Herramientas de seguridad de código abierto
John the Ripper: auditoría de contraseñas bien hecha
John the Ripper es el caballo de batalla original de la auditoría de contraseñas: extrae hashes, los introduce y deja que los bucles de CPU y las reglas de listas de palabras encuentren credenciales débiles a escala. Su función profesional es la sección de impacto de un informe: demostrar que existe una política de contraseñas en papel y falla en la práctica, donde un rockyou.txt ejecutado por John convierte la historia de la cuenta en una búsqueda de cuentas. Es estable, programable y rico en formatos, y el precio de esa estabilidad es el rendimiento de un solo subproceso en comparación con el craqueo de GPU.
Puntos clave
- Conceptos básicos del flujo de trabajo: elimine /etc/passwd + /etc/shadow en un archivo, luego john --wordlist=rockyou.txt hashfile para el primer paso estándar.
- El modo incremental (máscara) brinda cobertura sin diccionario: john --incremental hashfile quema la CPU con pura fuerza bruta y gana su hora solo para los hashes que le interesan.
- Las banderas de formato importan: --format=NT, sha512crypt o los formatos Jumbo más nuevos; La suposición del formato incorrecto desperdicia horas en el motor equivocado.
- Las reglas son la palanca profesional: listas de palabras más reglas de manipulación (reglas/conjuntos de estilo best64) ¡encuentra la Contraseña1! patrones que las listas sin procesar pasan por alto.
- Jumbo agrega los aspectos prácticos modernos: PDF, ZIP, archivos bcrypt y --show para enumerar las contraseñas descifradas como una línea de informe limpia.
- Este es territorio de CPU: JtR escala por núcleos y número de máquinas; deje el trabajo a escala de GPU en manos de hashcat y elija por carga de trabajo.
- La ética aquí es la más nítida de todas las herramientas: auditas hashes que estabas autorizado a auditar: sistemas propiedad del cliente, máquinas de laboratorio, archivos de alcance de participación, porque las contraseñas descifradas son credenciales reales para los datos de personas reales.
- La entrega importa más que el crack: una vez que tienes la prueba, el informe muestra el impacto (políticas, reutilización, brechas de rotación) y nunca una hoja de cálculo de contraseñas activas más allá de lo que el cliente solicitó ver contractualmente.
Nota de campo
John encontró seis cuentas que compartían un patrón de días de temporada y le valió a nuestro equipo la reescritura completa de la política que habíamos estado solicitando. Las realidades de la CPU me enseñaron a indicar la lista de palabras y las horas en el informe, no las conjeturas.
Preguntas frecuentes
¿John o hashcat?
Ambos: John es dueño del trabajo de la CPU, los formatos y los trabajos rápidos; hashcat posee escala GPU; una caja de herramientas guarda ambos y selecciona por carga de trabajo.
¿Por qué no mesas arcoíris?
Murieron con sales: el almacenamiento de contraseñas moderno (bcrypt, scrypt, salted hashes) hace que las tablas precalculadas sean inútiles, razón por la cual ganaron las listas de palabras más las reglas.
¿Cuánto tiempo debe durar una auditoría de contraseñas?
Alcance: una CPU limitada que se ejecuta en conjuntos de hash seleccionados por el cliente, desde unas pocas horas hasta un día, con los valores atípicos nombrados; ejecuciones interminables queman el presupuesto sin cambiar el hallazgo.
¿Qué significa Jumbo en el nombre?
La compilación Jumbo de la comunidad incluye formatos adicionales, formatos de parche y -- modos; para trabajos profesionales es la versión que instalas, punto.
Cómo ayuda Kinetikatech con herramientas de seguridad de código abierto
La propuesta es sencilla: Los profesionales de la caja de herramientas de prueba en realidad se mantienen cargados: escáneres, rastreadores, crackers y servidores proxy web explicaron la forma en que se utilizan en interacciones reales: comandos, indicadores, resultados y dónde se ubica cada uno en una metodología. Déjelo en manos de nuestro servicio Pruebas de penetración y Seguridad de servidores Linux y queda cubierto: evaluado a fondo, implementado con limpieza, monitoreado las 24 horas.