So z.B. die Angabe von 7,5 Millionen Kombinationen aus Passwort und Username, die ich pro Minute ausprobieren kann.
Mit einem veränderten ABAP-Programm habe ich es noch auf 8 Millionen Kombinationen pro Minute gebracht.
Nachdem ich aber mal 2 Wochenenden investiert habe, um herauszufinden, wie der Algorithmus funktioniert, weiß ich, dass es noch wesentlich schneller geht.
Ich habe mal eine entsprechende Erweiterung für "John the Ripper" - s.
http://www.openwall.com/john/ - geschrieben und bin auf ca. 1,5 Millionen Kombinationen pro
Sekunde gekommen, immer noch auf dem gleichen System mit SuSE Linux 8.1, auf dem ich auch die Zeitmessung für den Artikel vorgenommen habe:
$ cat /proc/cpuinfo
processor : 0
vendor_id : AuthenticAMD
cpu family : 6
model : 6
model name : AMD Athlon(TM) XP 2100+
stepping : 2
cpu MHz : 1724.902
cache size : 256 KB
fdiv_bug : no
hlt_bug : no
f00f_bug : no
coma_bug : no
fpu : yes
fpu_exception : yes
cpuid level : 1
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 mmx fxsr sse syscall mmxext 3dnowext 3dnow
bogomips : 3434.08
$ uname -a
Linux fd 2.4.21-198-athlon #1 Thu Mar 11 17:50:27 UTC 2004 i686 unknown
Hier das Test-Ergebnis, mit Vergleich zur Crack-Geschwindigkeit für andere Passwort-Algorithmen:
$ john --test
Benchmarking: SAP R/3 codvn B [v0.1]... DONE
Raw: 1577443 c/s real, 1577443 c/s virtual
Benchmarking: Traditional DES [64/64 BS MMX]... DONE
Many salts: 648025 c/s real, 648025 c/s virtual
Only one salt: 554432 c/s real, 554432 c/s virtual
Benchmarking: BSDI DES (x725) [64/64 BS MMX]... DONE
Many salts: 21606 c/s real, 21606 c/s virtual
Only one salt: 21196 c/s real, 21196 c/s virtual
Benchmarking: FreeBSD MD5 [32/32]... DONE
Raw: 5133 c/s real, 5133 c/s virtual
Benchmarking: OpenBSD Blowfish (x32) [32/32]... DONE
Raw: 300 c/s real, 300 c/s virtual
Benchmarking: Kerberos AFS DES [48/64 4K MMX]... DONE
Short: 128921 c/s real, 128921 c/s virtual
Long: 451481 c/s real, 451481 c/s virtual
Benchmarking: NT LM DES [64/64 BS MMX]... DONE
Raw: 3936768 c/s real, 3936768 c/s virtual
Nach mehr als 10 Jahren ABAP-Programmierung bin ich allerdings wahrlich kein guter C-Programmierer mehr.
Und mit Assembler kenne ich mich noch weniger aus.
Und wenn ich das Programm so ändere, dass ich statt für beliebige Benutzer nur die Passworte einzelner Benutzer
(z.B. DDIC oder SAP*) knacken kann, sind weitere Performance-Verbesserungen möglich.
D.h., SAP-Passworte lassen sich ca. 300 mal so schnell wie FreeBSD-Passworte und 5000 mal so schnell wie OpenBSD-Passworte knacken, und das bei einem max. 8stelligen Passwort ohne Unterscheidung von Groß- und Kleinschreibung.
Ich bin ja mal gespannt, was sich mit dem von Wolfgang Janzen im Thread
http://groups.google.com/groups?&thread ... google.comangekündigten Umstieg auf SHA-1 ändert, umd ob diese Option mit Release 6.40 verfügbar ist.