Desvendando o QSYRUPWD: Reconstrução de Hashes de Senha no IBM i Revela Vulnerabilidades

A equipe da Silent Signal desvendou um desafio persistente para a segurança do IBM i: a complexidade do QSYRUPWD. Essa API, que devolve dados de senha criptografados, tornava a auditoria de senhas uma tarefa quase impossível para QPWDLVL 2-4, que já adota formatos mais modernos que os DES/SHA-1 legados. A dificuldade residia no fato de que ferramentas conhecidas, como o John the Ripper, não conseguiam interpretar as saídas nesses níveis, criando uma lacuna para a avaliação da força das credenciais.

Usando engenharia reversa, disassembly e manipulação de memória em tempo real, os pesquisadores rastrearam chamadas SCV 10 CIPHER. Eles detalharam como o sistema encadeia algoritmos como SHA-1, MD5, AES-128 e Rijndael-256. A reconstrução da cadeia de descriptografia confirmou a capacidade de recuperar hashes DES, SHA-1 e NT, mesmo no QPWDLVL 4. Isso significa que agora é possível realizar auditorias de força de senha, um tema de grande importância que o CEVIU abordou em 27 de julho de 2026 na matéria "Complexidade de Senhas: Entenda Quanto Tempo um Atacante Levaria para Quebrá-las", enfatizando a necessidade de credenciais robustas.

Antes da pesquisa da Silent Signal, o material gerado pelo QSYRUPWD para QPWDLVL 2-4 não era compatível com os formatos esperados por ferramentas de quebra de senha. Isso significava que administradores, mesmo com as permissões mais elevadas (*ALLOBJ e *SECADM), tinham dificuldade em testar a real força das senhas de seus usuários, pois a saída da API havia mudado de forma não documentada.

Essa situação ecoa a matéria "Como o 'Fortalecimento da Criptografia' Quebrou a Autenticação", publicada pelo CEVIU em 12 de março de 2026. Naquele caso, uma alteração em um nonce de login (de SHA-1 para SHA-256 no FreshRSS) também gerou uma vulnerabilidade de autenticação. A diferença é que a Silent Signal, em vez de encontrar uma falha, reverteu a complexidade do sistema, permitindo que as organizações voltem a ter visibilidade sobre a segurança das senhas no IBM i, mesmo com as mudanças nos QPWDLVL mais altos.

O IBM i é a espinha dorsal de muitas operações empresariais críticas, desde ERP a finanças. A capacidade de auditar as senhas nesse ambiente não é um luxo, mas uma necessidade fundamental de cibersegurança. A pesquisa da Silent Signal fecha uma lacuna importante, permitindo que as empresas avaliem de fato a segurança de suas credenciais, mitigando riscos de ataques de força bruta ou vazamentos.

Essa descoberta reforça a importância de um rigor constante na implementação de criptografia e na gestão de vulnerabilidades. Como o CEVIU já destacou em 9 de março de 2026 na matéria "Desleixo vs. Rigor na Criptografia", mesmo os algoritmos mais fortes podem ser enfraquecidos por implementações descuidadas. A metodologia de engenharia reversa aqui aplicada serve de modelo para desvendar a segurança de sistemas complexos, protegendo dados sensíveis.