Nach Typo3-Lücke: Hochkonjunktur beim Hash-Cracking

Der Betreiber der Website hashcrack.com verzeichnet seit gestern einen "Boom" bei der Nutzung des Online-Dienstes zum Knacken von MD5-Hashes. Die Zugriffszahlen hätten sich innerhalb von zwei Tagen rund verzehnfacht. Vermutlich steht der Anstieg im Zusammenhang mit einer kritischen Sicherheitslücke im weit verbreiteten Content-Management-System Typo3.
Um sie auszunutzen, muss ein Angreifer das zu einem MD5-Hash gehörige Passwort herausbekommen. Ist ein Angreifer einmal an den Hash des Admin-Passwortes gelangt, kann er die Inhalte der Website beliebig manipulieren. Auf diese Weise veränderten Unbekannte beispielsweise die Internetpräsenz von Innenminister Wolfgang Schäuble und des Fußballvereins FC Schalke 04.

Da die Typo3-Hashes kein sogenanntes Salz enthalten – einen Zufallsanteil, der gewisse Knackmethoden vereitelt – lassen sich die Passwörter mit Hilfe von Regenbogentabellen und Hashdatenbanken wie hashcrack.com innerhalb weniger Minuten bis Tage berechnen. Regenbogentabellen erreichen je nach Zeichenvorrat und Länge der anvisierten Passwörter sowie der gewünschten Erfolgsquote eine Größe von mehreren hundert Gigabyte. Ihre Berechnung benötigt teils Monate auf spezieller Hardware, doch einmal erstellt lassen sie sich für alle ungesalzenen Hashes verwenden.

Auch andere Webseiten wie die Portale milw0rm und GDataOnline bieten ein solches Hash-Cracking an. Sie können größtenteils mit mehreren Hash-Typen umgehen, etwa auch Microsofts NTLM- und LM-Hashes und SHA1. Auf freerainbowtables.com beispielweise gibt es Regenbogentabellen für diverse Hashes und Passworttypen zum kostenlosen Download. Eines der bekanntesten Knackprogramme ist das Tool ophcrack.

Was eventuell noch zusätzlich interressant ist, ist GDataOnline nicht eigentlich ein AV Anbieter? (http://www.gdata.de/)
Was haben die mit online MD5 Cracking am Hut? o.O

Fraunhofer-Institut will Strom aus Körperwärme erzeugen

Das Fraunhofer Institut für Integrierte Schaltungen arbeitet an einer Alternative zur Batterie. Aus der Körperwärme wollen die Forscher Strom erzeugen.

Ingenieure am Fraunhofer-Institut für Integrierte Schaltungen (IIS) haben den weltweit ersten Spannungswandler entwickelt, der mit einer minimalen Eingangsspannung von nur 20 Millivolt auskommt.
Das erlaubt, sparsame elektrische Geräte mit kleinsten aus der Umwelt gewonnen Energiemengen zu betreiben. Eine denkbare Energiequelle ist die mittels eines Thermogenerators in nutzbaren Strom umgewandelte Körperwärme. Das stellt MP3-Player in Aussicht, die weder an die Steckdose müssen noch Batterien benötigen. Schon jetzt ist es möglich, Sensornetzwerke energieautark zu betreiben, wie man am Fraunhofer IIS zeigt. "Wir haben bereits einen Demonstrator, bei dem die Temperatur gemessen und die Messugen über Funk übertragen werden", erklärt Peter Spies vom Fachgebiet Leistungsoptimierte Systeme gegenüber pressetext.

Der nur 1,5 mal 1,5 Millimeter große Spannungswandler ist in Verbindung mit Thermogeneratoren "überall dort von Interesse, wo es geringe Temperaturunterschiede gibt", meint Spies. Denn die Generatoren liefern dann sehr kleine Spannungen, die erst durch das neue Gerät in höhere, tatsächlich nutzbare Spannungen umgewandelt werden können. Schon bei zwei Grad Temperaturdifferenz etwa zwischen menschlicher Haut und Raumklima liefert der Spannungswandler in Verbindung mit einem vier Quadratzentimeter großen Thermogenerator so bis zu vier Milliwatt Leistung. Das reicht beispielsweise für den direkten Betrieb von autarken Sensornetzwerken etwa im Umwelt- oder Sicherheitsbereich aus. Auch andere schwache Energiequellen wie beispielsweise Solarzellen bei geringer Beleuchtung wären für den neuen Spannungswandler ausreichend.

Der winzige Spannungswandler ist als Teil eines Projekts entstanden, dessen Fokus auf Thermogeneratoren für die dezentrale Energieerzeugung in Sensornetzwerken liegt. In ein bis zwei Jahren oder eventuell schon früher könnten entsprechende Produkte den Markt erreichen. Doch es gibt auch andere mögliche Anwendungsfelder, unter anderem in der Medizintechnik. "Pulsmesser kann man definitiv schon mittels Thermogeneratoren betreiben", sagt Spies. Bei wirklich stromhungrigen Geräten wie MP3-Playern oder PDAs ist eine direkte Energieversorgung mithilfe geringer Temperaturunterschiede derzeit zwar noch nicht möglich. Jedoch wäre denkbar, die gewonnene Energie über einen längeren Zeitraum zum Aufladen eines Akkus zu nutzen. Mit immer effizienteren Lösungen zur Thermoenergiegewinnung könnten eines Tages sogar komplett batterielose MP3-Player Realität werden.

(pte/mja -tecchannel.de)