'Vista-sleutels te berekenen middels bruteforcing'

Uit een topic op de Keznews-forums moet blijken dat hackers erin geslaagd zijn de Windows Vista-activatie om de tuin te leiden met simpel bruteforcen. De werking van de crack is echter nog niet bevestigd.

Om een werkende licentiesleutel te bemachtigen, moet het script slmgr.vbs - verantwoordelijk voor het licentiebeheer van Vista - aangeroepen worden met de parameters '-ipk generate'. Het script creëert vervolgens ongeveer tienduizend potentiële licentiesleutels per half uur. Na het uitoefenen van het nodige geduld - een sessie kan meerdere uren tot dagen duren - kan de gebruiker een poging wagen om zijn Vista-installatie te activeren met de sleutel die door het tooltje gegenereerd werd. Aangezien het om een volstrekt willekeurige bruteforce gaat, is het niet mogelijk sleutels specifiek voor een bepaalde Vista-versie te genereren, maar is een en ander afhankelijk van 'geduld' en 'geluk'.

Als de hack inderdaad blijkt te werken, is het slechts een kwestie van tijd voor een sleutel gegenereerd wordt die al gebruikt wordt door een legale gebruiker. Dat binnenkort een gebruiker thuiskomt met zijn pas aangeschafte Vista-dvd'tje om tot de vaststelling te komen dat zijn key al gebruikt is, lijkt nog vervelender. Het is immers nog maar de vraag of Microsoft bereid zal zijn deze gebruikers een nieuwe sleutel te bezorgen. Als het bedrijf overstag gaat en klagende consumenten van een nieuw exemplaar voorziet, zal het bovendien maatregelen moeten nemen om te voorkomen dat gebruikers die zelf het tooltje gebruikt hebben een nieuwe sleutel claimen.

Reacties (115)

[Cave_Boy]

Ik snap best dat Microsoft niet zou willen helpen maar ik kan het fout hebben volgens mij moetten ze het wel. Jij hebt een legaal exemplaar gekocht en het lijkt mij dat als de code al elders gebruikt word dat je daar niet de pineut van mag worden.

[TD-er]

Het lijkt mij ook niet dat MS echt moeilijk gaat doen, zeker niet als je kijkt naar de mensen die via WGA een illegale versie blijken te hebben dat die een legale versie krijgen van MS, als ze kunnen aantonen dat ze hun illegale kopie onbewust gekocht hebben. (dus onbewust van de legaliteit)

[Soldaatje]

Vergeet niet dat elke Windows gebruiker marktaandeel oplevert, illegaal of legaal maakt niet uit.

[_Pussycat_]

Microsoft heeft al 90% marktaandeel, en ik geloof dat ze dat aandeel nu zo goed mogelijk willen uitmelken.

[jqv]

Volgens mij heb je bij aankoop van Vista niets te maken met MS zelf.

BLijkt jou versie niet te werken, dan moet je op de verkoper afstappen en zeggen dat je een niet werkend exemplaar is.

[Praetor]

precies, als consument koop je iets bij een winkel en kan je daar garantie op verwachten. "ja meneer, dat is fabrieksgarantie en moet u zelf regelen" hoef je bijv. in geen enkel geval te accepteren, je hebt op een pc standaard 2 jaar garantie, ook al zegt de winkel 1 jaar, niks mee te maken, op een duurzaam goed telt de te verwachten levenswaarde onder normaal gebruik. De winkel en niet de fabrikant is verantwoordelijk voor een werkend product of een redelijk bedrag terug. (bij een pc-onderdeel wordt normale levensduur op 3 jaar gezet, als je hem na 1 jaar defect terugbrengt en de winkel kan geen nieuwe leveren heb je recht op 2/3 van de prijs die je hebt betaald.)

[DLGandalf]

dat is nu juist waar de oem versies voor zijn
bij een retail mag je gewoon support, wat dan ook, verwachten van MS

[Verwijderd]

kunnen ze niet per legale key, deze direct laten registreren aan een naam (bvb van de verkopende winkel), nog voor de verkoop, en dan moet de gebruiker die de installatie doet gewoon de winkelcode invullen... een soort validatie van de legale key dus

bvb ik koop bij mediamarkt Antwerpen de vista
de code voor Mediamarkt Antwerpen is
mma2000be
en je key is bvb d13a-z21d-a4dg-yt54-r7d1

als je dan de key ingeeft op je pc, moet je eerst d13a-z21d-a4dg-yt54-r7d1 ingeven
en dan wordt bvb gevraagd geef code van aanschaflocatie:
mma2000be

et voila... eer een keygen zoiets kan genereren :-o
dan moet mediamarkt antwerpen alle keys die ze binnenkrijgen eerst ingeven in de microsoftserver, zelfde met online shops, oem-verdelers etc...

lijkt me vrij waterdicht?

[dasiro]

als winkel ga je je echt niet met zo'n prullen bezig houden

[Verwijderd]

dan houdt MS zich ermee bezig hé, wat kan mijn het schelen, tis maar een gedacht hé

en hieronder, dat wil ik nog wel eens zien... ze zeggen dat apen shakespeare kunnen typen... maar hoe lang doen ze erover?

[breinonline]

Dan introduceer je dus eigenlijk 2 key's. En dus is het systeem niet waterdicht, dat valt ook te bruteforcen. Wel kan je bij activatieproblemen misschien bevestiging van de winkel krijgen maar dat kost een hoop administratie meer en daar zullen de winkels geen trek in hebben. Bovendien heb je een probleem met OEM licenties die op een via het internet gekochte PC staan.

[Dragunov]

Wel ik zou gewoon de serial rechtstreekt koppelen aan de windows id

dus username en paswoord

[rvrbtcpt]

Waarom maken ze niet een windows basis versie zo goedkoop dat al die moeite van het downloaden van cracks zich niet meer loont.
Stel je zou een basisversie kunnen krijgen (zonder mediaspeler, browser, paint, notepad, enz.) voor 40,-
Voor dat geld zou je de moeite van het opzoeken van cracks (na elke update) toch snel laten.

[dietmertan.com]

precies. dan zou ik hem ook direct legaal aanschaffen. MS echter zal daar niet over peinzen omdat ze dan niet meer met IE en Mediaplayer hun monopoliepositie kunnen versterken. Mensen gaan dan namelijk winamp en firefox gebruiken en dat willen ze niet.

[Verwijderd]

Windows Vista Basic is 75 tot 80 euro

Persoonlijk vind ik 180 euro voor Vista Ultimate goedkoop, voor iets dat je dagelijks gebruikt etc, je geeft per jaar nog meer uit aan bier/sigaretten/pleepapier.

[Z-Dragon]

Omdat ze het dan met de EU aan de stok krijgen vanwege oneerlijke concurrentie?

[SuX DeLuXe]

ik dacht misschien is dit positief nieuws...maar dat is het niet. het is alleen maar weer slecht voor mensen die wel legaal de boel aanschaffen...
ik zou graag een definitief gecrackte versie zien, maar niet op zo'n manier...ik zou ook niet blij worden als ik Vista aanschaf voor 280 euro en vervolgens werkt de key niet

[Verwijderd]

Je hebt gelijk, maargoed op zich is de methode die hier gebruikt wordt simpelweg een geautomatiseerde versie van zelf simpelweg wat nummertjes en letterjes invoeren en vervolgens kijken of Windows het pikt als Product Key.

Het is gewoon en VBscript die random een 25 tekens tellende code genereert met streepjes ertussen, uiterst simpel dus. Jij en ik hadden het ook kunnen bedenken.

De auteur Computer User heeft dit alles zelf ook al gezegd op het forum van KezNews.com. Linkje. Quote: "wow...this keygen thing is getting out of hand!!!! fake fake fake!"

Bottom line: er is hier helemaal geen sprake van een 'keygen' in de traditionele vorm, het is meer een 'random code sequence' generator die vervolgens probeert het resultaat als Product Key in te voeren. De kans op een werkende code is EXTREEM klein, maar het is theoretisch niet onmogelijk.

[Clavius]

Kortom, niks anders aan te doen dan vista gratis maken voor alle thuisgebruikers

[Darkprince1234]

Wat dat betreft vindt ik dit schandalig. Allemaal dezelfde key gebruiken ok, maar dan mensen beroven van hun cd-key door deze voordat ze hun code hebben ingevoerd al gebruikt te hebben.

Wellicht zou MS het zo moeten doen dat je moet registreren bij Microsoft en dat je dan pas je cd-key gegevens krijgt, zo kunnen ze precies nagaan wie er een key heeft.

Het statische systeem kan ook een optie zijn, code 1 is verkocht, code 1 gaat de db dan pas in. Code 1 is gecontroleerd en geactiveerd. Een code activeren voordat deze verkocht is is niet meer mogelijk.

[Verwijderd]

Dat betekent dat winkels dus aan microsoft terug zouden moeten gaan melden welke codes er verkocht zijn. Dat is geen doen. Kun je vergeten. Veel te omslachtig.

[TheCapK]

Dat hoeft helemaal niet omslachtig te zijn. Via Barcode-readers en internet is dit vrij gemakkelijk te realiseren. Nu al wordt de voorraad van allerhande artikelen bijgehouden via de barcode en dit zou slechts een extra stap zijn.

Gaat dan als volgt (ter verduidelijking):
Klant koopt Vista pakketje,
Verkoper (m/v) scant dit pakketje,
Barcode wordt afgelezen,
seintje naar voorraadbeheer EN seintje naar MS dat Vista met licentienummer wkjnscedjfh,d nkls is verkocht.
Moet je alleen nog wel de klantgegevens invoeren maar dat is bij een hoop computerketens toch al geen probleem met bv klantenkaarten waarmee je korting op software kan krijgen.

Is alles gekoppeld zonder veel extra handelingen.

[DataGhost]

Je vergeet voor het gemak even dat de programmatuur die door de winkels gebruikt wordt aangepast moet worden om dit mogelijk te maken, en dat iedereen moet updaten. Ook is er niet zoiets als 1 systeem dat door ALLE winkels over de hele wereld gebruikt wordt, het is eerder een speciaal systeem per winkel(keten).

En het kleine beetje privacy wat je bij zo'n aankoop normaal nog hebt is hiermee ook direct weg.

Edit: Ook zal dus vanuit Microsoft moeten worden bijgehouden welke licentiesleutels zijn verkocht aan welke winkel/groothandel, aan wie die zijn doorverkocht, aan wie die zijn doorverkocht, aan wie die zijn doorverkocht, en uiteindelijk aan welke klant. Anders krijg je het probleem dat een winkel een legale sleutel kan genereren, deze invoeren in het systeem en de klant voor een euro of 10 Vista Ultimate verkopen.

Ook moet trouwens elk systeem aangepast worden om barcodes met een andere codering te lezen, aangezien de sleutel anders handmatig ingetypt moet worden, waarbij je gewoon kan wachten op typfouten.

[maxxware]

Daarnaast vergeet je dat de illegale Vista gebruiker dus geen moeite hoeft te doen om toch Vista te gebruiken, terwijl de eerlijke klant weer eindeloos veel moeite moet doen om met z'n duurbetaalde software te kunnen werken. Terwijl dat andersom moet zijn...

[GENETX]

Dat zal niet gaan... Een bepaald product heeft een bepaalde barcode. Het is niet dat MS miljoenen barcodes gaat aanmaken voor de verschillende licenties. Je zal als winkel al die troep maar in de databae met producten moeten zetten...

[tellen]

Ik zie echt de moeilijkheid niet in om via barcodes te registreren welke keys al verkocht zijn.

Als ik een harde schijf, processor of moederbord ga kopen, dan wordt steevast de barcode met het serienummer gescand. Ook op mijn factuur staan die serienummers.

Als ik vervolgens enkele maanden later bijv online de warranty status voor mijn schijfje bekijk (WD), zie ik daar de datum van aankoop staan.

Ik bedoel maar, er zijn reeds zoveel producten waarvan de verkoop op basis van het serienummer wordt geregistreerd, de meeste moderen kassasystemen zijn daar ook op voorzien (ga maar ns een GSM kopen, doen ze dikwijls hetzelfde, dat wordt trouwens ook gebruikt door sommige gsm providers om na te gaan welke telnrs werden uitgedeeld).

Dit systeem moet volgens mij dus werkbaar zijn en is helemaal niet zo omslachtig als sommigen hier beweren.

[dasiro]

de kassa's op internet hangen, nog zo'n grap en het is terug kerstmis.

je vergeet dat vele kassa's gewoon op linux draaien op een pentium75 oid

[Verwijderd]

Vergis je niet... maar heel veel draaien er juist op DOS En ze hangen al met een een netwerkje aan een server. Waar denk je dat ze anders prijzen opvragen en de verkopen registreren?

[DataGhost]

Als ik vervolgens enkele maanden later bijv online de warranty status voor mijn schijfje bekijk (WD), zie ik daar de datum van aankoop staan.

Dat is gewoon de productiedatum hoor Anders kan je als handelaar flink frauderen met garantie op je schijven.

[locke960]

Briljant plan. Hoeven we de code in de winkel alleen nog maar van de verpakking over te schrijven...

[Verwijderd]

Beste mensen ...
Er is op de buitenkant van de verpakking echt geen licentiecode te zien.
Zelfs de OEM versies zijn per stuk voorzien van een verzegelde kartonnen hulst.

[Praetor]

kunnen die niet internetten dan?

edit: was reactie op dasiro - vrijdag 2 maart 2007 16:58
Ging iets niet helemaal goed geloof ik.

[markvt]

de kassa's op internet hangen, nog zo'n grap en het is terug kerstmis.

je vergeet dat vele kassa's gewoon op linux DOS draaien op een pentium75 oid

[TD-er]

Je kunt toch wel traceren welke winkel de windows-versie met die betreffende key geleverd heeft gekregen en dan kijken of er vaker iets vreemds is gegaan met de keys die aan die winkel geleverd zijn?
Dan hoef je dus niet bij te houden of een bepaalde key werkelijk verkocht is of niet.

[I-King]

Als je @Home afneemt moeten zij ook op internet jouw modem registreren. Het kan dus wel degelijk!

[DataGhost]

Alles kan. Lees ook mijn reactie op k1n8fisher, het systeem van @home is van begin af aan gebouwd om dit te kunnen. Alle software die in alle winkels gebruikt wordt aanpassen, DAT is geen doen. DAT kan je vergeten. DAT is veel te omslachtig. Niet eens het doorgeven van de licentiesleutel (en klantgegevens).

[Rex]

Wie zegt dat iemand die Vista neemt ook daadwerkelijk Internettoegang heeft?

[Cameleon73]

Ik. (als reactie op ReFleXWolf)

[Verwijderd]

Moet je wel leren lezen Cameleon73


*

800 MHz processor and 512 MB of system memory
*

20 GB hard drive with at least 15 GB of available space
*

Support for Super VGA graphics
*

CD-ROM drive

De Recommended en minimum moet je niet door elkaar halen he gekkie

[SMSfreakie]

en dat is dus onmogelijk, want hoe wil je controleren dat een code werkelijk verkocht is? en niet al 30x overgeschreven?

[Verwijderd]

Omdat MS zelf waarschijnlijk ook wel bij houdt welke codes ze uit gegeven hebben.

[OruBLMsFrl]

Dan zouden ze dat dus tot en met alle webshops moeten bijhouden. Microsoft verzend ze per 1000 stuks of zo naar groothandels. Op wat er daarna gebeurd hebben ze weinig zicht. Het kan zomaar een jaar duren voordat de laatste doos van een bepaalde batch daadwerkelijk aan de consument verkocht is.

[Verwijderd]

Je kan zorgen (a) de code niet op de buitenkant van de doos te zetten, (b) de codes per land/streek apart te houden, (c) per Vista versie aparte blokken codes te gebruiken en (d) de codeblokken in fases uit te leveren aan winkels.

Bij activering mailt de klant waar hij kocht en welke versie. Een verzonnen code zal veelal voor een andere versie zijn, of ander land, of andere tijdsperiode --- als er dan nog discussie is, moet je even met je bonnetje en de doos langs de verkoper gaan en omruilen; en je krijgt een cado'tje voor je extra moeite.

Zo'n systeem met code in doos, plus een hashkey gegenereerd door de `toestand' van je computer (bvb processor id + je hardware netwerkadres), die je dan moet mailen om de access key te krijgen, is al moeilijker om brute force te kraken? Bijvoorbeeld omdat je deze key tijdens het installeren vraagt, zodat je per key-poging 30m moet spullen installeren.
Da's dus 1x webform laten invullen en 1x automatisch gegenereerd antwoord sturen per bonafide gebruiker, plus misschien een menselijke tussenkomst bij 1 gebruiker op 100... Zeg dat zo'n tussenkomst qua werkuren en administratie op 50euro komt, is dat 50ct per verkocht Vista. Ook zorg je dat dat webform onmiddellijk ingestuurd wordt na 5min installatie (minimaal TCP/IP systeem) en antwoord voor die 99% binnen het halfuur komt. Als het faalt ga je over tot een crippled systeem (zoals nu, zie foto), dat alleen kan op een volledig systeem kan overgaan na een clean install (naast de cripple, natuurlijk; geen deleten): voor de eerlijke mens in die 1% problemen een (half?)uur tijdverspilling qua herinstallatie, voor de fraudeur te traag voor trial&error key generation.

Ik zal wel iets over het hoofd zien, als het efficient was zou MS het al bedacht en geimplementeerd hebben.

Fraude met dit systeem kan door op 1pc met steeds wisselende harddisks systemen te installeren (aangezien gegenereerde keys hetzelfde blijven) maar dan moet de hardware telkens 100% hetzelfde zijn. Problemen met dit systeem zijn er enkel als na een processor upgrade weer wil herinstalleren, maar (a) da's een zeer klein deel van de totale markt [niet onder tweakers], (b) of een bepaalde upgrade aannemelijk is kan je ook wel uitmaken [half-automatisch evt], plus de eerdere gegeven van land/datum/code.

[571Pro]

ook wel beetje onlogisch, stel dat je na een maand of 4 teveel beestjes hebt, een te traag systeem en je besluit je PC te herformateren...
een actie van om en bij de 250e wnat je mag een nieuwe vista kopen, omdat je key niet meer gebruikt kan worden

[GH45T]

Ik vraag me langzamerhand af wanneer ook Windows wordt voorzien van een token die je in een usb poort van je pc moet steken om Windows te mogen installeren al dan niet gebruiken.

serials zijn inderdaad verouderd en het zou ooit komen dat ze te bruteforcen zijn, als je er ook nog een activering aan de hand van die sleutel aan gaat koppelen kun je problemen verwachten, er gaat dus inderdaad een situatie ontstaan dat er legale sleutels worden gezien als illegaal omdat iemand anders de sleutel al gebruikt heeft.

Of er komt een grote database met daarin gebruikersnaam en wachtwoord en bij die bepaalde combinatie mag je x keer Windows versie x installeren op een enkele hardwareconfiguratie.

Ik ben erg benieuwd wat Microsoft hier aan gaat doen, van de andere kant hebben ze het ook wel een beetje op zich afgeroepen, met XP kon nog iedereen met een illegale corporate key Windows installeren, nu kan dat niet meer, het kraken van Windows houdt je niet tegen, hoe graag je het ook wilt.

[TagForce]

er gaat dus inderdaad een situatie ontstaan dat er legale sleutels worden gezien als illegaal omdat iemand anders de sleutel al gebruikt heeft.

En dan belt de persoon met het CDtje naar Microsoft, doet Microsoft de handmatige activatie, en kan de ali-illegalie versie opnieuw een key invoeren die niet in gebruik is.

Ik denk dat dit minder erg is dan de gestolen keys van nu, die werkelijk niet meer te gebruiken zijn.

[TheZoo]

Ik vraag me langzamerhand af wanneer ook Windows wordt voorzien van een token die je in een usb poort van je pc moet steken om Windows te mogen installeren al dan niet gebruiken.

En dan zal een stuk te kraken code moeten controleren of die token aanwezig is.

[Rex]

Er zijn legale Windows Vista versies te verkrijgen als download versie, dus zonder DVD/CD. Zou je dan al die mensen ook gelijk een usb sticky opsturen?

Een grote database met wachtwoorden, etc? Dus betekent dat als je Windows wilt installeren of gebruiken, dat je dan verbonden moet zijn met het Internet? Wat als je geen internet hebt? (In Nederland heeft wel bijna iedereen toegang tot het internet, maar neem nou een Zuid Africa, Polen of een Bosnie...)

Iedereen heeft wel leuke oplossingen voor Microsoft om illegale installaties tegen te gaan. Maar ik zal iedereen wel even uit zijn waan helpen: Er zullen altijd illegale installaties behouden en je kan het gewoon niet tegenhouden.

[GENETX]

En dan heb je een laptop. Altijd dat USB dingetje er in en eruit. Kleiner wss dan een USB stickje.. Ik voorzie massa's met verloren USB stickjes ter waarde van > 200 euri...

[Verwijderd]

Die keygen werkt helemaal niet eens.
Broodje aap
Het grote gevaar voor windhoos zit m in de biossen.
http://www.mydigitallife.info heeft dit al meerdere malen beschreven.
Ik kan er helaas hier niet verder op ingaan.
Maar het punt is wel duidelijk,

En ,Bill gates....iets wat te mooi klinkt om waar te zijn(Vista) is het dan waarschijnlijk ook.

DutchDeltaForce

Dan ben je mooi opgelicht want zoveel kost ie helemaal niet.
De 500€ versie is met 3 licenties

[Verwijderd]

Habon, en in welk land?
Ik heb hem deze namiddag ook gaan kopen: 549€ - fnac- city2, Brussel.

[Verwijderd]

Ik zit hier lekker met mijn gratis keys van Microsoft Technet

Office 2007, Ultimate version van Vista en veel meer lekker gratis.
Ik snap niet dat mensen zoveel geld besteden aan een stukje software...

[RwD]

Waarom geen usb dongle mee leveren met de cd. Zonder dongle geen installatie. Voor de corporate versie moet dan wel nog iets verzonnen worden....

[TagForce]

Omdat hardware dongles nog makkelijker en definitiever te kraken zijn dan een aanpasbare online controle

[BartS12]

Kan misschien wel zijn, maar je 'verplicht' wel alle potentiele thuis-krakers om zelf ook hardware dongles te kopen/maken.

Ook al zou iemand "lege" dongles verkopen, die de gebruiker dan middels een of andere illegaal tooltje kan voorzien van een key, dan nog is het een hobbel die sommige mensen weerhoudt van illegaal gebruik. En daar is het nou juist om te doen.

[SH4D3H]

Dat dachten ze bij consoles vast ook.
Totdat er een hele modscene was en zelfs chips uitkwamen die door iedere a-technische sufferd erin geplaatst kunnen worden

[DeTeraarist]

Als ze er een dongle bij doen, mogen ze er van mij part ook een usb poort bij doen.

[GENETX]

Makkelijk in een thuis PC ja. Ik moet er niet aan denken met een laptop. Die USB haal je er constant uit wanneer je je laptop mee neemt. Het is wachten tot je je USB stick van > 200 euro kwijt raakt...

[BartS12]

zonder dongle geen installatie...

Niet elke keer als je windows op wil starten dus...

[Verwijderd]

Lijkt een beetje op UT2004 en zijn CDKeyHashes, daarvan kun je met een klein beetje programeren (In UScript of C++) de CDKeys van alle mensen op je server stelen. D² (Een merge tussen ELF/DD) heeft op deze manier al ruim 10000 CDKeys voor dit spel gestolen en door het vele cheaten wat zij doen worden onschuldige mensen gebant.

[JeRa]

Dit is natuurlijk een erg duidelijk voorbeeld van een Birthday attack