SharoWarez

Хакер, номер #085, стр. 085-147-9

ПРОГРАММА

MD5/MD4 Collision Generation

Windows/*POSIX

Open Source

Size: 50 Кб

www.stachliu.com

Умные криптоаналитики днем и ночью не только выдумывают новые методы шифрования, но и пытаются взломать уже созданные. В последнее время, когда большие надежды возлагаются на цифровые Электронные Подписи Документов (ЭЦП), а также хэширование паролей, особое внимание уделено алгоритмам хэширования. Напомню, хэширование - это одностороннее (или однонаправленное) математическое преобразование. От шифрования оно принципиально отличается тем, что в одну сторону вычисляется легко и быстро, а вот в обратную - никак. Если, конечно, не брать в расчет полный перебор всех возможных вариантов, на который может потребоваться столько времени, что исходные данные вряд ли увидят даже твои правнуки. И еще: получить одинаковый хэш для разных файлов практически невозможно, такое свойство называется отсутствием коллизий. Если бы можно было найти для заданного хэша идентичную пару (коллизию), то злоумышленники смогли бы проделывать такие вещи, как подделку сертификатов, цифровых подписей и паролей. И знаешь: с недавних пор это возможно. Под натиском криптоаналитиков Планеты не так давно сдались SHA-0, MD-4, а теперь еще и мегапопулярный MD5. Сначала алгоритмы поиска коллизий в MD5 были представлены китайским математиком Xiaoyun Wang (не рискнул написать его имя на русском языке) в статье How to Break MD5 and Other Hash Functions (www.infosec.sdu.edu.cn/paper/md5-attack.pdf), с которой я рекомендую обязательно познакомиться. А позже были реализованы Патриком Стэчом: несколько месяцев назад он представил всему security-сообществу исходный код генератора коллизий для алгоритмов хеширования MD4 и MD5. Как утверждает Патрик, при помощи данной программы на его Pentium 4 с частотой 1,6 ГГц одна MD5-коллизия формируется в среднем за 45 минут, а MD4 - практически мгновенно. Очень неплохой результат.

ПРОГРАММА

RootkitRevealer 1.6

Win 95/98/ME/2k/NT/XP

Open Source

Size: 190 Кб

www.sysinternals.com

Большинство руткитов под винду мало отличаются между собой: все они предоставляют схожие возможности и, что самое главное, используют одни и те же принципы для маскировки от злостных антивирусов и ушастого пользователя. Первый тип руткитов - User-mode Rootkits - перехватывает обращения функциям Windows API, таким как FindFirstFile/FindNextFile. Прикладные программы используют их для поиска файлов, поэтому руткитам не составляет труда перехватить обращения к FindFirstFile/FindNextFile и подделать результат их действия в свою пользу. Помимо этого, перехватываются обращения и к другим подпрограммам API, отвечающим за работу с реестром, файловой системой и т.д. Kernel-mode Rootkits более сложны, но зато менее уязвимы. Они не только могут перехватывать обращения к API, но также могут манипулировать структурами ядра системы. Таким образом, им удается полностью спрятать себя в списках процессов, где любой руткит можно распознать по незнакомому названию. Программистам из Sysinternals хорошо известны эти приемы, поэтому в своей проге - RootkitRevealer - они реализовали универсальный сканер заразы. Поскольку руткиты прячутся за счет изменения результатов функций API, RootkitRevealer нужно лишь самостоятельно выполнить сканирование жесткого диска на низком уровне и сравнить с результатами, выданными системами. Любое расхождение - подозрение на руткит. По тому же принципу выявляются скрытые ключи в реестре. Это возможно за счет того, что дамп регистра всегда хранится на жестком диске. Нужно лишь уметь обработать его, найти все ветки и ключи, а потом сравнить с тем, что выдают системные функции. Просто и чрезвычайно эффективно!