รหัสผ่านความยาว 8 ตัวอักษรไม่ปลอดภัยอีกต่อไป อาจถูกถอดได้ในเวลาเพียง 2.5 ชั่วโมง

ทีมพัฒนา HashCat ได้ออกมาเล่าถึงประสิทธิภาพของ HashCat 6.0.0 Beta ที่ใช้การ์ดจอ Nvidia GTX 2080Ti จำนวน 8 ชุด ซึ่งสามารถถอดรหัสผ่านสำหรับ NTLM ได้ด้วยความเร็ว 100 Gigahashes per Second (GH/s) หรือเรียกง่ายๆ ว่ารหัสผ่านความยาว 8 ตัวอักษรนั้นสามารถถูกถอดได้ภายในเวลาประมาณ 2.5 ชั่วโมง
ถึงแม้การทดสอบนี้จะเกิดขึ้นแบบ Offline ผ่านทาง NTLM ที่ใช้ยืนยันตัวตนบน Windows หรือ Active Directory เป็นหลัก ไม่ได้รวมถึงบริการต่างๆ บนเว็บ แต่นี่ก็เป็นสัญญาณเริ่มต้นอันหนึ่งที่มีผู้เชี่ยวชาญเริ่มออกมาเตือนว่ารหัสผ่านความยาว 8 ตัวอักษรที่ถูกแนะนำให้ใช้งานโดยหลายๆ ค่ายอาจไม่เพียงพออีกต่อไปแล้ว โดยทั้ง NIST, Google, Microsoft และ Yahoo นั้นต่างก็กำหนดให้รหัสผ่านขั้นต่ำมีความยาว 8 ตัวอักษี ในขณะที่ Facebook, LinkedIn หรือ Twitter นั้นกำหนดเอาไว้เพียงแค่ 6 ตัวอักษรเท่านั้น
การถอดรหัสผ่านความยาว 8 ตัวอักษรภายในเวลา 2.5 ชั่วโมงนี้จะใช้ค่าใช้จ่ายด้านการลงทุนซื้อ Hardware และ GPU อยู่ที่ประมาณ 10,000 เหรียญหรือราวๆ 320,000 บาทเท่านั้น ในขณะที่หากเช่าบริการ Cloud อย่าง AWS ค่าใช้จ่ายจะอยู่ที่เพียงแค่ประมาณ 25 เหรียญ หรือราวๆ 800 บาทเท่านั้นเอง
ดังนั้นหลังจากนี้ การเลือกตั้งรหัสผ่านให้ยาวขึ้น, การหันไปใช้รหัสผ่านที่สร้างจากระบบ Password Manager และการเปิดใช้ 2-Factor Authentication นั้นก็ดูจะกลายเป็นทางเลือกที่น่าสนใจมากขึ้นไม่น้อยทีเดียว
hand-tuned hashcat 6.0.0 beta and 2080Ti (stock clocks) breaks NTLM cracking speed mark of 100GH/s on a single compute device
1,155
545 people are talking about this
Twitter Ads info and privacy

Comments

Post a Comment

Popular posts from this blog

Microsoft ประกาศยุติการ Support Windows 10 ในปี 2025

Image
  หลังมีข่าวออกมาแล้วว่า Microsoft จะมีการเปิดตัว Windows เวอร์ชันใหม่ ในงานสัมมนาออนไลน์วันที่ 24 มิถุนายนนี้ ซึ่งล่าสุดก็ได้มีการประกาศเรื่องยุติการ Support Windows 10 ออกมาแล้ว กำหนดการเรื่องยุติการให้บริการคือวันที่ 14 ตุลาคมปี 2025 ซึ่งครอบคลุมถึง Windows 10 ในเวอร์ชัน Home และ Pro รวมถึง Pro for Education และ Workstation จะไม่ได้รับการอัปเดตซอฟต์แวร์ ความช่วยเหลือ และการอัปเดตด้าน Security ใดๆอีก ทั้งนี้คาดว่าคงจะมีการเปิดให้ผู้ใช้เดิมย้ายไปสู่ Windows เวอร์ชันใหม่ก่อน  อย่างไรก็ดีหลายคนคงจำที่ Microsoft ประกาศเมื่อหลายปีก่อนว่า Windows 10 จะเป็น OS เวอร์ชันสุดท้าย แต่ในที่สุด Microsoft ก็ได้เชิญสื่อเข้าร่วมงานสัมมนาออนไลน์วันที่ 24 มิถุนายนนี้ เพื่อรับฟัง Windows เวอร์ชันใหม่ (คาดว่าอาจจะถูกเรียกว่า Windows 11) ซึ่งอีเวนต์นี้จะพูดเรื่องการเปลี่ยนแปลงของ UI ครั้งใหญ่, โลโก้ใหม่ของ Windows, การอัปเดตใหม่ใน Windows Store, File Explorer และฟีเจอร์อื่นที่ล้มแผน 10X และนำมาใส่ไว้ในนี้ ศึกษาเพิ่มเติมได้ที่  https://docs.microsoft.com/en-us/lifecycle/products/windows-...
Read more

ข้อมูลอีเมลลูกค้า Amazon หลุด เนื่องจาก “ความผิดพลาดเชิงเทคนิค”

Image
Amazon ผู้ให้บริการแพลตฟอร์ม eCommerce ชั้นนำ ส่งอีเมลแจ้งเตือนลูกค้าหลายราย ระบุว่าเกิด  “ความผิดพลาดเชิงเทคนิค”  บางอย่างขึ้น ทำให้ข้อมูลชื่อและอีเมลของลูกค้าเหล่านั้นอาจหลุดสู่สาธารณะ Amazon ไม่ได้ระบุรายละเอียดว่า “ความผิดพลาดเชิงเทคนิค” ดังกล่าวคืออะไร เกิดขึ้นมานานแค่ไหน ส่งผลกระทบต่อผู้ใช้กี่คน และส่งผลกับผู้ใช้ในภูมิภาคไหนบ้าง ทางโฆษกของ Amazon บอกเพียงแค่ว่า บริษัทฯ ได้ทำการแก้ไขปัญหาและแจ้งเตือนลูกค้าทุกคนที่ได้รับผลกระทบเป็นที่เรียบร้อยแล้ว ส่งผลให้มีลูกค้าที่ได้รับผลกระทบหลายรายสอบถามปัญหานี้กลับมายัง Amazon ผ่านทางโซเชียลมีเดียเป็นจำนวนมาก Good morning,  @AmazonHelp . Not to be rude, but if the email below is legit, it is unsatisfactory. For how long was my email address exposed? To whom was it exposed? The whole world? How did it wind up exposed? Could anyone seeing it also see orders linked to that email address?  pic.twitter.com/xkamRjhNDB — Dissent Doe, PhD (@PogoWasRight)  21 พฤศจิกายน 2561 ถึงแม้ว่า Amazon จะยังไม่ได้ออกมาให้ความเ...
Read more

พบ 348 เว็บ Drupal ถูกรันแคมเปญ Cryptojacking อีกกว่าล้านเว็บไซต์ตกอยู่ในความเสี่ยง

Image
Trou Mursch นักวิจัยด้านความมั่นคงปลอดภัยจากสหรัฐฯ ออกมาแจ้งเตือนถึงแคมเปญ Cryptojacking ซึ่งกำลังพุ่งเป้าเว็บไซต์ที่ใช้ Drupal CMS อยู่ในขณะนี้ โดยลอบฝัง In-browser Miner ผ่านช่องโหว่เพื่อหวังสร้างรายได้เมื่อมีผู้ใช้เข้าชมเว็บดังกล่าว แนะนำให้ผู้ดูแลเว็บไซต์รีบอัปเดตแพตช์โดยด่วน Mursch เปิดเผยว่า แคมเปญ Cryptojacking ที่กำลังแพร่ระบาดอยู่ในขณะนี้นั้น ใช้ช่องโหว่ที่เพิ่งค้นพบบน Drupal 2 รายการ คือ CVE-2018-7600 และ CVE-2018-7602 เพื่อลอบส่ง Backdoor และมัลแวร์ Cryptominer เข้าไปฝังไว้บนเว็บ เมื่อมีผู้ใช้เข้าถึงเว็บดังกล่าว ทรัพยากรเครื่องของผู้ใช้จะถูกนำไปขุดเหรียญเงินดิจิทัลเพื่อสร้างรายได้ให้แก่กลุ่มแฮ็กเกอร์ทันที Cryptominer ที่กลุ่มแฮ็กเกอร์เลือกใช้ คือ Coinhive In-browser Cryptominer โดยแฝงมากับไฟล์ที่ชื่อว่า  “jquery.once.js?v=1.2,”  ซึ่ง Mursch ได้ทำการติดตามร่องรอยของไฟล์ดังกล่าวกว่า 100,000 โดเมน จนถึงตอนนี้ยืนยันแล้วว่ามีไม่น้อยกว่า 348 ไซต์ที่ตกเป็นเหยื่อของแคมเปญ Cryptojacking นี้ ก่อนหน้านี้ Imperva ผู้ให้บริการโซลูชัน Web Security ชั้นนำ ก็ได้ออกมาเปิดเผยถึ...
Read more