Passwort Skript, Wie würde folgendes dauern:

Warteschlange79 · 16. Oktober 2017

Hi,

habe auf einer Seite ein Passwort mit 52 Ziffern + Buchstaben

.
Hatte es immer in einer Notizdatei perfekt drinne gehabt (mit groß und kleinschreibung).

Ich habe seit dem Update auf Windows 10 natürllich meine Festplatte formatiert und habe dementsprechend die Datei verloren aber konnte das Passwort noch retten mit SQLDB-Editor (Whatsapp gespeichert) jedoch wird mir das Passwort nur in Kleinbuchstaben gegeben.
Passwort zurücksetzen ist nicht vorhanden, Support non-existing, ähnliche Gedanken sofort vergessen.

Kann man ein Skript schreiben welches das 52-Ziffern & Buchstaben lange Passwort nimmt und dann auf Groß und Kleinschreibung bruteforct?
Ja es ist mein eigenes Passwort sonst hätte ich nicht das neue (gerettete) nicht.

Ich weiß Bruteforce ist mit 52 ... niemals möglich ,aber ich teste hier auf Groß und Kleinbuchstaben vom originalen Passwort, welches ich zurzeit nur in Kleinbuchstaben habe.
Theoretisch könnte man 9 Zeichen wegnehmen da ich mich noch an denen 100% erinnern kann somit sind es nur noch 43 Ziffern & Buchstaben, da wir nur auf Buchstaben testen sind's im endeffekt nur 37 Buchstaben

owned_you · 16. Oktober 2017

klar dann sind ja auch nur beschränkte Kombinationen möglich ... nur wenn der Dienst dich nach 3mal falsch sperrt hilft das auch nicht wirklich.

Warteschlange79 · 16. Oktober 2017

Nein es gibt keine Sperre nach x malen

Marco01_809 · 16. Oktober 2017

Kann man machen. Hat man aber schlechte Aussichten. Wie viele Buchstaben sind es denn? Schon mit 40 gibt es 2^40 = 1.099.511.627.776 verschiedene zu testende Kombination.
Selbst die schnellsten Websites werden nicht mehr als 10-20 tausend Versuche pro Sekunde erreichen, die meisten eher nur ein paar hundert.
Wenn man die Website mit Vollgas auslastet kann man sich aber auch schnell nen IP-Ban einfangen, spätestens wenn der Admin selbst mal nachguckt was da los ist.
Und das auch nur wenn der Programmierer geschlampt hat und kein Ratelimiting ala 5 Versuche pro Minute/Stunde implementiert hat.

Nächstes mal eine gescheite Passwort-Datenbank benutzen und Backups der Passwort-Datenbank anlegen.

owned_you · 16. Oktober 2017

schon mit 40 gibt es 2^40 = 1.099.511.627.776 verschiedene zu testende Kombination.

ne gibt es nicht, das PW hat er ja nur nicht ob es Groß- oder Kleinbuchstaben sind! das schränkt die möglichen Kombinationen doch schon sehr ein!

Die Buchstaben/das Wort stehen fest, die Zahlen sind bekannt und die Stellen wo welcher Buchstabe/Zahl steht auch. 9 davon weis er noch.

Marco01_809 · 16. Oktober 2017

Gibt es wohl. Ich habe nicht umsonst mit Basis 2 gerechnet. Für jeden Buchstaben: Groß oder Klein, also 2 Kombinationen für jeden Buchstaben.

Mit 37 verbleibenden Buchstaben sind es 2^37 = 137.438.953.472 Kombinationen die man testen muss.

EDIT: Wenn man annimmt dass das Passwort wirklich zufallsgeneriert war sollte es etwa gleich viele Groß- wie Kleinbuchstaben haben. Dass kann man noch zu seinem Vorteil nutzen mit entsprechender Software.

owned_you · 16. Oktober 2017

naja schon mal ein gewaltiger Unterschied zu 2^40

Sebbi · 16. Oktober 2017

Schreib den Support an oder setz dein Passwort zurück. So ein Script erfüllt schon den Sachbestand eines Angriffs / Manipulation oder eines DOS - Versuchs (aufgrund der multiblen Zugiffe und der damit verschwendeten Netzwerk und Rechenleistung) etc.

Wenn man annimmt dass das Passwort wirklich zufallsgeneriert war sollte es etwa gleich viele Groß- wie Kleinbuchstaben haben. Dass kann man noch zu seinem Vorteil nutzen mit entsprechender Software

kann man nicht

denn man weiß ja nicht welche Buchstaben groß oder klein sind, also muss dennoch eigentlich alles durchgetestet werden

Warteschlange79 · 16. Oktober 2017

So hier ist mal ein Passwort welcher generiert wurde wenn ich einen neuen Account erstelle:

P5K7qknSwmFxhbizq62KuEp36aTh5agMjhM4ev1K7yC95UgkQ3gT

Findet ihr da irgendwelche zusammenhänge?
-------

@Sebbi :"Support...." Wie in der Frage bereits geschrieben wurde gibt es keinen Support und Recovery auch nicht.
Selbst in den Regeln steht folgendes:
Regel 1: Do not forget your password
Regel 2: Do not forget your password
Regel 3: We cannot recover your password
The fourth rule: If you can remember the password, it's not secure.

owned_you · 16. Oktober 2017

@Sebi
naja kann man schon in gewissen Bereichen ... du kannst schonmal alle Kombinationen auschließen wo nur 1 bis 2 Großbuchstaben etc. vorkommen ... da lassen sich schon ein paar Ausschlüsse machen!

@TE und was ist das für ein Account? So wichtige Daten das man keinen neuen anlegen kann? und warum gibt es dann kein Backup?

FranzvonAssisi · 16. Oktober 2017

Es ist tendenziell unwahrscheinlich, ja, aber ausschließen kann man die nicht außer es gibt ein Minimum an Kleinbuchstaben...
Jeder Passwortgenerator der das ganze so löst, ist allerdings der letzte Schrott.

PS: Ich verstehe aber nicht ganz, wie ihr auf 2 als Basis kommt.

Immerhin gibt es pro Zeichen im Passwort:
ABCDEFGHIJKLMNOPQRSTUVWXYZÄÖÜ = 29 Möglichkeiten *2, da auch klein = 58 Möglichkeiten pro Zeichen. Das wäre:

58^37

2 596 148 430 000 000 000 000 000 000 000 000 Möglichkeiten

und weil ich soviel Spaß habe: Zweiquintilliardenfünfhundertsechsundneunzigquintillioneneinhundertachtundvierzigquadrilliardenvierhundertdreißigquadrillionen

Oder überlese ich etwas?

Sebbi · 16. Oktober 2017

Regel 1: Do not forget your password
Regel 2: Do not forget your password
Regel 3: We cannot recover your password
The fourth rule: If you can remember the password, it's not secure.

die Regel 1 - 3 stimmen schon, ABER regel 4 ist absoluter Bullshit.

https://www.heise.de/security/meldu...Sicherheitsregeln-bringen-nichts-3797935.html

und zu Regel 3:

JA die können dein PW nicht wiederherstellen und das ist auch gut so, aber sie können dir ein neues zukommen lassen an deine registriere Email / Telefonnummer. Wenn die das nicht können oder wollen und keine automatisierte Möglichkeit besteht, ist dieser Dienst den du da nutzen willst so ziemllich das, was man als Anfänger / Amateure bezeichnet.
Oder es ist schlicht und ergeifend unseriös. Denn ein SiteAdmin muss immer kontaktierbar sein, wenn es seriös ist.

Kitch · 16. Oktober 2017

Kurz geschätzt, sofern 5 Loginversuche pro Sekunde machbar sind, ~29 Stunden. Annahme: nur maximal 50% Großbuchstaben (von den 37) und keine Loginsperre. Würde mich aber sehr wundern, wenn es da keine Sperre gibt. Lohnt nur wenn da etwas von Wert hinter ist.

Edit: Könnte man noch etwas verkürzen, wenn man von einer zusätzlichen Mindestanzahl Großbuchstaben ausgeht, etliche der Passwörter vorher erstellen und statistisch auswerten. Eventuell bekommst du es auf 12-18 Stunden reduziert. Könntest natürlich Glück haben und es ist unter den ersten paar 1000 Versuchen.

kicos018 · 16. Oktober 2017

FranzvonAssisi schrieb:
PS: Ich verstehe aber nicht ganz, wie ihr auf 2 als Basis kommt.

Immerhin gibt es pro Zeichen im Passwort:
ABCDEFGHIJKLMNOPQRSTUVWXYZÄÖÜ = 29 Möglichkeiten *2, da auch klein = 58 Möglichkeiten pro Zeichen. Das wäre:

58^37

Oder überlese ich etwas?

Ja, dass die Buchstaben in der korrekten Reihenfolge bekannt sind.

Sebbi · 16. Oktober 2017

Um mal eine Zahl zu nennen:

also von der Theorie sind es ja sogesehen 37 Bit ( Jede Buchstabe kann nur 2 Werte haben an einer festen Stelle)

So wären es 274877906943 (2^38-1) mögliche Kombinationen

2^37 ist deshalb nicht richtig, da dann (wenn man das binär betrachtet) nicht der Fall eintritt, das er "erste" Buchstabe größ ( eine 1 ) sein kann und der Rest ebenso noch Großbuchstaben hat. Bei 2^37 wäre sobald der erste Buchstabe groß ist Schluss und weitere Möglichkeiten würden nicht in Betracht gezogen.

Jetzt kannst du ausrechen, wielange du brauchst bei einer bestimmten Anzahl von Passwörtern / sec

FranzvonAssisi · 16. Oktober 2017

Ahh, danke, das hatte ich im Eingangspost nicht verstanden

Sollte dann jetzz mal schlafen gehen, es ist offenbar zu spät für mich

Bonanca · 17. Oktober 2017

Sebbi schrieb:
So wären es 274877906943 (2^38-1) mögliche Kombinationen

Bitte was? O.o
Und 1 Bit hat jetzt auf einmal 2^2-1=3 Möglichkeiten? Bitte nochmal nachdenken.

37 Bits können 2^37 mögliche KOMBINATIONEN haben.
37 Bits können ZAHLEN bis maximal 2^37-1 darstellen.

Allein schon die Tatsache dass du bei Bits auf eine ungerade Anzahl an Kombinationen kommst sollte dir sagen, dass das falsch ist.

Sebbi · 17. Oktober 2017

@Bonanca mal komplett dargestellt :

10000000000000000000000000000000000000 = 2^37 = 137438953472
100000000000000000000000000000000000000 = 2^38 = 274877906944

wenn ich aber nun bei 2^37 aber darstellen will z.B. 10010111101101010010101101001101010010 ( Kombination 162894893906, 37 Zeichen 2 mögliche Werte), bin ich schon außerhalt des Bereiches von 2^37. Wenn ich 11111111111111111111111111111111111111 darstellen will ist das die Kombination 274877906943 (37 Zeichen, alle Zeichen "groß"). Also 2^38 - 1

€dit: ok einen Fehler hab ich dennoch, es sind doch die kompletten 2^38, da ich den 0er Wert (alles klein) nicht mitgerechnet hab bei der ganzen Sache

Marco01_809 · 17. Oktober 2017

Gehen wir das doch mal durch. Mal angenommen man hat einen Buchstaben, und weiß nicht ob der groß (G) oder klein (K) sein muss.
Dann hat man also die Wahl aus 2 Kombinationen: 2 = 2^1

Tut man einen Buchstaben dazu verdoppeln sich die Kombination, man hat dann 4 Möglichkeiten: KK, GK, KG, GG
Also 4 Kombination: 4 = 2^2

Hat man 3 Buchstaben gibt es erneut doppelt so viele, also KKK, KGK, KKG, KGG, GKK, GGK, GKG, GGG
Das sind 8 Möglichkeiten: 8 = 2^3

Und das geht so weiter. Mit 37 Buchstaben sind es genau 2^37 Kombinationen.

Bonanca · 17. Oktober 2017

Marco01 hat es richtig veranschaulicht.
Interessant dass du aber nicht auf das Argument mit den 3 Möglichkeiten bei 1 Bit eingegangen bist, was laut deiner Aussage nämlich so wäre.

Was du falsch gemacht hast editiere ich aber gleich gerne noch rein sobald ich am PC sitze.
Am Handy sind Bits zu schreiben Grade eher unhandlich.

Edith: wobei, brauche ich gar nicht.
Dein Fehler ist, dass du bei 10000000... Als maximale Zahl mit 37 Bits ausgehst. Bringst dann aber ein Beispiel a la 1010110...

Da es dir aber selbst nicht aufgefallen ist weise ich dich gerne darauf hin:
11111111...
Ist die größte mit 37 Bits darstellbare Zahl, ausgeschrieben
1*2^36 + 1*2^35 + ... + 1*2^0 = 2^37-1

2^37 ist mit lediglich 37 Bits bereits nicht mehr darstellbar.
Siehe Gegenbeispiel mit 1 Bit. Hat nur 2 Möglichkeiten, 0 oder 1.
2 ist keine weitere Möglichkeit, obwohl 2 = 2^1. Dann bräuchte unser Bit aber 3 Zustände. Dann wäre es aber kein Bit mehr

Passwort Skript, Wie würde folgendes dauern:

Cadet 2nd Year

Banned

Cadet 2nd Year

Lt. Commander

Banned

Lt. Commander

Banned

Fleet Admiral

Cadet 2nd Year

Banned

Admiral

Fleet Admiral

Cadet 4th Year

Captain

Fleet Admiral

Admiral

Captain

Fleet Admiral

Lt. Commander

Captain