Paßwort aus RAM lesbar per Firewire

[MacMark]

Dann ist es doch eine ziemliche Chuzpe von Passware, ihr Tool für 873,92 Euro zu verkaufen und zu behaupten, da kämen Paßwörter raus, die sie bei Lion (und Vorgängern) aus dem RAM lesen, wo sie angeblich im Klartext rumliegen. Sie verkaufen es also mit einer Lüge und haben dann 100% Reklamationen? Wollen die um jeden Preis in die Presse? Manche Menschen (und Firmen) verstehe ich einfach nicht.

 

[Rastafari]

Sie verkaufen es also mit einer Lüge

Mit der Wahrheit könnten sie's gleich verschenken. Wäre in wenigen Stunden als Freeware verfügbar.

und haben dann 100% Reklamationen?

Nein, wieso denn? Den Kunden interessiert ja nur das Resultat. Dass er über die wahre Vorgehensweise im Unklaren gelassen und stattdessen mit hohlen Phrasen abgespeist wird, bemerkt er ja nicht mal. Hauptsache er bekommt, was er erwartet.

Fakt ist: Wer lesend UND schreibend auf den gesamten (oder zumindest den nahezu gesamten) flüchtigen Speicher eines Rechners zugreifen kann, der kann einfach ALLES dort tun - oder im umgekehrten Sinne auch unterbinden, dass etwas unerwünschtes geschieht. Bei jedem Betriebssystem, mit jedem Softwarestand, völlig egal wie klug oder doof dessen Entwickler sich angestellt haben. Solange der Angreifer die grundlegenden Paradigmen von Prozessor, OS, Binärmodell usw kennt und hinreichend gut versteht, ist gegen seine Attacke keinerlei Kraut gewachsen. Da kannst du dir den Wolf verschlüsseln wie du willst, das ändert daran exakt überhaupt nichts. Und dieses "exakt nichts" gilt im absoluten, bool'schen Sinn eines ${FALSE}, nicht nur im umgangssprachlichen. Er kann überall und jederzeit dafür sorgen, dass 1 + 1 nicht mehr 2, sondern 5, 17 oder -2435684 ergibt, grade so wie er's für seine Zwecke in einer bestimmten Situation braucht, was willst du denn dagegen unternehmen?

 

[Balkenende]

Mit der Wahrheit könnten sie's gleich verschenken. Wäre in wenigen Stunden als Freeware verfügbar.

Köstlich!

 

[MacMark]

Jetzt haben sie ein Video gepostet: "Passware Kit Forensic extracts Mac OS X Lion login passwords via FireWire"
http://www.youtube.com/watch?v=-Q9JRvMOcMM

Also doch "Hashes" laut dem Screenshot. Und die Hashes von den gezeigten (schwachen) Paßworten kann john-jumbo in 0,1 Sekunden knacken. Das heißt, sie beweisen damit keine Klartext-Paßworte.

 

[ImperatoR]

Schon erschreckend. Also mal lieber das Firmware Passwort aktivieren.

 

[naich]

Schon erschreckend, dass sie sogar auch Nachfrage Unwahrheiten verbreiten, und sowas für teures Geld verkaufen wollen.

 

[Rastafari]

Schon erschreckend, dass sie sogar auch Nachfrage Unwahrheiten verbreiten, und sowas für teures Geld verkaufen wollen.

Was denn, was denn. Macht Apple doch auch so.
97% aller Menschen mit XX-Chromosom erst recht.

 

[MacMark]

Aktueller Dialog auf Twitter:
passware: @macmark_de The problem is OS X Lion keeps passwords in memory, not hashes.
macmark_de: @passware Your video shows the program claiming to have found hashes. So no clear text passwords.
passware: @macmark_de Mark, the software finds *both* hashes and plaintext passwords. hashes are used to verify plaintext passwords are correct.
https://twitter.com/passware/status/102392481894772738

 

[Rastafari]

Aktueller Dialog auf Twitter:
passware: @macmark_de The problem is OS X Lion keeps passwords in memory, not hashes.
macmark_de: @passware Your video shows the program claiming to have found hashes. So no clear text passwords.
passware: @macmark_de Mark, the software finds *both* hashes and plaintext passwords. hashes are used to verify plaintext passwords are correct.
https://twitter.com/passware/status/102392481894772738

Leite das hier weiter via Idiotenbuschrommel 2.0, wenn du willst:
(Ich nehme an "Diensten" wie Dswisch nicht teil. Nicht im wildesten Alptraum. Aus dem Alter bin ich raus.)

Proof it.
Wanna crack an example machine in public?
Under conditions which give you NO (!) way for pre-manipulative modifications?
Ready to be rumbled? Sportsman or Salesman, what's yours?

 

[MacMark]

In passender Länge gepostet:
@passware Please proof it against a Mac with STRONG unknown passwords & conditions which give you NO way for pre-manipulative modifications.
https://twitter.com/macmark_de/status/102954068850380800

 

[MacMark]

Fortsetzung:

passware:
@macmark_de Capture and send us your memory image. We will get you your passwords back.

macmark_de:
@passware How do i capture it? You can email to [email protected]

 

[LakeCountry]

Interessanter Thread - bin mal gespannt, wie das weitergeht!

 

[MacMark]

Ich kann mir eine Kopie runterladen:

Hi Mark,
*
You can download a copy of Passware Kit Forensic for your evaluation at:
---
Below is your download URL that will be valid for 15 days.

Feel free to keep this copy of Passware Kit for your personal use.

 

[VisioNOIR]

Mhh... wird ja immer spannender. Ich bin schon auf Deine zerreißende Kritik des Stücks Software gespannt.

 

[MacMark]

Das Windows-Tool bereitet einen USB-Stick vor, von dem man booten muß. Ich habe hier iMac (mit Bootcamp) und MacBook. Man muß von dem USB-Stick starten, um per Firewire ein Memory-Image zu ziehen. Wenn ich Apple richtig verstehe, geht das aber nur mit OS X auf dem Stick: http://support.apple.com/kb/ht1948
Ich probiere jetzt Plan B: Erstelle ein Memory-Image mit dem MacMemoryReader und hoffe, daß das "Passware Password Recovery Kit Forensic" damit etwas anfangen kann.

Edit: Es nimmt die Memory-Datei und sucht nun. 6 Minuten für 2 GB.

 

[MacMark]

Mein Test-Paßwort bestand aus 4 Buchstaben und 6 Zahlen. Das Tool hat dieses Paßwort aus dem Memory-Image holen können. Ich mache gleich noch zwei Versuche: Einen mit einem anderen einfachen Paßwort und ein kompliziertes. Das komplizierte soll sicherstellen, daß sie keine Brute-Force-Attacke kombiniert mit Wörterbuch machen wie john-jumbo das kann. Der hätte das gleiche Paßwort anhand des Hashes in 0,2 Sekunden gehabt. Wenn ein echt gutes Paßwort gefunden wird, dann ist es wahrscheinlich im Klartext, ansonsten brute-forcen sie Hashes.

 

[MacMark]

Auch ein etwas komplizierteres konnte er finden:

File: ram_dump.mach-o
Folder: F:\
Protection: Memory Image - 1 Hash(es)
Complexity: Instant Unprotection

joeuser password: [GVo#xbaGTPrT] (no brackets) <Copy>

Der joeuser war als einziger User angemeldet. Das Paßwort hatte ich zuvor geändert und dann den Rechner neugestartet und joeuser damit eingeloggt.

Ich poste mit dem nächsten Update Screenshots davon auf meiner Seite und poste hier den Link.

 

[toorox]

Oha.... echt spannender Thread!!!!! Hmm... bin gespannt was die "Spezialisten" hier im Forum dazu sagen!

 

[ImperatoR]

@MacMark: Wie schaut es mit FileVault 2 aus, kommen sie auch an diese Passwörter? Und der Vorschlag von Rastafari, das Firmware Passwort zu setzen, erzielt die gewünschte Wirkung?

 

[FrankR]

Habe gerade diesen Thread gelesen - wirklich sehr interessant und ein wenig beängstigend - danach dann mit diesem Cartoon wieder auf den Boden der Realitität gekommen