Brauche Hilfe zu Brute Force Attack

[Berliner]

hallo,

an alle, also ich will eine Präsentation ausarbeiten für meine Klasse. Wir sind eine IT-systemelektroniker klasse in einer Schulischen ausbildung. Ich habe schon sehr informative web-links gefunden was dieses Thema angeht. aber in diesen wird immer nur beschreiben was es ist, was es macht, wie es funktioniert usw. welche varianten es gibt. aber ich wollte auch gern schwachstellen wissen eines brute-force angriffes. da muss es ja auch welche geben... weil nicht immer schaft man es mit roher gewalt daran zukommen wo man ran will.

nu suche ich gute web-links oder infos von euch...schon mal dank für eure mithilfe

wer mir weiter helfen kann, dem wäre ich sehr dankbar....

mfg

berliner

[Bad Blade]

Hi,
ich kann dir ne große Schwachstelle nennen:
Wenn das Passwort mit Sonderzeichen, Zahlen und Buchstaben ist, wirst du es nicht in 100 Jahren schaffen es mit Brute Force zu knacken

Gruß
Alex

[RUN]

gib einfach bei wikipedia "john the riρρer" ein
ist z.b. bei den openbsd ports dabei

[Andydeluxe]

Noch ein nachteil ist:
Bei Brute force muss man den Benutzernamen des zu Hackenden Kontos wissen.
Und einige Online Konten können nicht billig oft hintereinander angesprochen werden.
Z.B. Ein E-mail provider erlaubt bloß 10 falsche Anmeldungen in der Stunde.

[RUN]

Zitat von Andydeluxe

Noch ein nachteil ist:
Bei Brute force muss man den Benutzernamen des zu Hackenden Kontos wissen.

was ja bei administrator accounts kein problem sein dürfte (root, admin, administrator, sa, usw.)

[tele]

Ich bezweifle, dass diese Aussage korrekt ist. Ich erinnere hierbei gern an die guten alten HTTP-Authentication brute-force Attacken früherer Tage, als man eine Username/Password Kombination noch mit
http://<Username>:<Password>@<rest von der URI>
in die URL einbauen konnte. Dort waren Attacken auf Benutzernamen ebenfalls mit einbegriffen.

Das es dadurch natürlich wesentlich komplexer wird und wohl auch länger dauern wird steht mal außer Frage.

[EoN]

Zitat von RUN

was ja bei administrator accounts kein problem sein dürfte (root, admin, administrator, sa, usw.)

Deswegen schaltet man ja als sicherheitsbewusster Admin auch keine Admin/root Konten für den Remotezugriff frei

[swatcher1]

...und benennt den Admin um... *hust* ;p

[RUN]

Zitat von EoN

Deswegen schaltet man ja als sicherheitsbewusster Admin auch keine Admin/root Konten für den Remotezugriff frei

richtig, das sollte man machen (deaktivieren)...
aber was denkst du wie viele besitzer eines root/v-server den root login aus stellen, bzw. login nur mit ssh key zulassen?
oder wie viele "webentwickler" sich mit www-data per scp oder ftp anmelden um daten auf den server zu laden (natürlich ohne ssh key)?

und umbenennen geht auch nicht immer...
root zb. bleibt root.
und wie man www-data in "otto" umbenennt wissen viele auch nicht...
ist traurig...