Usando Google para crackear passwords
Publicado el 21-11-2007 a las 00:19 por 
tricky
tricky 
Un experto en seguridad de la Universidad de Cambridge fue hackeado (que ironía) a partir de un bug en una versión antigua de Wordpress. Pero el hacker creo una cuenta en el sistema, y el password quedó encriptado con el algoritmo MD5 en la base de datos de Wordpress, y el experto en seguridad decidió descifrarlo. Este algoritmo funciona en base a un hash, por lo que es muy poco probable poder desencriptrar la clave, ya que hay que compararlo con un diccionario que debería tener todas las combinaciones posibles de caracteres para ir probando, y por lo tanto muuuuuuucha paciencia.
O tan simple como buscar la clave encriptada en Google. Cuando este tipo buscó el string (secuencia) de la clave encriptada (20f1aeb7819d7858684c898d1e98c1bb) dio con dos páginas. Una de un árbol genealógico sobre los Anthony, y otra de venta de una casa en que el campo del dueño tenia este string y el nombre era Anthony. Probó con Anthony, y efectivamente esa era la clave. Ya que cada conjunto de caracteres genera un string único es posible que alguien ya haya usado esa palabra, no tan solo para una clave si no que para encriptar otra información sensible que puede estar dentro del url o de la página. Y via Google, puedes encontrar donde ha sido usada y usando un poco de deducción encontrar la clave.
¿Medio enredado? Pues bueno, para que vayan dando cuenta… así es la forénsica digital, nunca tan “glamorosa” como la de CSI. ¿Y de que le sirvió averiguar el password que uso el hacker cuando creo la cuenta? Todo un misterio.
Link: Google as a password cracker (via slashdot)
Publicado por tricky el 21 de November 2007 en la categoría Uncategorized con los tags Google, Seguridad. Tiene 62 comentarios.
Compartir62 Comentarios
Usando Google para crackear passwords
0Augusto dijo el 21-11-2007 a las 10:58:
Anthony tremenda password !!
es komo poner el numero de telefono !
0xellos dijo el 21-11-2007 a las 11:36:
la media vendia del weon
siendo un pro de eso
la vendio buena
0rbonvall dijo el 21-11-2007 a las 11:37:
@Memo:
lo que implica que muuuuuuchos passwords pueden generar el mismo MD5
El hash no es del password, sino probablemente del nombre de usuario. Lo que pasa es que muchos sitios usan el hash en la URL de tu página de usuario. El «hacker» no obtuvo el password directamente del hash: simplemente encontró las páginas de usuario de la víctima en un par de sitios web, y de ahí obtuvo la información para adivinar el password. Podía haber logrado lo mismo consiguiendo información sobre la víctima con su vecino o con su cabro chico.
Es como encontrar al fotolog de alguien, ver que tiene imágenes de Garfield, probar a ver si su password es “garfield”, ¡y achuntarle! Ningún mérito ni de Google ni del hacker, sino estupidez de la víctima.
es decir puede ser que el password del tipo no haya sido “Anthony” sino solo que ese String generó la misma secuencia de caracteres que el password que ingreso el otro tipo.
Si bien dos textos pueden tener el mismo hash, encontrar uno a partir del otro es extremadamente improbable. Y en criptografía, extremadamente improbable suele significar «te demorarías más que la edad del universo».
@Tricky:
Cuando este tipo buscó el string (secuencia) de la clave encriptada
Un hash no es encriptación. Es una transformación de un texto. Probablemente del nombre de usuario de nuestro experto en seguridad.
tricky dijo el 21-11-2007 a las 11:48:
35@rbonvall, pero en este caso, los ejemplos eran BIEN claros. En el primero pasaba la variable del apellido dentro de la base de datos. En el segundo, estaba asociado al campo Nombre, que era Anthony. Así que es mucho más explicito que tu ejemplo de Garfield.
gracias por la aclaración en todo caso.
0Sebastian Oliva dijo el 21-11-2007 a las 12:33:
Eso confirma que Salt es cada vez mas necesario para autenticar…
Ya lo habian puesto en Digg, ahora FW solo se la pasa copiando noticias del Digg y Slashdot…. perdon “traduciendolas”…
No lo tomen a mal, solo es que Asplote… (http://uncyclopedia.org/wiki/Asplode)
0Sygrd dijo el 21-11-2007 a las 12:41:
rbonvall tu primera explicacion es completamente erronea, no se si no leiste la noticia o no la entendiste, pero lo que comentas no tiene que ver con la nota
0Mikepuffy dijo el 21-11-2007 a las 12:46:
Hola! Muy buen sitio… Visiten el mio! http://album-base.blogspot.com
El blog más actualizado de la red, cerca de 20 discos por día…
Saludos!
0memo dijo el 21-11-2007 a las 13:14:
@rbonvall:
jajajajajaja…
El semestre pasado me hiciste clases de LP y ahora me das clases de hashing… jajajajajaja
En todo caso man, hay un pagina que en este minuto nor ecuerdo pero la voy a buscar, dopnde hay una base de datos donde muestra que strings entregan el mismo hash en md5, por lo cual a pesar de que nosotros nos demoremos demasiado en encontrarlo
la información ya se esta acumulando de a poco.
Igual prefiero usar SHA-1 que md5 
0frosstatx dijo el 21-11-2007 a las 14:01:
Jaja, salieron algunos password mios en google plop y yo pense que erab complicados
0Gon dijo el 21-11-2007 a las 14:10:
la media paja para algo tan simple como borrar el registro de la base de datos…
no era su propia página?
0Paquito dijo el 21-11-2007 a las 15:18:
Esta noticia me da miedo (buscar hash en Google ya es digno de mención pero encima que encuentren una respuesta asusta)…
Impresionante: me ha dejado sin palabras.
Un saludete,
Paquito.
http://paquito4ever.blogspot.com
0rbonvall dijo el 21-11-2007 a las 16:10:
@Tricky,
en efecto los detalles son como dices, gracias por la aclaración, aunque en esencia me parece que lo que pasó no es más de lo que digo yo. Lo que hay que rescatar: no hay que estar paranoico porque ahora los h4×0rs van a ocupar Google para craquearnos, simplemente la víctima tenía una clave tonta.
@Memo,
jajaja, buen lugar para reencontrarse Eso de usar Google como un directorio de hashes sí es novedoso, aunque es inútil si se siguen buenas prácticas para guardar passwords. Aquí hay un artículo interesante al respecto.
0Jose dijo el 21-11-2007 a las 17:16:
Muy interesante en verdad !
Wen post, a ver si algun pesadito reclama ahora que la noticia es añeja
0Gary dijo el 21-11-2007 a las 18:13:
@rbonvall:
JJajAJja, maestro!, ute tambien me hizo clases de lenguajes de programacion (LP) el semestre pasado y ahora me haces clases de hash!!!, ohh no kiero saber naaa mas despues de no haber pasado hashing lineal en almacenamiento y recuperacion de informacion (ARI)
k gusto saber k el profe rbonvall tb lee FW… saludos!
0MatiasLobos dijo el 21-11-2007 a las 22:54:
Pero si sabes programación, o algo de hacking, veras que es facil con Google, muchas cosas son posibles con google. Arriba Los Milw0rneros
0Mojela dijo el 22-11-2007 a las 00:35:
Lo peor de todo es que entendi todo lo que dijiste y no se si estar contento o triste.
Ven google tiene siempre la respuesta por suerte para todos.
0Mr_Trukit0 dijo el 22-11-2007 a las 02:55:
Alguien dijo en otro comentario que deberían “bloquear” ese tipo de búsquedas desde Google. Encuentro que eso sería totalmente absurdo, ya que esas búsquedas son útiles a la hora de comprobar la seguridad de una plataforma, y además sería un modo de “censura”… y censurar sería la solución para el flojo que no quiere hacer que su plataforma sea más segura.
Por otro lado, ese tipo de cosas se pueden evitar, usando un “salt” como dijeron por ahí también. Se trata de “agregar” un valor arbitrario generado en tiempo de ejecución al hash con el fin de alterarlo. El hash se guarda alterado por dicho valor (o bien se utiliza un hash de campos concatenados), y al hacer la comparación se hace la operación inversa sobre el hash, quitándole el valor arbirario que se generó antes o haciendo la comparación con el hashing correspondiente alterado.
El único fin de esas técnicas es proteger la información en caso de que nuestras bases de datos caigan en malas manos, ya que si para generar los hashes se usara la función MD5 conocida sin ningún agregado, los password pueden ser crackeados fácilmente y leídos, con lo cual no sólo se arriesga la seguridad de la propia plataforma, sino que también en el caso de que el usuario utilice la misma password para su correo electrónico, cuenta bancaria u otros servicios, el atacante ganará acceso a ellos también.
0Eduardo Diaz dijo el 22-11-2007 a las 12:43:
MD5 es un algoritmo que ha sido comprometido desde hace mucho tiempo, ya no se recomiendo su uso.
0Decodificar MD5 « WWW.BYNARIO.AR.NU dijo el 22-11-2007 a las 22:30:
[...] Otras personas que hablan de la noticia (I II III IV) [...]
0Blogueando en Internet: Semana veintisiete » Blogueando con Francesc Josep dijo el 24-11-2007 a las 13:39:
[...] Usando Google para crackear passwords [...]
0Google no respeta la privacidad | Canut & Geek dijo el 28-11-2007 a las 11:48:
[...] Ya hemos visto como a Google se le escapan contraseñas, censura resultados, castiga a los usuarios de la competencia y guarda todos nuestros datos personales por un amplio periodo de tiempo. [...]
0sol dijo el 21-4-2008 a las 13:02:
chicos, es muy dificil poder conseguir la contraseña de yahoo? me ayudan??? plis plis
0Usando Google para descifrar Password MD5 | La Comunidad DragonJAR dijo el 18-8-2008 a las 02:07:
[...] personas que hablan de la noticia (I II III IV) Tags: Clave • Contrasena • Decifrar • Google • MD5 • Password Si [...]
0Albi dijo el 20-11-2008 a las 16:06:
Hola…Amigos necesito un tip para conseguirme la clave de una cuenta en gmail, ayudenme….gracias!!!! pikos!
1Cómo saber si tu sitio web es vulnerable a técnicas de hackeo usando Google dijo el 22-12-2008 a las 15:06:
[...] nuestras contraseñas al descubierto, cómo el caso de este experto en seguridad que mencionan en FayerWayer: Un experto en seguridad de la Universidad de Cambridge fue hackeado (que ironía) a partir de un [...]
Ver Todos Páginas: ← 1 [2] 3 Próximos 30 Comentarios →
Deja tu Comentario
Artículos Relacionados
Google te premia con dinero si encuentras fallas en su navegador
A Microsoft no le gustó que Google mejorara Internet Explorer
Chrome 1.0: El navegador con el peor sistema de protección de contraseñas
Gestiona y cierra tus sesiones abiertas de GMail remotamente
Spammers superan Captcha de Gmail
Las desventajas del software online
Google envió virus Kama Sutra por error
Google Buzz: La red social de Google
China cierra sitio que enseñaba a hackear a sus usuarios
Yelp rechaza oferta de Microsoft
Publicidad geek en el Super Bowl XLIV
Futurología: Google Store View
Av. Providencia 929, Piso 4, Providencia, Santiago de Chile
— 
Tel: +56 (2) 367 7701
fayerwayer@betazeta.com [
Ver Todos Páginas: ← 1 [2] 3 Próximos 30 Comentarios →