Dalam zaman Internet, hampir semua aktiviti dan perkhidmatan yang dilakukan memerlukan kata laluan. dari e-mel ke akaun bank sehinggalah kepada akaun pertukaran crypto. Dan terbaru ada ciri keselamatan seperti Pengesahan 2 Faktor (Two Factor Authenticaion – 2FA).

Walaubagaimanapunciri seperti 2FA ini jarang dihebahkan penggunaan, apatah lagi dikuatkuasakan, dan sejumlah besar laman web masih tidak menawarkan 2FA sama sekali. Oleh itu, kata laluan keselamatan adalah penting untuk melindungi identiti dan aset peribadi seseorang.

Secara semulajadi, setiap kata laluan mempunyai nilai tersendiri, dan nilai yang disimpan di sebalik kata laluan boleh menjadi satu motivasi kepada banyak serangan untuk dilakukan terhadap mereka.

Terdapat sejumlah besar kertas penyelidikan yang boleh anda baca tentang algoritma untuk memecahkan kata laluan yang kompleks, yang menggunakan kebarangkalian rumit dan dengan menggunakan teknik pembelajaran mesin (Machine Learning), dikatakan boleh memecahkan hampir 90% (atau lebih) kata laluan.

???????????????????????????? ???????????????? ???????????????????????????????????? (???????????????????????? ????????????????) ???????????????????????????? ???????????????????????????????????? ???????????????? ???????????????????????? ????????????????????????????????:

Saya ceritakan saat ketika pengguna masuk ke aplikasi yang dilindungi kata laluan, dan aturan kejadian yang berlaku adalah seperti berikut:

1. Pengguna memasukkan kata laluan (untuk dapatkan kelulusan) 
2. Kata laluan yang dimasukkan akan dibandingkan dengan kata laluan yang disimpan di dalam rekod (rekod ini merujuk kepada masa mula-mula anda mencipta akaun semasa proses pedaftaran)
3. Akses diberikan jika ianya sepadan dengan rekod yang ada.

Namun penghantaran dan penyimpanan kata laluan seperti ini tidaklah berapa selamat.

Untuk peningkatan keselamatan, banyak sistem (walaupun tidak semua) sebenarnya menyimpan ‘hash’ kata laluan pengguna dalam pangkalan data mereka, dan bukan kata laluan itu sendiri. 

Anda boleh memikirkan hash sebagai penggera kata laluan yang tidak dapat dipulihkan; jika penyerang mendapati hash kata laluan, mereka tidak boleh membalikkan proses untuk mengetahui kata laluan itu sendiri.

‘Hash’ kata laluan atau ‘password hash’ adalah merujuk kepada sejenis struktur huruf/aksara yang digabung-jalinkan apabila satu set kata laluan dimasukkan.

Dan ‘hash’ pula ada banyak jenis (protokol seperti md5, SHA 256, SHA 512, bcrypt, LM, NTLM dan banyak lagi).
Contoh ‘hash’

– Kata laluan yang dimasukkan: ‘password’ dan hash (DES Crypt) adalah: ‘rEK1ecacw.7.c’
– Kata laluan yang dimasukkan: ‘password’ dan hash (SHA-256) adalah: ‘$6$zWwwXKNj$gLAOoZCjcr8p/.VgV/FkGC3NX7BsXys3KHYePfuIGMNjY83dVxugPYlxVg/evpcVEJLT/rSwZcDMlVVf/bhf.1’
-Kata laluan yang dimasukkan: ‘password’ dan hash (SHA 512) adalah: ‘rEK1ecacw.7.c’

???????????????? ???????????????????????????????????? ???????????????? ???????????????????????? ???????????????????????????????? ???????????????????? ???????? ???????????????????????????????? ???????????????? ???????????????????????????????????????? ???????????????? ???????????????????????? ???????????????? ???????????????????????????????????????????? ‘????????????????’, ???????????? ???????????????????????? ???????????????????????????????? ???????????????? ???????????????????????????? ???????????????????????? ???????????????????????????? ????????????????????????????:

1. Pengguna memasukkan kata laluan (untuk dapatkan kelulusan) 
2. ‘Hash’ kata laluan yang dimasukkan akan dikira dan ‘hash’ itu seterusnya dihantar ke dalam rekod.
3. ‘Hash’ itu akan dibandingkan dengan ‘hash’ disimpan di dalam rekod (rekod ini merujuk kepada masa mula-mula anda mencipta akaun semasa proses pedaftaran)
4. Akses diberikan jika ianya sepadan dengan rekod yang ada.

Nampak agak selamat? 

Tetapi bagi mereka yang mahir, mungkin ada sesetangah daripada anda yang berfikir bahawa ‘hash’ yang ada boleh di nyah-enkripsi (decrypt) untuk mendapatkan kata laluan tersebut.

Sebenarnya ada lagi kaedah untuk mengatasi ‘hash’ yang dilihat seakan boleh melindungi keselamatan anda. 

Ia dipanggil ‘Brute Forcing’ (saya tiada kata pengganti dalam bahsa melayu, tetapi nama yang sesuai mungkin kaedah cuba-jaya secara paksaan)

???????????????????????????? ???????????????????????? ???????????????????????????? ???????????????????????????????????????? ???????????????????????????? “????????????????????-????????????????????????????” ????????????????:

Dalam sistem yang menggunakan hashing, jika penyerang berjaya mendapatkan akses terus pada pangkalan data kata laluan, mereka masih tidak dapat melihat kata laluan pengguna. Serangan terhadap sistem tersebut tidak dapat menterbalikkan ‘hash’ (atau decrypt ‘hash’) untuk mencari kata laluan yang sepadan, dan dengan demikian pergi seperti berikut:

1. Cuba teka kata laluan
2. Kirakan hash yang diteka
3. Bandingkan ini dengan hash sebenar
4. Ulangi langkah 1-3 sehingga padanan ditemui

Ini bunyi seperti perlu memakan masa yang cukup, namun dengan mesin khas yang boleh meneka ribuan kata laluan secara serentak, maka anda boleh membayangkan apabila perkara ini boleh berlaku dan dipercepatkan.

???????????????????????? ????????????????????????????????

???????????????????????????????????????????? ???????????????????????????????? (????????????????????????????????)

Salah satu perisian yang digunakan dipanggil Hashcat, yang merupakan salah satu pemulihan kata laluan, lebih dikenali sebagai “cracker kata laluan terpantas di dunia”. 

Hashcat adalah sumber terbuka, boleh akses kepada laman web Hashcat dimana anda boleh muaturun sumber dan binari yang anda. Ada juga ruangan Wiki untuk sebarang rujukan dan panduan penggunaan.

???????????????????????????????????????????? ???????????????????????????????????????? (????????????????????????????????):

Selain perisian yang agak hebat/kuat, para hackers ada padankan perisian tersebut pada pemasangan konfigurasi NVidia Tesla K80 – GPU.

Kenapa kena perlukan setup Hardware yang ada GPU yang berkuasa tinggi? (Ini bukannya setup untuk buat mesin mining cryptocurrency kan?)

Rahsianya terletak pada kuasa pengkomputeran.

Tesla K80 mempunyai kuasa output 16 kali lebih hebat daripada kad grafik standard Intel.

Tesla K80 boleh mengira 800 juta ‘hash’ SHA 256 per saat!
Itu hampir 3 trillion dalam masa sejam.

Rahsianya terletak pada kuasa pengkomputeran.

Tesla K80 mempunyai kuasa output 16 kali lebih hebat daripada kad grafik standard Intel.

Tesla K80 boleh mengira 800 juta ‘hash’ SHA 256 per saat!

Itu hampir 3 trillion dalam masa sejam.

???????????????? ????????????????????????:

Seperti yang dinyatakan di bahagian atas, kata laluan yang hackers gunakan adalah kata laluan yang telah dibocorkan oleh penggodam dalam talian. Saya rujuk kepada sumber yang ada dalam Dark web.

Terdapat lebih daripada 14 juta kata laluan bocor dalam serangan itu, yang semuanya dicipta oleh pengguna dunia sebenar. 

Maaf sumber kata laluan tak boleh dikongsi.

???????????????????? ???????????????????????????????? ???????????????? ????????????????????????????????????:

Hashcat membolehkan anda melakukan serangan yang mudah (di mana anda boleh mencuba kata laluan yang mungkin agak panjang). Hashcat juga berupaya menerima set arahan untuk jenis serangan yang lebih kompleks. 

Dab berikut adalah beberapa jenis / pattern kata laluan yang boleh kita gunakan:

Hanya satu perkataan (berpotensi dengan kapitalisasi yang berbeza) – Password

Satu perkataan yang diikuti oleh beberapa nombor / simbol – monkey! or Coffee12

Satu perkataan dengan ‘leet speak’ diterapkan – p4ssw0rd atau f4c3b00k
Kata-kata berbilang melekat bersama – isthissecure

Jika anda boleh mempunyai senarai kata laluan dalam fail, Hashcat mempunyai mod yang berbeza yang terbina di dalam, yang dapat meneka:

i. Setiap perkataan
ii. Setiap perkataan dengan setiap nombor / simbol yang mungkin ditambah
iii. Setiap perkataan dengan peraturan yang ditetapkan digunakan (iaitu menggantikan setiap o dengan 0)
iv. Setiap gabungan kata-kata tersekat bersama

Oleh itu, para hakcers akan memuat turun fail kamus yang mengandungi berjuta-juta kata Inggeris untuk digunakan dalam serangan.

Dari sana anda boleh mendapatkan set kata laluan lebih generik, menyatakan ‘mask’ yang harus dicuba oleh Hashcat.

Ini bermakna daripada memberitahu Hashcat untuk mencuba ‘semua kata laluan yang ada 8 aksara’ (‘all passwords of length 8’)- iaitu 7 quadrillion kombinasi yang berbeza – anda boleh mencuba setiap kata laluan yang ada ‘6 huruf kecil diikuti dengan 2 nombor’ (‘6 lowercase letters followed by 2 numbers’.)

????????????????, ???????????????????????????????????? ???????????????????????? ???????????????????? ???????????????????????????????? ???????????????????????????????? ?????????????

2 jam: 48% kata laluan telah dipecahkan
8 jam: hampir 70% telah dipecahkan
20 jam: lebih 80% telah dipecahkan

Anda sebagai pengguna peranti IT perlu membuat kata laluan dengan lebih selamat. 

Menggantikan ‘o’ dengan ‘0’ dan ‘e’ dengan ‘3’ tidak menjadikan kata laluan anda selamat. 

Menambah nombor dan simbol pada akhir perkataan tidak sama ada. Ia terlalu diramal.

Perisian seperti 1Password dan LastPass agak dan sangat membantu