Newsgroup: it.comp.sicurezza.windows
Titolo: Password cracker & affini

In qualche post, che ora non ricordo, ho letto
di gente che si scordava la password dell' Administrator
in Windows 2000 (per esempio), e di qualcuno che
rispondeva indicando alcuni programmi  che dovrebbero
aiutare a trovar la password.
Ora, la mia domanda e': se imposto le policy in modo tale
che l'account Administrator venga bloccato al terzo tentativo
fallito di accesso, questi programmi perdono di utilita' ?
Danny

 fallito di accesso, questi programmi perdono di utilita' ?
No. Essi si basano sul crack diretto dell'hash delle password, cioe' del 
file in cui risiedono (SAM file). Per usarli devi ottenere il SAM, e 
quindi avere in qualche modo gia' accesso al sistema. La policy agisce 
sulla procedura di login, che non ha a che fare con l'uso di l0phtcrack
L'impostazione della policy cosi' come hai descritto tu e' utile per gli 
utenti, ma controproducente per l'administrator: si presta facilmente ad 
un DoS.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.


quindi conviene toglierla ?
Mi spiego meglio: se l'account viene bloccato, il server
continua a funzionare oppure si ferma tutto fino a quando non
arrivo io "in locale" e riavvio la macchina riloggandomi con la
giusta password ?
Danny



Il server continua a funzionare senza problemi. Solo non è possibile
effettuare il login con quell'account per i minuti specificati nella
policy che hai impostato.
Per quanto riguarda il DoS, penso che HappyCactus intendesse dire: se
c'è qualche utente bastardo che si diverte a bloccarti l'account,
questo è controproducente ;)
- - - - - - - - - - - - - 
Roberto Dapino
www.xdesign.it
forum.html.it
We are Microsoft. Resistance is futile.

 questo è controproducente ;)
Esattamente questo.
Soprattutto poi se il blocco avviene _anche_ in locale.



e speriamo di no, va' :-)
anche perche' scusate eh, esiste un modo per rendere innocuo questo tipo di
attacco ?
Danny

 attacco ?
Si: non fare assolutamente niente. L'account administrator (anche
rinominato) non e' affetto dalle impostazioni del blocco account.
Occorre una utilita' separata per abilitare il blocco dell'acocunt 
anche per l'amministratore (passprop) ma _solo_ per gli accessi da 
rete. In locale l'admin puo' entrare sempre e comunque.
Fabio


Grazie, Fabio.
Quindi ora che faccio ?
a) Ripristino le impostazioni precedenti ?
b) Lascio la policy che blocca l'account dopo 3 tentativi falliti di accesso
?
Danny

    di accesso
Sull'account di administrator, come ti dicevo, non cambia nulla.
Tenere questa policy sugli altri account e' una scelta da fare a
seconda dei rischi a cui e' esposta la macchina. 
Se la possiblita che qualcuno forzabrutizzi il tuo server dalla
rete e' reale e non ci sono controindicazioni d'altro tipo, puoi
anche tenere il blocco attivo, anche se io lo metterei piu' sui
5 tentativi (minimo) con un blocco nell'ordine della decina di 
minuti: se le tue password non sono in un dizionario e dai spesso 
una occhiata ai log (o hai un ids/nids che verifica i tentativi 
di accesso falliti) hai tutto il tempo di acorgerti che qualcosa 
non va. Opzioni piu' restrittive se il rischio e' maggiore.
Fabio

aiutare a trovar la password.
Ricordi male. 
http://groups.google.com/groups?th=333617ff56ba44d1
-- 
Lapalissiano
Icq 57269703

 minuti: se le tue password non sono in un dizionario e dai spesso 
Piu' che il blocco sarebbe sufficiente il delay sui tentativi, delay 
dell'ordine dei 5 secondi.
Questo (se fatto bene) vanifica i tentativi di brute force, forse :)



No no... c'era stato pure un intervento di Thorin (credo) che gli dava
la dritta ed un altro che gli rispondeva "ah, MA BRAVO ! tu che ti
occupi di sicurezza dici ste cose" (o qualcosa del genere) :-)
Danny (forse sotto effetto di allucinogeni)