entschlüsseln von 2 Passwort Hashwerten

[Nirwnana]

Ein großes Hallo in die Runde, Ich bin neu hier, bin IT Dienstleister und führe ein Sicherheitsaudit in einer Firma durch.
Ich bin auf gespeicherte Kennwörter gestoßen und diese sind verschlüsselt

Was ich weiß bzw. nicht weiß:

1. Bei den beiden chiffrierten Werten handelt es sich um Kennwörter
2. Der Ursprung ist aus einer gesicherten Konfigurationsdatei einer
proprietäre software welche auf einem PocketPC läuft, nicht frei erhältlich.
3. Aufgrund des Alters der Hard und Software handelt es sich dabei nicht um neuartige Algorithmen wie AES o.ä.
4. Angaben zur Passwortlänge habe ich leider nicht, aber es sind KEINE Sonderzeichen enthalten nur a-z,A-Z,0-9

Ist es möglich mehr über den Algoritmus bzw. sogar das Passwort herauszubekommen?



Kennwort1: t9i]yuO=cUrkj|Tze{
Kennwort2: /L6dufW5lPwkvgr\widw-TMrjy

 

[gerontimo]

unbekannte Chiffre

Bei so kurzen Schnipseln hast Du eigentlich keine Chance, wenn es nicht gerade die Caesar Chiffre ist. Aber so alt sind sie wohl doch nicht Du hast wohl recht, dass es keine Hashes sind, weil die verschieden lang sind. Sieht nach radix64 codierung aus. Jedenfalls bist Du als Auditor nicht dafür da, das zu hacken. Du muesstest fragen, ob es eine Erklärung dafür gibt, dass die da sind und wofür die gut sind. Wenn es keine gibt musst Du schimpfen, dass die noch da rumstehen.

 

[Nirwnana]

Danke für den input, an Caesar habe ich auch schon gedacht aber da im cipher Sonderzeichen sind, fällt diese Möglichkeit wohl aus.
Über die radix64codierung mache ich mich jetzt noch etwas schlau.
Ich habe den Beitrag oben in Punkt 4 ergänzt, wenn es jemand hilft.

In dem Fall teste ich ein spezielles Steuerungssystem, auch andere DIenste müssen in dem Fall mit BruteForce Angriffen penetriert werden. Die meisten sind gut abgesichert und blocken nach Fehlversuchen, aber manche eben nicht. Wenn hier herauskommt das ein und dasselbe, womöglich schwaches Passwort, für eine ganze Serie verwendet wurde zählt das in dem Fall auch zu meinen Aufgaben.

 

[SchwarzeBeere]

Hersteller fragen. Wenn er antwortet, dann hast du den Algorithmus gefunden und kannst mit der Prüfung fortfahren (Sicherer Algorithmus? Schlüssellängen? Speicherort des Keys?). Wenn nicht, hast du ein potentielles Problem identifiziert, das es zu lösen gilt, denn das Risiko "Security by Obscurity" ist üblicherweise hoch, besonders dann, wenn die Softwarelösung schon älter ist.