Security-Tools – SAMInside von InsidePro Windows-Passwörter auf EFS-geschützten Systemen knacken

In den allermeisten Fällen müssen Windows-Passwörter nicht geknackt werden – ein Zurücksetzen reicht. Aber wehe, die EFS-Verschlüsselung ist aktiviert. Dann hilft nur ein klassischer Passwortknacker wie SAMInside von InsidePro Software. Dieser versucht mithilfe verschiedener Angriffsformen das Login-Passwort eines Anwenders in Erfahrung zu bringen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Ehe SAMInside genauer besprochen werden kann, müssen ein paar Fakten zur Login-Verwaltung von Windows-Rechnern bekannt sein. Sofern ein Windows-Rechner nicht zu einer Domäne gehört, speichert er die Login-Daten lokal. Dabei wird das Passwort nicht im Klartext aufbewahrt, sondern als Hash – also als Ergebnis einer nicht-umkehrbaren Funktion.

Mit anderen Worten: Man kommt vom Hash nicht auf das originale Passwort zurück. Aber wird das Passwort beim Anmeldevorgang eingetippt, hasht es Windows wieder mit derselben Funktion. Ist der daraus resultierende Hash gleich, dann waren es auch die Passwörter.

Um ins System einzudringen gibt es also zwei prinzipielle Wege: Entweder man bringt das Passwort in Erfahrung (wie SAMInside). Oder man „tauscht“ – vereinfacht formuliert – den hinterlegten Hash gegen einen anderen, bekannten aus.

Letzteres ist relativ simpel und ist der gangbarste Weg, wenn z.B. niemand mehr das Passwort eines selten verwendeten Servers kennt. Entsprechende Tools sind NTAccess und Locksmith im ERD Commander, der jetzt unter dem neuen Namen Microsoft Diagnostics and Recovery Toolset kostenlos verfügbar ist.

Bekanntlich bewirkt die Microsoft-Festplattenverschlüsselung EFS keine Vollverschlüsselung. Folglich funktionieren die Hash-Austausch-Tools auch bei einer EFS-verschlüsselten Festplatte.

Unter Windows 2000 war die Verschlüsselung des Betriebssystems sogar so laienhaft implementiert, dass man nach einen Austausch des Passworts Zugriff auf die verschlüsselten Dateien hatte. Dies ist seit XP nicht mehr möglich: EFS-Dateien bleiben nur lesbar, wenn das Passwort legitim innerhalb des Betriebssystems geändert wird.

Seite 2: SAMInside – Anwendungsfälle und Bedienung

SAMInside – Anwendungsfälle und Bedienung

Damit gibt es zwei legitime Anwendungen für Passwort-Cracker: Wenn bei einem EFS-geschützten Rechner das Passwort verloren geht, helfen Reset-Tools nicht. Hier muss das Passwort in Erfahrung gebracht werden.

Mit einem Cracker kann ein Administrator außerdem schnell überprüfen, ob Anwender unangemessen einfache Passwörter einsetzen. Ferner sollte ein Admin die möglichen Waffen des Gegners kennen: Kriminelle mit Passwortcrackern können ein System infiltrieren, und zwar heimlich.

Von SAMInside kann man unter www.insidepro.com eine Demoversion herunterladen. Diese ist in ihren Features stark eingeschränkt, erlaubt aber gleichwohl den Prozess zu verstehen. SAMInside muss nicht installiert werden sondern startet direkt, zum Beispiel von einem USB-Stick.

Windows versucht die Passwortspeicherorte im laufenden Betrieb möglichst gut zu schützen. Ältere Passwortcracker benötigten Dumps der Passwortdateien, die oft erst mit einem Bootmedium erstellt werden mussten. Bei SAMInside ist eine Funktion installiert, um bequem die lokalen Konten auszulesen. (Das Programm kann aber auch Dumps von nicht-lokalen Rechnern bearbeiten.)

Nun wird mit den üblichen Methoden, d.h. insbesondere Dictionary und Brute-Force versucht, das Passwort zurückzugewinnen. Eine der Stärken von SAMInside ist, dass das Programm bei Brute-Force eine extrem hohe Geschwindigkeit erreicht.

Wie üblich gilt auch hier: Ein wirklich langes Passwort mit vielen Sonderzeichen widersteht jedem Angriff. Andererseits ist es eine verstörende Erfahrung für viele Admins zu sehen, wie schnell „normale“ Benutzerpasswörter in Erfahrung gebracht werden können.

Fazit

SAMInside ist ein Best-of-Breed-Programm. Es kann die Beschränkungen seiner Klasse nicht aufheben: Wer für einen EFS-Rechner ein wirklich komplexes und langes Passwort gewählt hat, wird es auch mit SAMInside nicht zurückerhalten.

In anderen Fällen hilf das Programm rasch. Zudem ist es hervorragend geeignet, den Administrator über die von Passwort-Crackern drohenden Gefahren aufzuklären.

(ID:2015821)