Password inutili su Windows 98

Windows (nelle versioni 95, 98 e ME) ha un difetto colossale nel metodo di verifica della password: non ne controlla la lunghezza. Basta un semplice programmino per scovarle ed entrare nei sistemi altrui.



[ZEUS News - www.zeusnews.it - 07-11-2002]

Magari non farà piacere a quelli di Microsoft, ma c'è un sacco di gente che usa ancora Windows 98 e ha ignorato sia Windows ME, sia il nuovo, sfavillante, ultra-animato Windows XP per una lunga serie di ragioni, dai costi alle procedure di attivazione ai requisiti eccessivi delle nuove creature di Redmond.

Fra questi ci sono anch'io, perché sono taccagno, perché mi sono stancato di studiare le trovate (leggasi vulnerabilità) sempre nuove nascoste in Windows e preferisco dedicare il mio tempo a studiare Linux, e perché comunque una partizione Windows mi fa sempre comodo per i miei esperimenti e per le rare volte in cui mi serve la sicura compatibilità con Windows.

Se per caso siete retrogradi come me, leggete oltre, altrimenti saltate pure a un altro articolo.

Indagando su un virus, Opaserv, uscito alcuni giorni fa, ho scoperto che sfrutta una falla di Windows (versioni 95/98/ME) che ha dello stupefacente per diffondersi a tutte le macchine della rete locale. L'utente diligente che condivide file e stampanti adotta la precauzione di proteggere queste risorse con una password di condivisione, ma in realtà quella password è una cortina di fumo, perché è facilissimo indovinarla.

Infatti Windows (95/98/ME) ha un difetto colossale nel metodo di verifica della password: non ne controlla la lunghezza. Mettiamo che il computer A di Angelo voglia condividere una cartella del computer B di Beatrice. A dice a B: "la password è lunga un carattere ed è 'à".

Sapete B come gli risponde? B si fida della lunghezza comunicata da A (sì, avete letto bene), guarda la password effettiva e ne legge soltanto il primo carattere (perché leggere oltre, visto che A gli ha detto che la password ha quella lunghezza?). Se il carattere non è quello indicato da A, gli risponde "no, non è la password giusta"; se A ha indovinato, B risponde "giusto, ma c'è qualcosa che non va lo stesso".

Stando così le cose, basta procedere per tentativi: il computer A dice "la password è lunga 1 ed è 'à", "la password è lunga 1 ed è 'b'"... e così via, finché B gli risponde "giusto, ma c'è qualcosa che non va lo stesso". Ora A sa la prima lettera della password di B. Basta ripetere il procedimento per le lettere successive e in men che non si dica si ottiene la password completa, così Angelo può leggere e scrivere tutte le cartelle condivise che Beatrice crede di aver protetto con una password.

L'intero procedimento può essere automatizzato con un programmino come quello che ho appena provato e che mi ha trovato la password in meno di mezzo minuto. Te la vedi indovinare sotto il naso, una lettera alla volta.

Microsoft ha rilasciato la correzione mesi fa, per cui consiglio vivamente a chi usa Windows 95/98/ME di installarla!

Altre informazioni sono disponibili presso Security Friday e Nsfocus.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) sotto o segnalare un refuso.
.

Paolo Attivissimo

(C) by Paolo Attivissimo - www.attivissimo.net.
Distribuzione libera, purché sia inclusa la presente dicitura.

Commenti all'articolo (2)

Stefano Barni
win 2000, password sicure? :-D :-D :-D Leggi tutto
18-2-2003 16:17

marco
Password inutili su Windows 98 Leggi tutto
18-2-2003 16:12

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News (P.Iva 06584100967). Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Cosa pensi della domotica?
Se ne parla da almeno dieci anni ma di applicazioni pratiche ne ho viste ben poche.
I prodotti disponibili sono troppo costosi, non hanno mercato.
E' il futuro ma qualcosa si vede già oggi.
Si possono ottenere dei discreti risultati senza svenarsi: basta la propensione al "fai da te" e un po' di hacking.
Prima che io finisca di rispondere a questo sondaggio... il frigorifero avrà fatto la spesa on line da solo e il forno avrà deciso la mia cena sulla base dei miei gusti e degli ingredienti che ho in casa, mentre sullo smartphone mi sarà apparsa l'immagine di un venditore di aspirapolveri che ha appena suonato al citofono. Ma ovviamente a pulire i pavimenti ci pensa il robottino.

Mostra i risultati (1139 voti)
Luglio 2017
Doctor Who sarà interpretato da una donna: fatevene una ragione e crescete
Gli autovelox non possono rilevare i veicoli della corsia opposta
TIM chiude il data center di Bari
Addio, Windows Phone 8.1
Usare il font sbagliato può costare il posto. O mandare in carcere
Nascosto ma non troppo: la minaccia occulta della steganografia
Come riconoscere una foto falsa
Buran: gli Shuttle sovietici ripresi di nascosto
Autovelox, via tutte le segnalazioni e gli avvisi
Cosa devono fare gli utenti al più presto
Autovelox, 16 cose che è bene sapere
Wikileaks: così la Cia violava Linux
Ransomware, Windows 10 ora mette i dati sotto chiave
Giugno 2017
Il cannone laser che abbatte le zanzare
Petya, oltre al danno la beffa: i dati non si recuperano
Tutti gli Arretrati


web metrics