Newsgroup: it.comp.sicurezza.varie
Titolo: excel, password

Ciao
ho detto a un mio amico una probabile cazzata, che le password di
excel sono deboli, e che vi erano probabilmente dei programmi per
scoprirle. Così lui ha preparato un file .xls con una psw di 9
caratteri (uno piu' saggio di me gli ha detto che con 8 caratteri sono
sicuri, ma 9 sono praticamente impenetrabili).
Sapreste aiutarmi? Ho trovato un programma apparentemente interessante
che prometteva buone possibilità di riuscita, ne ho scaricato il demo
per poi scoprire che funzionava solo con psw di al max 3 caratteri
(tante grazie! ci vuole un genio per scoprire una psw di 3 caratteri!)
Oppure dovrò darmi per sconfitto e ammettere di aver detto una cazzata
(maledetta la mia boccaccia) e che anche Microsoft sa proteggere i
suoi file :D
Vi ringrazio per l'attenzione
ciao
Marco
PS se anche solo uno di voi è con me non mi arrendero' mai dovessi
provare tutte le circa 6E17 possibili psw!!!! :D

 Marco
Ciao, R.

diversi mesi prima che riesca a decifrarla con il programma in questione.
Excel e' talmente lamer da scrivere la pass, opportunamente crittata,
nel file stesso. Siccome l'algoritmo di crittazione e' sempre il
medesimo, qualcuno e' riuscito a crackarlo, ergo non affidatevi a
delle password, se dovete proteggere un documento.

 delle password, se dovete proteggere un documento.
Sapevo questo per le versioni precedenti a Excel97 ma poi credevo che il
problema fosse stato risolto dalla 97 in poi!
Cristiano

suoi file :D
dopo l'esperienza di cui sopra... beh non credo proprio ;o))
-- 
Gorgon il patryn

 problema fosse stato risolto dalla 97 in poi!
Che sia stato risolto o no, io se devo proteggere qualcosa mi faccio
un bel pippo.xls.sda.exe con pgp e morta lě :-)
-- 
dario...@iol.it
 (pgp key on pgp servers)
http://dario.eyep.net
 (dial-up)
ICQ#: 37438061
The only good Windows is an uninstalled Windows, or maybe Windows2K

 freeware che mi ha trovato la pass dopo un'elaborazione di due secondi...
Io ho trovato un demo ma è estremamente lento (molti giorni di ricerca per
una pass da 8 caratteri).
Puoi indicarmi il programma che usi tu?
Cristiano

Puoi indicarmi il programma che usi tu?
non posso perche' tutto cio' avveniva 3 format fa ^^;;
[+1 che faccio nel week end ^^;;;]
e il programma l'ho perso...
cmq prova una ricerca su google con word+password+cracker... dovrebbe 
uscirti fuori
-- 
Gorgon il patryn

Ciao
Se qualcuno trova un programma che funziona, potrebbe indicarmi dove
l'ha trovato e come si chiama? 
Io ho fatto un po' di ricerca (circa 40 minuti) domenica, ma ho
trovato solo un'altra demo che funziona solo fino a 4 caratteri
(evidentemente non sono molto bravo :)), appena ho tempo cerchero' un
eventuale crack o un'altro programma.
Ciao a tutti e grazie
PS le mie speranze di riuscire a scoprire questa benedetta psw e di
potermi vantare :D col mio amico non sono ancora svanite! :P


wrote:

Ma la scommessa qual era: che Excel "si cracca" o che TU lo puoi
fare?
Voglio dire, io affermo: "L'Uomo e' stato sulla Luna". No, io no
davvero, pero' Armstrong si'.
Il fatto che non abbia una pietra di Luna in soffitta, IO!, mica
vuol dire che l'uomo non sia stato sulla Luna.
+++
L'esistenza di programmi commerciali che sfondano Excel, IMHO e'
prova sufficiente del fatto che Excel si sfonda. Fine.
Leonardo
".signature": bad command or file name

nel file stesso. 
considerando che il file dev'essere trasportabile da computer a
computer, tu dove l'avresti scritta?
-------------------
ara...@lohobbitelatorre.org

computer, tu dove l'avresti scritta?
Io non l'avrei scritta affatto. Se la password e' valida, il file viene
decrittato. Se non e' valida, il file non viene decrittato.
Tanto per fare un esempio cretino (e debole): io scelgo una password su
un computer ("A"), e qui cripto il file TEST.XLS, effettuando uno XOR a
byte a byte fra il file e un flusso random innescato dalla password P.
I computer A e B sono entrambi capaci di generare quel flusso random, e
inizializzando il generatore con la mia password, posso XORare il file,
criptato, e riottenere TEST.XLS.
Ma, se la password e' sbagliata, quello che ottengo non sara' TEST.XLS,
ma un ammasso di spazzatura digitale inservibile.
Sorge percio' il non semplice problema di distinguere fra un file Excel
ed un ammasso di spazzatura digitale. Si appende al file Excel criptato
il suo CRC o lo hash MD5; per la decrittazione, si verifica se dopo che
si e' XORato ogni bene, il CRC corrisponde. Se corrisponde allora vuole
dire che con fortissime probabilita' la password e' valida.
Nel file criptato, la password _NON_ _C'E'_ e quindi trovarla e' molto,
molto, molto difficile :-) ... occorre fare una criptanalisi ed avere i
dettagli del generatore random.
Ovviamente mi conviene usare una funzione fortemente asimmetrica, e non
lo XOR che costa uguale in cifratura e in decifratura.



La scommessa era che excel "si cracca" abbastanza facilmente.
I due programmi commerciali che ho trovato non mi assicurano dei
risultati in tempi ragionevoli per psw di 9 caratteri, anche perchè
per avere la certezza di successo  fanno una ricerca esaustiva.
Uno dei due programmi (Advanced Office 97 Password Recovery 1.3 beta 5
della Elcom Sw) stima di poter provare circa 50000 psw/sec, se non ho
sbagliato questa significa per una psw di 9 caratteri circa 2000
secoli di lavoro! E io ho un sacco di impegni :D 
(ovviamente se il mio amico è un cretino e ha usato come psw solo
lettere minuscole e magari la psw è pure sul dizionario, be... allora
è un'altro discorso)
L'altro programma (Excel Password Recovery Key, Passware) non mi dice
niente a proposito.
Cmq quello che volevo dire è che se per avere la certezza di trovare
la psw devo fare una ricerca esaustiva nessuno puo' craccare Excel
2000, se invece ho capito male e cmq esistono programmi (anche
commerciali) che possono ricavare la psw con certezza e in tempi
ragionevoli allora chiedo scusa, non avevo capito.

Uno dei due programmi (Advanced Office 97 Password Recovery 1.3 beta 5
Sto' programma e' lamerrimo, buttalo :P
C'e' quello apposta per Excel, cmq, e ripeto, gli advancedetc NON
vanno di brute force (a parte questo qua, a quanto pare)