Pesquisador revela o CrackQ, um novo gerenciador de quebra de senhas

05/12/2019 mindsecblog Artigos, Notícias 6

Pesquisador revela o CrackQ, um novo gerenciador de quebra de senhas. O CrackQ Password Cracking Manager é uma interface para o Hashcat, servida por uma API REST e um aplicativo da Web JavaScript.

Segundo o Security Week, o Hashcat é considerado o cracker de senha mais rápido do mundo. Ele usa o poder das unidades de processamento gráfico (GPUs) para comparar senhas de texto simples adivinhadas com hashes de senha conhecidos em alta velocidade – geralmente com centenas de bilhões de suposições por segundo – até encontrar uma correspondência.

Tornou-se uma ferramenta importante para “pentesters” e “red teams“, analisar a força das senhas dos clientes.

Mas, como todas essas ferramentas brutas, os usuários podem se beneficiar de recursos adicionais e de um gerenciamento operacional aprimorado. Na Black Hat Europe em Londres, o provedor de serviços de segurança cibernética e segurança gerenciada Trustwave anunciou o lançamento do CrackQ (versão alfa), disponível no GitHub . Desenvolvido no ano passado pelo principal consultor de segurança da Trustwave Dan Turner, o CrackQ, ele diz, é “uma interface intuitiva para o Hashcat servida por uma API REST e um aplicativo Web front-end JavaScript para facilitar o uso“.

Nunca satisfeito com as plataformas de crack que ele usou, Turner começou a desenvolver o seu próprio – inicialmente apenas querendo algo escrito em Python para que ele pudesse adicionar recursos adicionais, conforme necessário. Mas o projeto se transformou em CrackQ, um gerenciador de quebra de senha do Hashcat. A capacidade de adicionar recursos adicionais permanece. Turner tem “uma infinidade de recursos úteis planejados para versões futuras” e também espera que a comunidade GitHub ajude no desenvolvimento futuro.

Ele não usa comandos shell para fazer interface com o Hashcat, mas o faz diretamente através da biblioteca libhashcat usando ligações do PyHashcat C. Ele usa autenticação SAML2, permitindo o uso de MFA, e pode usar alternativamente o LDAP. Mas enquanto a versão atual inclui recursos não encontrados em outros lugares, outros sistemas têm opções ainda não disponíveis no CrackQ.

“Por exemplo“, diz Turner , “atualmente não é capaz de funcionar como um sistema distribuído, mas como uma configuração cliente-servidor. Isso ocorre principalmente porque o cracking distribuído não é o que precisávamos no momento, mas é uma API, portanto poderia ser adicionado com bastante facilidade no futuro se eu decidir seguir esse caminho “.

Turner também criou uma biblioteca de análise de senha, chamada Pypal – assim chamada como uma dica para a ferramenta de análise de linha de comando Pipal, desenvolvida pelo consultor e pesquisador de segurança independente Robin Wood. Ele fornece análises amplamente semelhantes, mas fornece resultados gráficos e, sob demanda, gera um relatório a partir dos resultados de um trabalho de craqueamento. O relatório destacará opções inseguras de senha, permitindo que as equipes de segurança erradiquem senhas fracas entre os funcionários da empresa.

Outro recurso útil é a integração com o Hashcat Brain, que é ativada automaticamente quando é eficiente. O Brain verifica se uma determinada senha já foi verificada, impedindo tentativas repetidas durante diferentes execuções de cracking e melhorando a eficiência para algoritmos mais lentos. “No entanto o Brain se torna o gargalo ao rachar em velocidades mais altas. Ele possui um gargalo de cerca de 500kH / s, de modo que o CrackQ verifica a velocidade do algoritmo selecionado e engaja o Brain quando for eficaz.“, explica Turner,

O CrackQ pode ser considerado um trabalho em andamento que já é utilizável. “Para nós todo teste de penetração com um comprometimento significativo no armazenamento de senhas incluirá um relatório detalhado analisando áreas fracas em uma política de senhas. O CrackQ ajudará a visualizar isso e talvez ajude a transmitir a mensagem sobre más escolhas de senhas“, diz Turner.

Fonte: Security Week

Veja também: