John ve hashcat: parola özetleri ve saklama güvenliği
Parolaların nasıl saklandığı, zayıf özetler, politika ve yavaş özetleme.
Seviye 201 · 16 ders · 15 pratik lab
Dersler
Parolalar nasıl saklanır
- Parolalar nasıl saklanır: düz metin, özet, tuz: Parolaların düz metin, özet (hash) ve tuz (salt) ile saklanması arasındaki farkı ve hangisinin güvenli olduğunu anlayacaksın.
- hashid ve hashcat ile özet türlerini tanımak: Yaygın özet (hash) türlerini tanıyıp eski ve zayıf olanları sistemlerinde nasıl ayıklayacağını öğreneceksin.
- Tuz ve biber: Tuz ve biberin ne işe yaradığını, nerede saklandığını ve parola korumasına neler kattığını anlayacaksın.
- hashcat ve yavaş özetleme: bcrypt, scrypt, argon2: bcrypt, scrypt ve argon2 gibi yavaş özetlemenin parolaları neden daha iyi koruduğunu ve doğru seçimi nasıl yapacağını öğreneceksin.
- Kısa görev: beş özet örneğinin türünü ve dayanıklılığını belirle
Parola gücünü denetlemek
- John ile kendi sistemindeki parola özetlerini denetlemek (lab): Kendi lab sistemindeki parola özetlerini denetleyip zayıf parolaları ve zayıf saklama yöntemlerini raporlayabileceksin.
- John ile parola gücünü ölçmek ve politikayı düzeltmek: Parola gücünü ölçmenin yollarını öğrenip sonuçlara göre parola politikasını düzelteceksin.
- hashcat: yaygın parola listeleri, kullanıcı parolaları neden zayıf: Yaygın parola listelerinin neden işe yaradığını ve kullanıcıların neden tahmin edilebilir parolalar seçtiğini anlayıp buna karşı önlem alacaksın.
- hashcat kuralları: tahmin edilebilir parola kalıplarını politikayla engellemek: Sözcüğe yıl ya da ünlem eklemek gibi kalıpların neden kolay bulunduğunu hashcat kurallarıyla görüp politikanı buna göre güncelleyebileceksin.
- CeWL ile kuruma özgü sözcük listesi ve yasaklı parola listesi: Kurum sitesindeki sözcüklerden CeWL ile liste çıkarıp bunları yasaklı parola listesine ekleyerek tahmin edilebilir parolaları engelleyebileceksin.
- Parola denetimi sonuçlarını kişileri ifşa etmeden raporlamak
- Kısa görev: lab dizinindeki parola özetlerini denetle ve ilke önerisi yaz
Sonrası
- Sızıntı sonrası: parola sıfırlamaya zorlamak: Parola veritabanı sızdığında kullanıcıları nasıl bilgilendireceğini ve parola sıfırlamayı nasıl zorunlu kılacağını planlayacaksın.
- Parola yöneticileri ve çok adımlı doğrulama: Parola yöneticilerinin ve çok adımlı doğrulamanın çalışanlar için nasıl güvenli ve kolay bir düzen kurduğunu göreceksin.
- Parolası unutulan şifreli arşivi yetkiyle kurtarmak: zip2john: Yazılı izinle, parolası unutulmuş bir şirket arşivinin özetini zip2john ile çıkarıp John ile kurtarabilecek ve süreci kayıt altına alabileceksin.
- Bitirme görevi: John ve hashcat ile parola saklama denetimi: Bitirme görevinde kurgusal bir şirketin parola saklama yöntemini inceleyip zayıf noktaları ve önerilen düzeltmeleri raporlayacaksın.
Pratik lablar
- Beş özetin türünü ve dayanıklılığını belirle: Labdaki beş özet örneğinin algoritmasını belirle ve her birini saklama güvenliğine göre zayıf, orta, güçlü diye işaretle.
- Bu sunucudaki parola özeti algoritmalarını listele: Lab sunucusundaki gölge dosyasında hangi hesabın hangi algoritmayı kullandığını çıkar ve eski algoritmadaki hesapları raporla.
- Uygulama veritabanındaki parola saklama yöntemini tespit et: Göktaşı Yazılım'ın lab veritabanındaki parola sütununu incele, tuz kullanılıp kullanılmadığını ve algoritmayı belirleyip bulgu olarak yaz.
- bcrypt maliyet ayarının etkisini ölç: Farklı maliyet değerleriyle özet üretme süresini ölç ve lab uygulaması için önerilen değeri gerekçesiyle yaz.
- Argon2 parametrelerini sunucu kapasitesine göre ayarla: Bellek, zaman ve paralellik ayarlarını lab sunucusunda dene, giriş süresini makul tutan en güçlü ayarı seç ve uygula.
- Eski özetleri giriş sırasında güçlü algoritmaya taşı: Lab uygulamasında eski hızlı özetleri kullanıcı giriş yaptıkça güçlü algoritmaya yükselten değişikliği yap ve taşınan hesap oranını ölç.
- Kendi lab sistemindeki parolaların ilkeye uyup uymadığını ölç: Lab sunucusunun parola özetlerini yetkili denetim kapsamında John ile sına ve kısa sürede tahmin edilen hesap oranını hesapla.
- Yaygın parola listesine düşen hesap oranını raporla: Kuzeyyıldızı Kargo'nun lab özetlerini yaygın parola listesiyle ölç, sonucu kişi adı vermeden yüzde olarak rapora yaz.
- Parola özetlerini denetle ve ilke önerisi yaz: Lab dizinindeki özetleri denetle, zayıflığın kök nedenlerini grupla ve ölçüme dayanan bir ilke değişikliği önerisi hazırla.
- Mevsim ve yıl kalıbındaki parolaları say: Denetim sonuçlarında mevsim adı ile yıl içeren parolaların oranını çıkar ve bu kalıbı yasaklı listeye ekle.
- Kuruma özgü sözcüklerden yasaklı liste üret: Ilgıntepe Tekstil'in lab web sitesinden kurum sözcüklerini topla, yasaklı listeye çevir ve uygulandığını doğrula.
- Tahmin kurallarının yakaladığı kalıpları ilkeyle engelle: Kural tabanlı ölçümün yakaladığı ilk beş kalıbı belirle, her biri için ilke kuralı yaz, uygula ve ölçümü tekrarlayıp farkı göster.
- Sızıntıdan etkilenen hesapları sıfırlamaya zorla: Sızıntı listesinde yer alan lab hesaplarını belirle, bir sonraki girişte parola değişimini zorunlu kıl ve durumu doğrula.
- Sahibinin izniyle unutulan arşiv parolasını kurtar: Erguvan Sigorta'nın yazılı izinle verdiği şifreli lab arşivinin parolasını kurtar, süreyi kaydet ve arşiv şifreleme önerisi yaz.
- Parola saklama denetimini uçtan uca yap ve raporla: Lab sistemindeki algoritma, maliyet, tuz ve parola kalitesini ölç, düzeltmeleri uygula ve önce-sonra karşılaştırmalı raporu teslim et.
Kurs hakkında
Parolaların nasıl saklandığı, zayıf özetler, politika ve yavaş özetleme.
Ne öğreneceksin
- Parolalar nasıl saklanır
- Parola gücünü denetlemek
- Sonrası
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.