Hoe snel kan een Nvidia-GPU je wachtwoord kraken?

Is je wachtwoord opgewassen tegen krachtige GPU’s? Hive Systems testte uit hoe snel verschillende types grafische kaarten van Nvidia wachtwoorden kunnen kraken, van GeForce RTX- tot A100-GPU’s.

Vandaag is Wereld Wachtwoord Dag en zal je dus op het internet weer menig lijstjes zien passeren met tips over hoe een perfect wachtwoord aan te maken. Maar zelfs als je de regels van de kunst volgt, kan je nog altijd een vogel voor de kat zijn als een aanvaller over heel krachtige hardware zou beschikken. Hive Systems testte uit hoe goed verschillende GPU’s uit de stal van Nvidia overweg kunnen met wachtwoorden in stijgende graad van complexiteit.

Het experiment is uitgevoerd onder zeer specifieke condities, waardoor je de veralgemeenbaarheid van de resultaten met een korreltje zout zal moeten nemen. Hive Systems baseert zicht op hashes van wachtwoorden. Ben je iemand die de regels niet zo serieus neemt en je account beveiligt met ‘wachtwoord’, dan zal dat op een server opgeslagen staan als een reeks willekeurige cijfers en letters.

Hackers die een server kraken, kunnen aan de hand van die hashes wel je wachtwoord trachten te ontcijferen. Krachtige GPU’s kunnen dat proces versnellen door de snelheid waarmee willekeurige combinaties kunnen geprobeerd worden te verhogen.

Wachtwoord gekraakt

Bestaat je wachtwoord uit enkel cijfers, dan heeft een hacker niet meer nodig dan een gaming-pc uitgerust met een Nvidia GeForce RTX 2080 om het in een ogenblik te kraken. Ook wachtwoorden die uit enkel letters bestaan zijn niet bepaald veilig te noemen, zoals onderstaande tabel toont.

Het combineren van letters, cijfers en symbolen doet de tijd die het vergt om wachtwoorden te kraken stelselmatig toenemen. Toch kan ook een wachtwoord met acht verschillende tekens in minder dan een uur gekraakt worden door een Nvidia GeForce 4090, de flagship GPU van Nvidia voor de gamingmarkt. Een arsenaal aan A100 GPU’s zouden die klus binnen 19 minuten tot zelfs een seconde kunnen kraken.

Het verhaal verandert helemaal wanneer het bcrypt-protocol ingeschakeld wordt om hashes te versleutelen. Dan zou zelfs de meest krachtige gaming-GPU 99 jaar nodig hebben om een complex wachtwoord met acht tekens te kraken. Enkel met tienduizend A100-GPU’s zou een hacker maar enkele dagen nodig hebben.

Schakel MFA in

Zoals aangegeven, dien je de resultaten van dit experiment binnen zijn specifieke context te zien. Het is onrealistisch dat een hackersbende over tienduizend A100-GPU’s zou beschikken. Dat is ongeveer de hoeveelheid rekenkracht die nodig is om ChatGPT te laten draaien. Het meest realistische scenario is dat hackers over gaming-GPU’s beschikken en die zijn in theorie dus ook in staat om wachtwoorden te kraken.

Een andere bemerking is dat het experiment ervan uitgaat dat hackers beschikken over de hashes van wachtwoorden, wat lang niet altijd het geval is. Meestal proberen hackers via phishingtechnieken je wachtwoord te ontfutselen, of raden ze het gewoon op goed geluk met brute force-aanvallen. Dan kan een krachtige GPU zeker ook helpen, maar met langere wachtwoordzinnen die uit verschillende tekens bestaan, dek je je daar zo goed mogelijk tegen in.

Om helemaal zeker van je stuk te zijn, schakel je ook altijd MFA in. Dit geeft je nog een stok achter de deur, ook wanneer je wachtwoord op straat zou komen te liggen. De beste tip die je kan krijgen op Wereld Wachtwoord Dag, is dan ook om niet helemaal blind te vertrouwen op wachtwoorden.