パスワードを忘れた? アカウント作成
275085 story
テクノロジー

Amazon EC2 の新メニュー「クラスタ GPU インスタンス」でパスワードクラック 13

ストーリー by reo
クラスタ GPU インスタンスはすごいな 部門より

TarZ 曰く

Amazon が提供しているクラウド型の計算リソース提供サービス Amazon EC2 のメニューに、新しく「クラスタ GPU インスタンス」が追加となった。この強力な計算リソースを、早速パスワードクラックに使ってみた人が出たようだ (stacksmashing.net の記事本家 /. 記事より) 。

Amazon EC2 の新メニュー「クラスタ GPU インスタンス」では、1 インスタンスあたり CPU: Xeon X5570 x2、メモリ: 22 GB、ストレージ: 1.69 TB に加え、NVIDIA Tesla M2050 x2 が割り当てられ、1 時間 2 ドル 10 セント (EC2 とのデータ転送料金等は別途) で利用することができる (Internet Watch の記事) 。この計算リソースを利用して今回試みられたのは、14 個の SHA1 ハッシュの値 (リスト) から元のパスワードを見つけ出す作業。結果、6 文字以内の短いパスワードによる 10 個のハッシュ値について元のパスワードを見つけ出すことに成功した、と報告されている。計算のために要した時間は 49 分、つまり利用料は 2 ドル 10 セントに収まっている。

なお、内容についてみてみると GPGPU によって力任せにパスワードを見つけ出すという単純な手法であり、どちらかといえば計算パワーを示すデモにすぎない。辞書を使っていないため、7 文字以上ではあるが単純なパスワード (たとえば 'password' や 'cryptohaze') については検出できていない。計算量としても個人 PC で実現不可能という規模ではない。要は「短いパスワードは安全でない」というごく当たり前の事実を提示しているだけである。

とはいえ、大きな計算リソースを使う作業のために自前で高性能な計算機を用意することなく、安価なクラウド型のサービスを利用してほいほいできてしまうとは、なかなか恐ろしい時代になったものである。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by ikotom (20155) on 2010年11月19日 13時20分 (#1861428)

    とはいえ、大きな計算リソースを使う作業のために自前で高性能な計算機を用意することなく、安価なクラウド型のサービスを利用してほいほいできてしまうとは、なかなか恐ろしい時代になったものである。

    確かに、なんの理由も問われず誰でも借りれるってのは怖くもあり、面白くもあり。
    ちなみに地球シミュレータは、1ノード1時間あたり4千円で借りれるらしい。
    こちらは誰でもってわけじゃないみたいだけどね。
    http://portal.nifty.com/2009/11/14/a/ [nifty.com]

  • >6 文字以内の短いパスワードによる 10 個のハッシュ値について元のパスワードを見つけ出すことに成功した、と報告されている。

    8文字以上推奨とか、たまに書かれているけど、8文字だといくらでとけるのかな?

    >大きな計算リソースを使う作業のために自前で高性能な計算機を用意することなく、安価なクラウド型のサービスを利用してほいほいできてしまうとは、なかなか恐ろしい時代になったものである。

    つまり、2ドル程度以下の価値がないとしたら、6文字以下でもええのとちゃうか?ということで、何文字だったらいくらぐらいで解けちゃうの概算って算出できないのかな?

    • by Anonymous Coward

      > 8文字だといくらでとけるのかな?
      ・6文字から2文字長くなる
      ・アルファベットは大文字小文字を区別
      ・0〜9の数字も含む
      ・記号は含まない
      と条件を決めた場合、(26x2+10)の2乗で、2,704倍となる。
      それに49分を掛けると約2,200時間=92日

      # 掛け算についてうるさく言われるのがいやなので、AC

      • >約2,200時間=92日

        安くするには、奪いたいパスの多数のハッシュを集めて一気に解かせるかな?

        そして、長時間割引もあるみたいなので、それを利用すると、
        FreeTierとか組み合わせると、100日程度でも、1000ドルから2000ドル程度かな?

        1000個のハッシュで、8文字以内なら全部だすよだと、
        一個あたり、数百円だとかになりそう。

        親コメント
      • by Anonymous Coward
        1時間でやりたかったら,2,200 x 2.1 = $4,620
        ですね.けっこう現実的...
        • by TarZ (28055) on 2010年11月19日 13時12分 (#1861422) 日記

          今回の試みでは総当たりでチェックしているようなので、パスワードが1文字増えるごとに文字種の数の分だけ計算コストが増えます。7文字くらいまでならともかく、8文字になるとだいぶ料金が発生してしまいますね。9文字以上はさすがに厳しそうです。saltを加えたら手も足も出ないでしょう。

          以下、今回使われたハッシュのリストと、EC2でのクラック(?)成否、元のパスワードです。

          SHA1 HASH                                成否 PASSWORD
          EB45E66E03EE06E74AC824081C7A71352E51DF90  ○  'nVidia'
          A94B95A7A4D432DE056B0030DA879AF841376069  ○  'GPGPU'
          3B615E3CD3ACA03AC818C7752A109EC7E2168532  ○  'W3a$eL'
          8F2005004F8BAA7A1090A9BF3B03C48D38E78157  ○  'P4s$'
          26BFB52D1809F04EAD2B7F5C002C1EAA7A584696  ×  'cryptohaze'
          7110EDA4D09E062AA5E4A390B0A572AC0D2C0220  ○  '1234'
          1902E3D6FC4E78A0BCC50BA12B882769AFBF4A8C  ○  'bad'
          BFE06C47BE2390ACA934AB6A128C141DCEB4072F  ○  'G0o|)'
          CD3724AC40034097A3D27865D710E4F791B6AEDB  ○  'Bwah'
          A9993E364706816ABA3E25717850C26C9CD0D89D  ○  'abc'
          0D824508182A1AA0EEF9A0B6EE52F8A32AF06F0A  ○  'GoOd!'
          5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8  ×  'password'
          EF8420D70DD7676E04BEA55F405FA39B022A90C8  ×  'Password!'
          DA39A3EE5E6B4B0D3255BFEF95601890AFD80709  ×  ''  ← ★注目★

          # 元ネタの人が検出できなかったパスワードについては、私が夜なべして見つけました。:-)

          本家でも指摘されていますが、面白いことにリストの最後、これは空文字のSHA1ハッシュ値なのですが、こいつが検出できていないんです。つまり、一番簡単なはずの空文字についてはチェックしていなかったんですね。

          とまあ、今回やっていることの内容は計算デモといった趣で、「これをパスワードクラックというにはちょっと素朴すぎるかなあ」という印象ではあります。とはいえ、EC2ではストレージ領域もそれなりに用意されているので、辞書と組み合わせてあれやこれやすることも可能でしょうね。

          親コメント
          • >元ネタの人が検出できなかったパスワード
            単純に0バイト入力を取り洩らした可能性も無いではないですが、こういうことする人がそんなミスしてそれを確認もしないなんてのはちょっと変です。

            多分、シノニムの検索ではないでしょうか。

            BBSの投稿パスなどの簡易パスワードの場合、パスワード設定状況フラグを設けずに認証時に空パスワードのみ弾く形式の物もチラホラ存在します。
            こういったシステムの場合、1バイト以上で空文字列と同様のハッシュを生成するキーワードがあると色々とアレゲなことが出来ます。

            他にも0バイト入力のハッシュは応用例があるとは思いますが、そういう話だと思ったほうがいいかと思います。
            親コメント
    • Re: (スコア:0, オフトピック)

      修正しました。ご指摘 thx。

      --
      Hiroki (REO) Kashiwazaki
  • by Anonymous Coward on 2010年11月19日 12時40分 (#1861399)
    これと似た構想、HPCクラウド基盤を構築しようとしているのが、RENKEIプロジェクト。

    引用開始
    これまで国内では、スパコンの計算能力向上に多くの労力が割かれてきました。もちろん、それはそれで大事なことであり、本学でも現在TSUBAMEの後継機となる「TSUBAME2」の開発に取り組んでいます。しかし、いくら計算だけが速くても、それだけでは充分とは言えません。e-サイエンスの進化を促すためには、大量のデータを「蓄積できる」「高速に読み書きできる」「処理できる」「転送できる」データ基盤が存在するということも同じくらい重要なのです。
    引用終了
  • by Anonymous Coward on 2010年11月19日 13時08分 (#1861419)
    同じ計算するならCPU使った方が速くて安い、というGPGPUに懐疑的な人がいまだにいるわけですが、実際に比較してデータを積み上げて欲しいなと
    • by Anonymous Coward

      一般人が簡単に使うことができないマシンならともかく、Amazonは登録さえすれば安価に使えますよ。

      • by aass (41194) on 2010年11月19日 14時33分 (#1861465)

        >一般人が簡単に使うことができないマシンならともかく、Amazonは登録さえすれば安価に使えますよ。

        たぶん、元はamazon EC2さんの、GPU無し(結構安い)のとかもっと無茶に安い [impress.co.jp]のとかの比較を言っているのではないかな?

        計算力云々のまえに、実際にそれが自分のところで必要なのか?とか、必要だったら使えるのか?試す?といった費用も、会社さんとして規模が大きいと、コストがかかったりするからね。

        単にパフォーマンス割りが出来ないという面がある。

        親コメント
typodupeerror

※ただしPHPを除く -- あるAdmin

読み込み中...