Outils de sécurité open source
John l'Éventreur : l'audit des mots de passe bien fait
John l'Éventreur est le cheval de bataille original de l'audit des mots de passe : extrayez les hachages, introduisez-les et laissez les boucles CPU et les règles de liste de mots trouver des informations d'identification faibles à grande échelle. Son rôle professionnel est la section d'impact d'un rapport – prouvant qu'une politique de mot de passe existe sur papier et échoue dans la pratique, où un rockyou.txt exécuté par John transforme l'histoire du compte en recherche de compte. Il est stable, scriptable et riche en formats, et le prix de cette stabilité est des performances monothread par rapport au craquage GPU.
Points clés
- Bases du workflow : supprimez /etc/passwd + /etc/shadow dans un seul fichier, puis john --wordlist=rockyou.txt hashfile pour la première passe standard.
- Le mode incrémental (masque) offre une couverture hors dictionnaire : john --incremental hashfile brûle le processeur par force brute pure et gagne son heure uniquement pour les hachages qui vous intéressent.
- Les indicateurs de format sont importants : --format=NT, sha512crypt ou les formats Jumbo les plus récents ; une mauvaise estimation du format fait perdre des heures sur le mauvais moteur.
- Les règles sont le levier professionnel : les listes de mots et les règles de modification (règles/ensembles de style best64) trouvent le mot de passe 1 ! modèles qui manquent aux listes brutes.
- Jumbo ajoute les fonctionnalités modernes : PDF, ZIP, archives bcrypt et --show pour répertorier les mots de passe piratés sous la forme d'une ligne de rapport claire.
- Il s'agit du territoire du processeur : JtR évolue en fonction des cœurs et du nombre de machines ; laissez le travail à l'échelle du GPU à hashcat et choisissez par charge de travail.
- L'éthique est ici la plus pointue de la boîte à outils : vous auditez les hachages que vous êtes autorisé à auditer : les systèmes appartenant aux clients, les machines de laboratoire, les fichiers de la mission, car les mots de passe piratés sont de véritables informations d'identification pour les données de vraies personnes.
- La livraison compte plus que le crack : une fois que vous avez la preuve, le rapport montre l'impact (politique, réutilisation, écarts de rotation) et jamais une feuille de calcul de mots de passe en direct au-delà de ce que le client a contractuellement demandé de voir.
Note de terrain
John a trouvé six comptes partageant un modèle de jours de saison et a valu à notre équipe la réécriture complète de la politique que nous avions demandée. Les réalités du processeur m'ont appris à indiquer la liste de mots et les heures dans le rapport, sans faire de conjectures.
Questions fréquentes
John ou hashcat ?
Les deux : John possède le travail du processeur, les formats et les tâches rapides ; hashcat possède une échelle GPU ; une boîte à outils conserve les deux et sélectionne par charge de travail.
Pourquoi pas des tables arc-en-ciel ?
Ils sont morts avec des sels : le stockage moderne des mots de passe (bcrypt, scrypt, hachages salés) rend les tables précalculées inutiles, c'est pourquoi les listes de mots et les règles ont gagné.
Combien de temps un audit de mot de passe doit-il durer ?
Portée : un processeur limité exécuté sur des ensembles de hachage sélectionnés par le client, de quelques heures à une journée, avec les valeurs aberrantes nommées ; des courses sans fin brûlent le budget sans changer les résultats.
Que signifie Jumbo dans le nom ?
La version communautaire Jumbo contient des formats supplémentaires, des formats de correctifs et des modes -- ; pour un travail professionnel, c'est la version que vous installez, point final.
Comment Kinetikatech vous aide avec outils de sécurité open source
C'est notre quotidien : Les professionnels de la boîte à outils de test restent chargés : les scanners, les renifleurs, les crackers et les proxys Web expliquent la manière dont ils sont utilisés lors d'engagements réels : commandes, indicateurs, sorties et où chacun se situe dans une méthodologie. Notre service Tests d'intrusion et Sécurité des serveurs Linux le couvre de bout en bout : évaluation, mise en œuvre, supervision 24/7 et intervention d'urgence en 30 minutes.