Windows Vista bruteforce-aanval blijkt hoax

De maker van de 'crack' waarmee Vista door middel van bruteforcing geactiveerd zou kunnen worden, heeft toegegeven dat zijn keygenerator niet werkt. Op het forum van Keznews zegt de auteur dat 'iedereen die beweert een geldige sleutel te hebben gevonden liegt of zich vergist.'

Hoewel Microsoft een onderzoek is begonnen naar de 'kraak', zegt maker Computer User: 'Feit is dat de bruteforce-keygenerator een grap is, het is nooit mijn bedoeling geweest dat het zou werken. Ik heb het nooit werkend gekregen en iedereen moet stoppen met het gebruiken van de tool.' Op veel internetfora werd al ernstig getwijfeld aan de gehanteerde kraakmethode, omdat de keygenerator compleet willekeurige sleutels 'verzint' waarin zelfs karakters voorkomen die niet in geldige licentiesleutels terugkeren. Bovendien zou de methode sleutels van reeds vergeven licenties kunnen vinden, waardoor legitieme Vista-gebruikers in de problemen komen. Ondertussen blijft Windows Vista onder vuur liggen van hackers. Gisteren kwam een methode in het nieuws waarbij een gekraakt of geëmuleerd bios een oem-versie van Vista zou kunnen activeren.

Reacties (91)

[Webdoc]

Dat zijn script niet werkt - tsjah wellicht - maar het is toch echt zeker wel zo dat je Windows Vista kan brute forcen - per slot van rekening gaat het gewoon on 25 letters/cijfers, als je daar een maandje aan zit best wel dat je legale codes vind. Brute force = nul intelligentie, gewoon blijven proberen. Dat dat kon wisten we al....

[user109731]

Stel dat er 36 tekens toegestaan zijn (letters en cijfers, ik weet niet hoe het in het echt zit), dan zijn er dus 36^25 mogelijkheden... Dat is 8.083*10^38 volgens mijn rekenmachine, wij kunnen ons bij zulke aantallen moeilijk voorstellen hoeveel dat wel niet is... De vraag is dan hoeveel mogelijkheden er goedgekeurd worden, maar volgens mij is dat een fractie...

In theorie mogelijk: ja. In de praktijk: nog niet. Je zult denk ik langer dan een maand nodig hebben, of je moet veel geluk hebben

[TD-er]

MS gebruikt alleen maar deze 24 tekens in de sleutels:
BCDFGHJKMPQRTVWXY2346789
Verder zijn er hier en daar ook nog wel wat beperkingen, zoals dat er geen keys zijn met alleen maar cijfers en alleen maar letters.
Maar goed, zelfs als je die beperking niet meeneemt, dan heb je dus maximaal zo'n log₂ 24²⁵ ~ 114 bits aan informatie in de key.

Dit is op te delen in 12bit + 31bit + 62bit + 9bit.
De verdeling is: 12bit: OS Family, 31bit: Hash, 62bit: Signature en 9bit: Prefix.

De hash is te berekenen uit de signature en deze is 62 bits lang.
Het berekenen van de juiste (door MS geheim gehouden) private key is dus ongeveer van de complexiteit O(2³¹) Als je die key hebt kun je heel snel sleutels genereren.

Zolang je die private key dus nog niet hebt, is deze methode van brute-force "keygenereren" een goede manier, alleen is er nog best wel wat ruimte voor verbetering.
De hele berekening van de key is bekend (ik zit dit niet zelf te verzinnen, staat allemaal online ) en deze methode kan prima gebruikt worden om de keys te valideren.
Door nu de random keys wat meer in een bepaalde vorm te kneden voordat je ze gaat testen, zou je best wel eens een heel stuk sneller werkende keys kunnen vinden.

[TheCapK]

Als je toch gaat brute forcen dan kan je er ook wel een scriptje bij nemen om automatisch uit te proberen of de code ook valide is.
Dan heb je na die maand meteen een lijst met geldige keys!

[Verwijderd]

Het is geen hoax, en in die bewoording heeft hij het ook niet gezegd (zit zelf al heel lang op het keznews forum).. Ongeldige karakters klopt ook niet, als je het script bekijkt kun je zien dat bepaalde karakters die in de keys niet voorkomen ook daadwerkelijk uitgesloten worden. Wel is het zo dat hij enorm geschrokken is van de aandacht die zijn methode heeft gekregen en heeft hij gezegd dat dit nooit zijn bedoeling is geweest. Hij heeft in het forum gezegd dat hij zich er van distantieerd en hoopt dat niemand het verder meer gebruikt .. Gedeeltelijk zal dit zeker angst geweest zijn gevoed door de enorme aandacht. Vanaf dag 1 heeft hij echter ook geroepen dat hij geen hacker is en ook totaal geen ervaring daar in heeft (zelfs geen ervaring in het programmeren dat hij ook niet verwachte dat zijn methode uberhaupt zou werken.

[TheCapK]

Misschien dat degene die het orginele bericht schreef wat relaties had met MS waardoor hij het beter achtte om te zeggen dat het een hoax is. Op die manier stoppen de meesten tenminste om dit uit te proberen.

[Bitage]

Vanaf dag 1 heeft hij echter ook geroepen dat hij geen hacker is en ook totaal geen ervaring daar in heeft (zelfs geen ervaring in het programmeren dat hij ook niet verwachte dat zijn methode uberhaupt zou werken.

Kun je nagaan wat voor een n00bie's het daar bij M$ zijn, zelfs een leek kan zoiets doen...

[DeadKennedy]

Zoals velen hier al gezegd hebben: het is geen hoax, het werkt en dat is ook bewezen (door ipv randommen er een geldige key in te gooien krijg je altijd een mooie melding dat er een geldige key gevonden is). Tweakers.net post hier inderdaad dus wederom een nieuwspost met een sensationele titel waar de inhoud niet van klopt.

Wat er wél aan de hand is, zijn de volgende zaken:

1- mensen hebben uitgerekend hoe lang het gemiddeld duurt om een key te krijgen, ikzelf heb even zitten rekenen en kom met mijn computer uit op ongeveer 456 jaar
2- zijn (computer user's) nieuwste versie had wat optimalisaties die niet klopten, die heeft hij daarna ook teruggetrokken
3- er is sinds vandaag een veel betere manier gevonden om Vista te kraken
4- het was slechts een proof-of-concept die nooit bedoeld was om Vista te kraken (zo werkt het dus ook niet, ik hoop dat ik over 456 jaar toch wel een beter OS draai dan Vista), maar enkel om zijn idee uit te voeren

Deze vier redenen hebben er toe geleid dat CU (wellicht ook bang door alle aandacht van de media, en geheid ook van MS) zich volledig heeft teruggetrokken uit de "ontwikkeling" (bestaat nu eigenlijk vooral uit het maken van een GUI, want een algoritme of een blacklist inbouwen zit er niet in) van deze brute force methode. Hij heeft duidelijk verteld dat dit géén crack is voor Vista (waaraan de bron de term "hoax" ws. heeft ontleend) en zegt dat mensen die Vista willen cracken dat veel beter met de nieuwste crack kunnen doen.

[Cameleon73]

...ik hoop dat ik over 456 jaar toch wel een beter OS draai dan Vista...

Aan de andere kant: het is niet onwaarschijnlijk dat over 456 jaar een tijdreismachine is uitgevonden. Dan neem je de gevonden key terug naar 2007 en voila: een geactiveerde Vista!

[Verwijderd]

Je kan maar terug gaan tot het moment dat de eerste tijdreismachine is gebouwd, hopend dat je effectief op de juiste tijdslijn blijft en dat je over een kleine tijd niet op Linux/Max zit te prullen met keygens.

Of wou je via een zwart gat gaan om zo even sneller dan het licht te gaan door verbuiging van het ruimte-tijdscontinuüm...

Je ziet het, beter even een retail kopen

[pin_point]

dan zeggen ze van
"vista? dat is zo 2007"
=)

[Verwijderd]

Aan de andere kant: het is niet onwaarschijnlijk dat over 456 jaar een tijdreismachine is uitgevonden. Dan neem je de gevonden key terug naar 2007 en voila: een geactiveerde Vista!

Dan moet je nu ook alvast een pc aanzetten, en hopen dat 456 jaar onafgebroken stroom hebt, en ook de gehele periode key's kan blijven proberen...

[w0w]

waarom heeft er dan nog nooit iemand iemand uit de toekomst ontmoet?

[MarijnvdZaag]

Mwaa dat klinkt enorm zinvol ja...

Rekent DeadKennedy ook even uit hoe groot de kans is dat het stukje software binnen een maand een geldige key berekent? En is er geen ruimte voor optimalisatie, of het gebruiken van een boel processors voor dit taakje? Distributed computing?

[Chuckylee]

als er DAN (lees ooit) een tijdreis machine zou zijn waarom merken wij er NU niets van dan.

[Verwijderd]

Moah, 't is geen hoax...

Hij was alleen wat optimistisch over de tijd die nodig was om keys te berekenen, en het percentage geldige keys wat eruit kwam.

[renevanh]

Ik hoop dat je die key ook niet gaat gebruiken. Stel dat een andere persoon Vista netjes koopt en hij blijkt ineens niet te werken.

Dat is bij de Enterprise niet zo'n probleem, die mag je meerdere malen op verschillende PC's zetten (net zoals XP Pro)

[Verwijderd]

Niet meer dus. Sinds Vista is dat veranderd, en heb je een Key Management Server nodig, die voor je bedrijf de licenses bijhoudt. Zonder MKS geen geactiveerde VLK-installatie meer.

Daarnaast zou zo'n key alleen werken met Vista Enterprise, niet met bijvoorbeeld Ultimate. En Enterprise heeft bepaalde features niet die andere wel hebben, zoals bijvoorbeeld Media Center.

[Verwijderd]

niet alle versies van XP Pro, enkel bij de versie met VLK (corp noemt het als ik mij niet vergis).

[DieterVDW]

Of de maker wordt beetje bang en trekt zich terug?

[0rbit]

Mwa, gezien het feit dat hij ongeldige karakters in zijn brute force methode toestaat lijkt me gewoon sprake van een amateur. En tja, amateurs worden misschien eerder bang

[Verwijderd]

Hey waarom merkte niemand dat op toen het in het nieuws kwam?

Edit: ik bedoelde, als men uit de losse hand een goede reden kan geven waarom het als nonsense klinkt, waarom schreef niemand zoiets?

[Verwijderd]

omdat een brute force meer dan 10u kan duren

[Soldaatje]

Omdat nieuws nieuws is of het nou waar is of niet...

[DaaNMageDDoN]

Waarom meteen een 'amateur'?
Ik vindt het anders wel een goede grap die behoorlijk wat publiciteit heeft gehaald. De maker heeft het ook nooit als serieus bedoeld, dus amateur roepen is weer heel makkelijk.
Sterker nog: hij is het tegenovergestelde: hij heeft behaald wat hij ermee wilde halen: niets dan publiciteit.

[Verwijderd]

kom maar voor je zelf op ja:P:P

[Neko Koneko]

Kijk, je zegt dat mensen Windows moeten kopen en meteen word je weggemodereert. Wat zijn dat voor zielige mensen bij elkaar die dat telkens doen. Wordt eens volwassen in plaats van de hele dag op je Linux bak porno te downloaden en bij elke niet anti-MS opmerking op Tweakers de boel omlaag te modereren.

edit: oeps, had natuurlijk mijn bovenstaande post moeten editen. Nou ja, is het nu te laat voor

[Larsie]

Ik heb zelf juist altijd het gevoel dat het andersom is (ik gebruik Debian). Ik had een tijdje terug een reactie gegeven op een nieuwsbericht en daarbij reageerde ik deels op iemand die meende dat linux vrijwel geen hardware supporte.

Toen ik dat wegeditte kreeg ik ineens 2(Grappig) ipv. -1(Troll).

Het gaat eigenlijk ook meer om de inhoud, en in welke volgore. Als ik was begonnen met ik vind dat Windows zuigt omdat blah, blah word ik gelijk weg gemod maar als ik begin met de nadelen en als conclusie windows sucks zeg dan heb ik wel kans op hoge waardering


On topic:

Is het nou in theorie nog steeds mogelijk of niet?

Je zou bijvoorbeeld het verkeer bij een legale intall kunnen sniffen en aan de hand daarvan een heel zombienetwerk laten bruteforcen.

Alhoewel ik wel denk dat ze bij MS slim genoeg zijn om bij een X aantal foute sleutels je IP in de ban te gooien

Vind het wel lullig voor legale kopers, straks moet ik mensen helpen die een legale versie hebben gekocht door er een crack op te gooien


Edit:

Kortom, het gaat om de inhoud, niet je mening. Als je alleen je mening geeft dan draag je niets bij

Edit2:

Heb laatst nog een discussie gehad met een mac user, en we zijn toen tot de conclusie gekomen dat iedereen gewoon dat moet gebruiken wat hem of haar het beste ligt.

Volledig mee eens @ hieronder. Die conclusie trek ik ook vaak

[Neko Koneko]

Vraag is zuigt Windows echt? Je kunt het oneens zijn met MS omdat je vind dat hun producten te duur zijn, maar je kunt heel goed Linux of een Mac nemen. Is het de schuld van MS dat Windows onveilig is? Misschien, maar het is toch de gebruiker die hersenloos allemaal rotzooi op zijn computer zet? Gebruik al jaren Windows en echt nog nooit ergens last van gehad hoor. Heb laatst nog een discussie gehad met een mac user, en we zijn toen tot de conclusie gekomen dat iedereen gewoon dat moet gebruiken wat hem of haar het beste ligt. Ik heb wel eens Linux gebruikt maar daar heb ik vaker crashes en hangups mee gehad dan met Windows...

Maar dat even terzijde, ik vind het gewoon jammer dat veel mensen hier op Tweakers zo vreselijk kinderachtig doen tegenover mensen die WEL graag Windows gebruiken, en het NIET terecht vinden dat je software van MS (of wie dan ook) steelt.Zolang je hier op Tweakers anti-MS bent, zit je goed. Laat je doorschemeren dat je Windows eigenlijk best wel een goed systeem vind, dan ben je toch wel een beetje de lul hier. En dat vind ik jammer. Laat de Windows gebruiker ook eens in zijn waarde.

[kimborntobewild]

@Neko:

maar je kunt heel goed Linux of een Mac nemen

Da's nu net één van de grootste problemen; dat kan juist helemaal niet heel goed. 99% van alle programmeurs richt zich alleen op Microsoft. Bijvoorbeeld omdat je niet fatsoenlijk een PC kunt kopen zonder Windows. De winkels bieden nauwelijks alternatieven. MS heeft al die winkels in hun macht. Bijna iedereen groeit op met het zeer commercieel georiënteerde MS, zonder ooit met een concurrent in aanraking te komen.
En zodra een (nieuwe) concurrent iets van de markt van MS probeert af te snoepen, staat MS op zijn achterste benen en binnen de kortste keren is 't FUD of EEE wat de klok slaat.
Als je ergens solliciteert en ze vragen of je met computers overweg kan, bedoelen ze ook gewoon of je met MS-producten overweg kan. En welke school heeft níet standaard Word, Excel en PowerPoint in zijn lessen geïntegreerd?
Een ander probleem is de 98% marktaandeel van Windows i.c.m. de continue veiligheidsgaten die gevonden worden. Bij MS gaat marketing, lock-in en feature helaas nog steeds vér boven veiligheid. En als marktleider (met zo'n enorme voorsprong) heb je een hoop verantwoordelijkheid. Maar die neemt MS veel te weinig.
Zelfs al denk je de onveiligheid weg, dan zuigt Windows inderdaad (nog steeds). Simpelweg omdat MS gewoon veel te veel macht heeft; en die macht komt niet ten goede van de consument. Die macht wordt vnl. aangewend om een groter marktaandeel te krijgen en nieuwe markten te veroveren. Zoals de Four Seasons Hotels, etc.

Je kúnt een Windows-gebruiker alleen maar in zijn waarde laten: iedereen nl. is er eentje. Of ze 't nu willen of niet.

[Eldee]

Heb laatst nog een discussie gehad met een mac user, en we zijn toen tot de conclusie gekomen dat iedereen gewoon dat moet gebruiken wat hem of haar het beste ligt

Als jullie beiden een objectieve kijk op de materie hadden gehad was dat het uitgangspunt van de discussie geweest, niet de conclusie.

[Inflatable]

Valt wel mee toch? Ik zie iig nu inzichtvol staan..

En wat betreft porno downloaden op een Linux bak, ik denk dat het aantal mensen dat tweakers bezoekt en Linux gebruikt ook gewoon onder de 10% ligt.. Zou een leuk topic zijn voor een poll (al is het altijd maar de vraag hoe betrouwbaar die zijn).. Ik ben het wel met je eens dat het kinderachtig gedrag is om je met alles maar af te zetten tegen MS en zelf illegaal gebruik van software goed te gaan praten.. Ik ben ook geen fan van MS, maar ik snap nog wel dat je voor Windows gewoon moet betalen (al vindt ik de retailprijzen iets te en ga dus voor een OEM)..

[CH4OS]

Zou een leuk topic zijn voor een poll (al is het altijd maar de vraag hoe betrouwbaar die zijn)..

IMO is daar geen poll voor nodig...
En je kan IMO ook betrouwbaardere resultaten krijgen aan de hand van statistieken...

[iceheart]

mod op post 1: inzichtvol
mod op post 2: flamebait.

waarom? op zich heb je een punt, maar bedenk je ook dat niet beargumenteerde posts met één zinnetje met ook nog eens een controversiële inhoud eerder weggemod worden dan een iets nettere, minder als een schreeuwende tienjarige klinkende post.

verder ben ik het wel met je eens dat het anti-MS sfeertje hier soms hoogst irritant en erg kinderachtig is - en voor de duidelijkheid, ik reageer nu toevallig van XP omdat ik op het punt stond een beetje te gaan gamen maar voor alles behalve dat gebruik ik linux - en ik probeer daar vaak ook wat tegenwicht aan te leveren. dat wil echter nog niet zeggen dat het goed is als jij je aan hetzelfde schuldig gaat maken en let maar eens op, er zitten hier minstens zoveel minstens zo wannabe MS fanboys alles wat ook maar een beetje pro-OSS is weg te modden. als je een post over een van die onderwerpen plaatst kan je er gewoon van uit gaan (tenzij je een heel lang, heel goed beargumenteerd erg neutraal verhaal schrijft of veel nieuwe informatie toevoert) dat deze weggemod zal worden.

dat is het nou eenmaal met een open discussie, er zijn altijd van die types bij die het niet met argumenten kunnen winnen en je dan maar wegmodden. live with it en vervuil de discussie dan niet nog verder

[diederik77]

of microsoft heeft hem omgekocht

[Verwijderd]

omgekocht of aangeklaagd

[Biermeester]

omgeklaagd of aangekocht

[justice strike]

omgekocht en aangeklaagd

[dadj]

aangekocht & omgelegd

[Neko Koneko]

Of ziet in dat mensen gewoon een legale Vista moeten kopen

[Limaad]

hij kreeg een offer he couldnt resist.
life long windows licenties als hij de cracks offline haalt ;P

[Jazzle]

Wat ik nog steeds niet begrijp dat iedereen moelijk doet met key generators enzo. Je kan met de beta1/beta2/rc1/rc2 key gewoon installeren en vervolgens 2 bestandjes die te maken hebben met de activatie van rc2 naar rtm kopieëren. Vervolgens kan je gewoon vrolijk vista activeren en genuine downloaden. Althans, dit werkt bij mij...

[Verwijderd]

Er is echter één probleem, die sleutels zijn ergens in Juni afgelopen als ik me niet vergis. Dan zit je alsnog weer vast aan die andere brakke methodes

[GENETX]

Jup, 1 juni 2007. Ik heb. Zo maar ff keys genereren, heb nog 3 maanden de tijd om een geldige Vista Ultimate key te vinden

Overigens is uiteraard niet duidelijk wat er op die datum gebeurt. Stop hij echt, of is dat uit de RTM gesloopt en gaat hij gewoon vrolijk door omdat de key schijnt te werken.

Overigens zou mij het laatste niets verbazen of MS dat heeft uitgeprobeert en dat wat ik hier zeg ook klopt. Ze hebben namelijk een patch uitgebracht (lekker handig onder de naam "Windows Vista Validation Update", nee die gaat de hacker uiteraard instaleren ). Ik zou me er niet moeilijk over doen als het toch in juni zou stoppen. De beta testers hebben namelijk bugs voor ze er uit gehaald en dan zou ik het niet erg vinden om ze lekker tot juni te laten prutsen...

[Jazzle]

Zou je dat niet kunnen testen door je systeemklok simeplweg een paar maandjes vooruit te zetten? Ik zal het meteen even proberen.

Edit: http://img95.imageshack.us/img95/8654/untitledzp1.jpg

werkt nog gewoon

[Verwijderd]

Volgens mij houdt ie bij wat de laatste tijd was. Het lijkt me dan ook dat dat niet gaat lukken. Maar grappig nieuws, de een zegt hoax de ander zegt geen hoax...

[Laurens-R]

Dat komt omdat vista het daadwerkelijk aantal gebruikte minuten bijhoud en niet werkt aan de hand van de datum. (dat is logisch omdat je anders net zo goed de klok achteruit zou kunnen draaien).

[GENETX]

In dit geval is het wel degelijk anders. Dit is nl geen trial maar een harde datum. Echter lijkt het erop dat het stipt 1 juni is om 0.00 uur GMT. Wij zijn GMT + 1 dus dat is dan juni om 1.00 uur zoals wordt aangegeven in winver.

Dus MS moet het ergens anders regelen. Heb je bij het testen wel het synchroniseren met de MS server uitgezet of inet eruit gehaald? Zou dus best wel eens kunnen dat we een eeuwig werkende crack hebben anders

[Jazzle]

Nee heb ik niet gedaan, heb alleen de datum in het bios veranderd...maar als hij zou syncen met internet zou de klok weer op 4 maart staan toch?

syncen gebeurt volgens mij maar eens in de zoveel tijd.

[Verwijderd]

De tool werk zeker wel !
ik heb een enterprise key er door gevonden, Heeft me wel 18 uur geduurd !

Kan misschien ook zo zijn dat die bestaande keys om de 10.000 keys neer zet in log ??

Bestande keys bedoel ik mee die van p2p programmas
op langer temeijn de blacklist keys !

[Admiral Freebee]

Ik hoop dat je die key ook niet gaat gebruiken. Stel dat een andere persoon Vista netjes koopt en hij blijkt ineens niet te werken.

[RaptorRVL]

Dan belt diegene MS boos op. Laat code zien enzo en dan krijgt die een nieuwe.

Erg leuk zou dat in ieder geval niet zijn

[Neus]

Grappig dat je Enterprise key werkt, zeker omdat die niet via de 'normale' activatie-process geactiveerd hoeft te worden.

[Verwijderd]

Mazzel

[Verwijderd]

ik ga geen 18uur key's gaan ingeven, je kunt beter gaan werken 18 uur dan heb je een versie van vista echt verdiend

[Larsie]

Dat heet multitasking:

Zo kun je werken (centjes verdienen) en Vista ultimate installeren tegelijk, tel uit je winst

[Palomar]

Hehe, ik had al een beetje een vermoeden, maar ik heb mn PC toch maar een nachtje aan laten staan om te kijken of het wat is Toen ie na een uur of 18 nog niks had heb ik het maar uitgezet..

Ik heb Vista btw wel legaal, maar wilde het even op mn tweede PC proberen voor de grap

[Neko Koneko]

Installeren zonder key in te voeren, krijg je een proef versie van een maand, en val je ook geen anderen lastig door hun sleutel te gebruiken.