Радужная таблица () — специальный вариант таблиц поиска () для обращения криптографических хеш-функций, использующий механизм разумного компромисса между временем поиска по таблице и занимаемой памятью ().
Радужные таблицы используются для вскрытия паролей, преобразованных при помощи сложнообратимой хеш-функции, а также для атак на симметричные шифры на основе известного открытого текста.
Использование функции формирования ключа с применением соли делает эту атаку неосуществимой.
Радужные таблицы являются развитием более раннего и простого алгоритма, предложенного Мартином Хеллманом.
Предпосылки к появлению Компьютерные системы, которые используют пароли для аутентификации, должны каким-то образом определять правильность введённого пароля. Самым простым способом решения данной проблемы является хранение списка всех допустимых паролей для каждого пользователя. Минусом данного метода является то, что в случае несанкционированного доступа к списку злоумышленник узнаёт все пользовательские пароли. Более распространённый подход заключается в хранении значений криптографической хеш-функции от парольной фразы. Однако большинство хешей быстро вычисляется, поэтому злоумышленник, получивший доступ к хешам, может быстро проверить список возможных паролей на валидность. Чтобы избежать этого, нужно использовать более длинные пароли, тем самым увеличивая список паролей, которые должен проверить злоумышленник. Для простых паролей, не содержащих соли, взломщик может заранее подсчитать значения хешей для всех распространённых и коротких паролей и сохранить их в таблице. Теперь можно быстро найти совпадение в заранее полученной таблице. Но чем длиннее пароль, тем больше таблица, и тем больше памяти необходимо для её хранения. Альтернативным вариантом является хранение только первых элементов цепочек хешей. Это потребует больше вычислений для поиска пароля, но значительно уменьшит количество требуемой памяти. А радужные таблицы являются улучшенным вариантом данного метода, которые позволяют избежать коллизий.
Предрассчитанные цепочки хешей
Хеширование - это преобразование входного массива данных произвольной длины в выходную битовую строку фиксированной длины. Его используют в:
Зачастую хеш-функции используются для:
• построения ассоциативных массивов;
• поиска дубликатов в наборе данных;
• создания уникальных идентификаторов;
• вычисления контрольных сумм;
• хранения паролей в защищённом виде;
• создания электронной подписи.
Криптографические хэш-верификаторы считаются безопасными и используются для проверки целостности и подлинности. Таким образом, высокая алгоритмическая сложность и однонаправленность послужили основанием для легитимности электронных подписей и их аналогов в системах информационной безопасности. Существует 3 основных направления шифрования информации:
1. симметричное;
2. ассиметричное;
3. хеширование.
Цепочки хешей, описанные в этой статье, отличаются от описанных в статье Цепочка хешей.
Предположим, у нас есть хэш-функция H с длиной хэша n и конечное множество паролей P. Наша цель - создать структуру данных, которая для любого значения хэша h может либо найти элемент p из P такой, что H(p)=h, либо определить, что такого элемента не существует. Самый простой способ сделать это - вычислить H(p) для всех p из P, но для хранения такой таблицы потребуется Θ(|P|n) памяти, что слишком много.
Хэш-цепочки - это метод, позволяющий сократить потребность в памяти. Основная идея заключается в определении редукционной функции R, которая отображает хэш-значения в P (множество паролей). Обратите внимание, что R не является инверсией хэш-функции. Начиная с исходного пароля и поочерёдно применяя H и R к каждому полученному значению, мы получим цепочку чередующихся паролей и хэшей. Например, для набора паролей из 6 символов и хэш-функции, выдающей 32-битные значения, цепочка может выглядеть следующим образом:
К функции редукции предъявляется единственное требование: возвращать значения из того же алфавита, что и пароли.
Для создания таблицы мы выбираем случайный набор начальных паролей из P, вычисляем цепочки фиксированной длины k для каждого пароля и сохраняем только первый и последний пароль из каждой цепочки.
Для каждого хэша h, значение которого мы хотим обратить (найти соответствующий ему пароль), мы вычисляем последовательность R(...R(H(R(h)))...). Если какое-то из промежуточных значений совпадает с концом некоторой цепочки, то берём начало этой цепочки и восстанавливаем её полностью. С большой вероятностью полная цепочка будет содержать хэш-значение h, а предшествующий ему пароль будет тем, который мы ищем.
Для примера, указанного выше, если у нас изначально есть хеш 920ECF10, он породит следующую последовательность:
Поскольку kiebgt - это конец цепочки из нашей таблицы, мы берём соответствующий начальный пароль aaaaaa и вычисляем цепочку, пока не найдём хэш 920ECF10:
Таким образом, искомый пароль — sgfnd.
Восстановленная цепочка не всегда содержит искомое значение хэша h. Это возможно в случае коллизии функций H или R. Например, пусть дан хэш FB107E70, который на определённом этапе генерирует пароль kiebgt:
Но FB107E70 не появляется в цепочке, сгенерированной паролем aaaaa. Это называется ложным срабатыванием. В этом случае мы игнорируем совпадение и продолжаем вычислять последовательность, сгенерированную h. Если сгенерированная последовательность достигает длины k без каких-либо хороших совпадений, это означает, что искомый пароль никогда не появлялся в предварительно вычисленных цепочках.
Содержимое таблицы не зависит от обратного хэш-значения, оно вычисляется заранее и используется только для быстрого поиска. Увеличение длины цепочки уменьшает размер таблицы, но увеличивает время поиска нужного элемента в цепочке.
Простые хэш-цепочки имеют несколько недостатков. Самый серьёзный из них — возможность слияния двух цепочек в одну (генерация одного и того же значения в разных цепочках). Все значения, сгенерированные после слияния, будут одинаковыми в обеих цепочках, что сужает количество охватываемых паролей. Поскольку предварительно сгенерированные цепочки не хранятся целиком, невозможно эффективно сравнить все сгенерированные значения друг с другом. Как правило, о бесколлизионной хэш-функции H заботится сторона, обеспечивающая шифрование паролей, поэтому основная проблема заключается в функции сокращения R.
Другой серьёзной проблемой является выбор такой функции R, которая будет генерировать пароли с требуемым покрытием и распределением. Серьёзным ограничением при выборе такой функции является ограничение на выходной алфавит.
Радужные таблицы Радужные таблицы являются развитием идеи таблицы хеш-цепочек. Они эффективно решают проблему коллизий путём введения последовательности функций редукции R1, R2, …, Rk. Функции редукции применяются по очереди, перемежаясь с функцией хеширования: H, R1, H, R2, …, H, Rk. При таком подходе две цепочки могут слиться только при совпадении значений на одной и той же итерации. Следовательно, достаточно проверять на коллизии только конечные значения цепочек, что не требует дополнительной памяти. На конечном этапе составления таблицы можно найти все слившиеся цепочки, оставить из них только одну и сгенерировать новые, чтобы заполнить таблицу необходимым количеством различных цепочек. Полученные цепочки не являются полностью свободными от коллизий, тем не менее, они не сольются полностью.
Использование последовательностей функций редукции изменяет способ поиска по таблице. Поскольку хеш может быть найден в любом месте цепочки, необходимо сгенерировать k различных цепочек:
первая цепочка строится в предположении, что искомый хеш встретится на последней позиции в табличной цепочке, поэтому состоит из единственного значения Rk(h); вторая цепочка строится в предположении, что искомый хеш встретится на предпоследней позиции в табличной цепочке, поэтому выглядит так: Rk(H(Rk−1(h))); аналогично, наращивая длину цепочки и применяя функции редукции с меньшими номерами, получаем остальные цепочки. Последняя цепочка будет иметь длину k и содержать все функции редукции: Rk(H(Rk−1(H(…H(R1(h))…))))
Также изменится и определение ложного срабатывания: если мы неверно «угадаем» позицию искомого хеша, это будет отбрасывать только одну из k сгенерированных цепочек; при этом всё ещё может оставаться возможность найти верный хеш для данной табличной цепочки, но на другой позиции.
Хотя радужные таблицы требуют отслеживания большего количества цепочек, они имеют бо́льшую плотность количества паролей на одну табличную запись. В отличие от таблицы хеш-цепочек, применение нескольких функций редукции уменьшает число потенциальных коллизий в таблице, что позволяет её наращивать без опасности получить большое количество слияний цепочек.
Пример Имеется хеш (), который надо обратить (восстановить соответствующий пароль), и радужная таблица, полученная с использованием трёх функций редукции.
Вычисляем цепочку длины 1 от начального хеша: R3(«re3xes»)="rambo". Данный пароль не является концом ни одной табличной цепочки. Вычисляем цепочку длины 2: R3(H(R2(«re3xes»)))="linux23". Данный пароль найден в таблице. Берём начало найденной цепочки (пароль passwd). Восстанавливаем табличную цепочку до тех пор, пока не получим исходный хеш re3xes. Искомый хеш найден в цепочке, атака успешна. Предшествующий данному значению хеша пароль culture является искомым.
Время и память Радужная таблица создаётся построением цепочек возможных паролей. Создание таких таблиц требует больше времени, чем нужно для создания обычных таблиц поиска, но значительно меньше памяти (вплоть до сотен гигабайт, при объёме для обычных таблиц в N слов для радужных нужно всего порядка N2/3). При этом они требуют хоть и больше времени (по сравнению с простыми методами вроде атаки по словарю) на восстановление исходного пароля, но на практике более реализуемы (для построения обычной таблицы для 6-символьного пароля с байтовыми символами потребуется 2566 = блоков памяти, в то время как для радужной — всего 2566·⅔ = блоков).
Таблицы могут взламывать только ту хеш-функцию, для которой они создавались, то есть таблицы для MD5 могут взломать только хеш MD5. Теория данной технологии была разработана Philippe Oechslin как быстрый вариант Доклад Philippe Oechslin на конференции CRYPTO’03 (PDF). Впервые технология использована в программе Ophcrack для взлома хешей LanMan (LM-хеш), используемых в Microsoft Windows. Позже была разработана более совершенная программа RainbowCrack, которая может работать с большим количеством хешей, например, LanMan, MD5, SHA1 и другими.
Следующим шагом было создание программы The UDC, которая позволяет строить Hybrid Rainbow таблицы не по набору символов, а по набору словарей, что позволяет восстанавливать более длинные пароли (фактически неограниченной длины).
Применение При генерации таблиц важно найти наилучшее соотношения взаимосвязанных параметров:
вероятность нахождения пароля по полученным таблицам; времени генерации таблиц; время подбора пароля по таблицам; занимаемое место.
Вышеназванные параметры зависят от настроек заданных при генерации таблиц:
допустимый набор символов; длина пароля; длина цепочки; количество таблиц.
При этом время генерации зависит почти исключительно от желаемой вероятности подбора, используемого набора символов и длины пароля. Занимаемое таблицами место зависит от желаемой скорости подбора 1 пароля по готовым таблицам.
Хотя применение радужных таблиц облегчает использование полного перебора (то есть метода грубой силы — bruteforce) для подбора паролей, в некоторых случаях необходимые для их генерации/использования вычислительные мощности не позволяют одиночному пользователю достичь желаемых результатов за приемлемое время. К примеру, для паролей длиной не более 8 символов, состоящих из букв, цифр и специальных символов !@#$%^&*()-_+=, захешированных алгоритмом MD5, могут быть сгенерированы таблицы со следующими параметрами:
длина цепочки — количество цепочек —