ouqtqssvmbwg" (12 slumpmässiga små bokstäver genererade med Python-koden 'r = random.SystemRandom() ; "".join(r.choice(string.ascii_lowercase) for i in range(12))'), den säger att allt tar 3 veckor att knäcka... Det stämmer ju överens med tabellen som finns nedanför, men det hänger inte alls ihop med att det är en AI med i lösenordsknäckandet. Snarare att det är brute force som används.

Nästa del på sidan säger "81% of common passwords can be cracked in less than a month" och liknande. WTF? Alla vanliga lösenord ("common passwords") kan knäckas i det närmaste omedelbart, finns ett lösenord i en publik lista där ute är det nästan kört. Ok, kanske man kan tolka "common passwords" som lösenord som inte används med 2FA eller liknande, men...

Sedan "It takes PassGAN < 6 minutes to crack any kind of 7 character password, even if it contains symbols"... Igen, ingenting är effektivare än brute force när det kommer att knäcka "any kind of x character password" på en bestämd tid. Det finns helt enkelt ingen strategi som tar mindre processorkraft i värsta fallet än att testa alla lösenord ett i taget. Det en AI kan göra är möjligtvis att snabba upp genomsnittliga tiden, men det låter ju inte alls som det de pratar om det i texten.

Vidare låter hela idén med att säga exakta tider väldigt, väldigt tveksam. Det helt beror ju helt på vilken algoritm och "password strengthening" som används i det aktuella fallet.

Det är möjligt att de faktiskt har gjort något vettigt med den här PassGAN-mjukvaran, men isf har de låtit någon fullkomligt inkompetent person eller AI skriva "marknadsföringsmaterialet".

Permalänk
Medlem

Sätt en tidspärr för varje inmatnings försök på 1 sekund och öka tiden till 5 sekunder efter 7 felaktiga försök.

Lösenords innehavaren kommer hinna att gå pension och dö innan det knäcks.

Permalänk
Medlem
Skrivet av Thomas:

Du kan säkert träna en AI på att skapa lottorader som ser ut som nummer människor skulle välja, precis som denna gör. Men det är ju inte lika användbart som att gissa rätt lottorad till morgondagen.

I själva verket har man faktiskt en fördel av att välja lottorader som INTE människor väljer, eftersom de är ovanligare och därmed blir det färre andra vinnare du behöver dela vinsten med när dina nummer dras. Har bland annat hört tipset att välja så höga nummer som möjligt eftersom det inte finns födelsedagar högre än 31, och månaderna går bara till 12, och gatunummer blir mer sällsynta ju högre de är osv.

Permalänk
Medlem
Skrivet av WebbkodsLärlingen:

Haha ja, det låter som phishing!

"Hej, ditt lösenord är kanske för svagt. Mata in det här och på vilka webbplatser du använder det så berättar vi hur starkt eller svagt ditt lösenord är!"

Mvh,
WKL.

Vi behöver verifiera att lösenordet som du uppgett är ditt eget.
Ange e-post adress
Bifoga bild på ditt körkort eller pass

Permalänk
Medlem

Det ska väl läggas till att majoriteten använder 2-factor, så lösenord är inte så viktigt längre..

Permalänk
Medlem

365 år skulle det tydligen ta att knäcka en lite modifierad version av ett av mina lite enklare standard lösenord. Är detta seriöst eller bara ett bra phising försök?:D Eller har alla banan12345 som lösenord kanske

Permalänk
Medlem

Har ett rätt så lätt lösenord ändå tar det 9 miljoner år...
Hur kan bruteforce ens funka när alla respektabla sidor ändå begränsar mängden inloggningar innan man blir spärrad ett tag?
Att pinga servern sex miljoner gånger i minuten lär ju inte funka.

Permalänk
Medlem

Testade lösenordet till min gmail (med utbytta tecken).

An AI would need about
6 quadrillion years
to crack your password

Resultatet känns rätt betryggande:)

Visa signatur
Permalänk
Medlem
Skrivet av Alling:

Snarare att angriparen har tillgång till hashen av lösenordet, till exempel för att lösenordsdatabasen har läckt.

Säkerhetsbristen ligger då hos de som ansvarar för databasen, hur dåligt säkrad den är. Snarare än längden av lösenorden.

Permalänk
Skrivet av friArsenik:

Sätt en tidspärr för varje inmatnings försök på 1 sekund och öka tiden till 5 sekunder efter 7 felaktiga försök.

Lösenords innehavaren kommer hinna att gå pension och dö innan det knäcks.

Problemet är att när lösen knäcks så är det inte mot sidan, istället hackas sidan först, medlems/kundlistan stjäls. När den ligger som en fil på angriparens dator så körs program som försöker knäcka hashen och få fram lösen i klartext, så om en sida har 1 eller 1000 försök spelar noll roll då sidan inte ens är inblandad när lösen knäcks

Permalänk
Medlem

Problemet med detta specifika fall är väl att AIn tränats på en lista med lösenord, där man sedan använt samma lista för att "knäcka kontot".....så vet inte hur mycket till AI det kan räknas som.

Permalänk
Medlem

Aldrig fattat hur man knäcker ett lösenord? Du får ju bara 3 gånger på dig i de flesta fallen, var sätts programmet in?

Permalänk
Skrivet av hasseb64:

Aldrig fattat hur man knäcker ett lösenord? Du får ju bara 3 gånger på dig i de flesta fallen, var sätts programmet in?

Exakt. Kan inte tänka på någon hemsida eller mjukvara som hade kunnat bruteforca på detta sättet.

Permalänk
Hedersmedlem
Skrivet av hasseb64:

Aldrig fattat hur man knäcker ett lösenord? Du får ju bara 3 gånger på dig i de flesta fallen, var sätts programmet in?

Kolla två inlägg ovanför ditt.

Visa signatur

Asus ROG STRIX B550-F / Ryzen 5800X3D / 48 GB 3200 MHz CL14 / Asus TUF 3080 OC / WD SN850 1 TB, Kingston NV1 2 TB + NAS / Corsair RM650x V3 / Acer XB271HU (1440p165) / LG C1 55"
Mobil: Moto G200

Permalänk
Medlem
Skrivet av hasseb64:

Aldrig fattat hur man knäcker ett lösenord? Du får ju bara 3 gånger på dig i de flesta fallen, var sätts programmet in?

Scenariot är att en attackerare fått tag på en lösenordsdatabas med hashade lösenord. Man vill då få fram lösenorden i klartext så att man kan använda dem, vilket bara går att göra genom att gissa sig fram tills man hittar ett lösenord som har samma hashsumma som i databasen.

Det antas även att lösenorden av någon anledning inte är saltade, vilket de är om den som driver sidan har åtminstone en minimal kunskap om säkerhet. Men det är förstås inget man kan lita på.

Permalänk

Lösenordstestaren via länken är bara baserad på hur många tecken en använder inte hurvida du använder olika tecken, "111111111" anser det vara lika säker som
"D6+0*$1#z", tänker att det kan få endel att tro att de har säkrare lösenord än vad de har.

Visa signatur

//Dreadful Erik

Permalänk
Medlem
Skrivet av trudelutt:

I själva verket har man faktiskt en fördel av att välja lottorader som INTE människor väljer, eftersom de är ovanligare och därmed blir det färre andra vinnare du behöver dela vinsten med när dina nummer dras. Har bland annat hört tipset att välja så höga nummer som möjligt eftersom det inte finns födelsedagar högre än 31, och månaderna går bara till 12, och gatunummer blir mer sällsynta ju högre de är osv.

Det är ju dock under förutsättning att man faktiskt vinner, och då lottoraden är 100% äkta slumptal så kommer du inte att kunna räkna fram en vinnande lottorad med högre chans än slumpen oavsett hur avancerad AI du använder.

Visa signatur

|Ryzen 5800x3d|RX 7900XTX Hellhound|Asus Prime X370 Pro|32GiB Corsair 2400MHz CL16 Vengeance|Corsair HX1000i|Fractal Define R5|LG 45GR95QE|Corsair K100|Razer DeathAdder V3 Pro|Ubuntu 24.04|

Permalänk
Medlem
Skrivet av hasseb64:

Aldrig fattat hur man knäcker ett lösenord? Du får ju bara 3 gånger på dig i de flesta fallen, var sätts programmet in?

bortsett ifrån läckta databaser som andra har påpekat så kan angriparen även har spelat in din kommunikation mot tjänsten du försökte logga in på och har då data som de kan analysera offline.

Visa signatur

|Ryzen 5800x3d|RX 7900XTX Hellhound|Asus Prime X370 Pro|32GiB Corsair 2400MHz CL16 Vengeance|Corsair HX1000i|Fractal Define R5|LG 45GR95QE|Corsair K100|Razer DeathAdder V3 Pro|Ubuntu 24.04|

Permalänk
Medlem

Förstår inte varför man blandar in ai här? Borde ju bara vara att sortera statistik över läktare lösenord på testa de vanliga först. Typ excel nivå

Intelligensen blir ju att anpassa sig till verkligheten. Saker som påverkar vad vi väljer för lösenord. Typ ny säsong av en populär tv-serie, folk kommer använda namnet mer frekvent i sina lösenord i samband med det

Permalänk
Medlem
Skrivet av F.Ultra:

Det är ju dock under förutsättning att man faktiskt vinner, och då lottoraden är 100% äkta slumptal så kommer du inte att kunna räkna fram en vinnande lottorad med högre chans än slumpen oavsett hur avancerad AI du använder.

Vad det gäller lotto så är det den förväntade vinsten vs. kostnaden i snitt som spelar roll för hur rationellt det är att spela, så jo, det spelar roll.

Som extremt exempel, om en lott kostar 10 kr och man har 1% chans att vinna 2000 kr, så är förväntade vinsten 20-10=10 kr per lott, i snitt och det lönar sig att köpa så många lotter man har råd med. Om man däremot måste dela vinsten med tre andra så blir kalkylen 5-10=-5 kr, dvs man går back 5 kr per lott och det är bara dumt att köpa.

Generellt sett är lotter nästan garanterat en förlustaffär för spelaren, oavsett man delar eventuell vinst eller ej...

Permalänk
Medlem
Skrivet av jocke92:

Förstår inte varför man blandar in ai här? Borde ju bara vara att sortera statistik över läktare lösenord på testa de vanliga först. Typ excel nivå

AI har blivit synonymt med maskininlärning, så tänk maskininlärning istället så blir det kanske klarare. Maskininlärning är som mer avancerad statistik där man urskönjer statistiska mönster i komplexa data. Fortfarande statistik, men bortom excel-nivå.

Permalänk
Medlem
Skrivet av Aka_The_Barf:

Moderna sidor brukar ju ha 3 försök och sedan vänta i 20 minuter eller lite bild lekar. då kan det ta tid.

Det är inte heller helt oproblematiskt. Då kan någon blockera dig genom att göra ett skript som "försöker" logga in med din användare. Sen är det inte helt enkelt för servrar att hålla reda på hur många gånger någon har försökt logga in de senaste 20 minuterna..

Permalänk
99:e percentilen
Skrivet av str8forthakill:

Säkerhetsbristen ligger då hos de som ansvarar för databasen, hur dåligt säkrad den är. Snarare än längden av lösenorden.

Hm … betyder detta att du med ”tillåter tiotusentals loginförsök varje sekund” menade att tjänsten indirekt tillåter det genom att ha icke-fulländad säkerhet, så att hashar kan läcka?

Visa signatur

Skrivet med hjälp av Better SweClockers

Permalänk
Medlem

Känns det inte rätt dumt att skriva in sitt lösenord på en hemsida, som sen ev kan lägga in det i en framtida lösenordslista att prova, eller att träna någons password "AI"?
Känns ganska puckat helt ärligt.

Visa signatur

Citera för svar!
ASUS X570-E, AMD 5950X, RTX4080 Super, 32gb B-die

Permalänk
Medlem
Skrivet av Alling:

Hm … betyder detta att du med ”tillåter tiotusentals loginförsök varje sekund” menade att tjänsten indirekt tillåter det genom att ha icke-fulländad säkerhet, så att hashar kan läcka?

Har man en databas av lösenord som bara är skyddad av den enklaste "säkerheten" som finns steget efter ren text? Då har sysop misslyckats totalt. Spelar ingen roll vad du har för lösen. Läcks en databas som är ordentligt skyddad/krypterad kan du lägga på ett par miljoner år på brute force attacken.

Förutsatt att sysop inte är en inkompetent banan, så är Ai attacker inte relevanta. Då man helt enkelt stänger dörren och inte tillåter oändligt många försök att knäcka användares lösenord. Då det enda sättet att verifiera att lösenordet är knäckt är att testa det genom att logga in tills man hittar rätt lösen.

Ditt lösen spelar ingen roll om sidans/tjänstens säkerhet är ett skämt
Ditt lösen spelar heller ingen roll om sidans/tjänstens säkerhet är gudomlig.

Permalänk
Medlem
Skrivet av str8forthakill:

Läcks en databas som är ordentligt skyddad/krypterad kan du lägga på ett par miljoner år på brute force attacken. Förutsatt att sysop inte är en inkompetent banan, så är Ai attacker inte relevanta.

Poängen med "AI" är väl just att man inte behöver göra en brute-force-attack på en läckt databas? Man dekrypterar ju inte databasen för att knäcka lösenorden (det går oftast inte) utan tar AIn till hjälp för att generera bra "gissningar" (bättre än brute force) vars hash/kryptering jämförs med databasen. Det som är relevant i det fallet är hur många hashar man kan göra per sekund, och om man kan återanvända hashar för fler lösenord i databsen (dvs om de är "saltade" eller inte). Detta förutsätter läckt databas, att göra upprepade anrop mot server är väl irrelevant i sammahanget. Jag förstår faktiskt inte hur du menar, så du får gärna klargöra.

Permalänk
Skrivet av Sinery:

Har själv blivit läss på lösen så jag bygger min egen lösenordshanterare och OTP.

hur bygger man egen lösenordshanterare?
kan man använda OTP på tex youtube?

Permalänk
Medlem

Hahaha ... jag gav den ett någorlunda testlösenord av vardagskaliber (självklart unikt och enbart för detta engångsbruk) för skojs skull. 9 miljoner år.

Färga mig extremt oimponerad, det här är bara ett överhajpat trams, som alltid.

Men visst, det är alltid bra att skrämma folk som använder skitlösenord, så kanske de skärper sig.

Visa signatur

5950X, 3090

Permalänk
Medlem

Risken är att correcthorsebatterystaple inte längre är så säkert.

Permalänk

Beräkning antal lösenord för längd 8

Jag utgår ifrån 27 specialtecken (vet inte vilka som tillåts men utgått från de 27 lättast åtkomliga på mitt tangentbord), 25 små bokstäver, 25 stora bokstäver och 10 siffror.

Så här många lösenord kan skapas: 3,282,116,715,000,000.
Hur lång tid tar det att prova? Vad går att "lista ut"?

(För varje ytterligare position ökar antalet med 87.)

Tillägg.