John the Ripper поможет проверить надежность вашего пароля в Linux.

John the Ripper поможет проверить надежность вашего пароля в Linux.

john-the-ripper
John the Ripper является средством аудита слабых паролей. Как и любое другое средство проверки безопасности Джон может быть использован неблагонадежными гражданами не только для проверки стойкости своих собственных паролей, но и для взлома чужих. Мы же пока озаботимся укреплением безопасности собственных систем.Установка осуществляется стандартным методом:

sudo apt-get install john

Энтузиасты могут собрать программу из исходников самостоятельно, посетив страницу загрузки исходного кода http://www.openwall.com/john/.

Проверка паролей по словарю

Как известно, в Linux используется т.н. теневое хранение паролей, т.е. в файле /etc/passwd пароли отсутствуют, зато парольные хэши можно найти в /etc/shadows. Создадим комбинированный файл с которым сможет работать Джон:

$ sudo unshadow /etc/passwd /etc/shadow > passfile.txt

Теперь нам потребуется словарный файл с паролями. Несмотря на громкое название, он представляет собой обычный текстовой файл со списком возможных паролей. Такие словари легко ищутся поисковиками. Запускаем процесс подбора:

$ john -wordlist:password.lst passfile.txt
Loaded 2 passwords with 2 different salts (FreeBSD MD5 [32/64])
admin       (root)
t-bone      (khess)
guesses: 2  time: 0:00:00:00 100%  c/s: 4408  trying: t-bone

Почти моментально Джон подобрал пароли к root (пароль admin) и к khess (пароль t-bone). Подбор по словарю отличается высокой скоростью работы, но низкой эффективностью, если пользователь использует случайный пароль, а не «словарный». Для таких случаев полезно использовать метод т.н. грубой силы (brute force) при котором перебираются все возможные символы в пароле. Такой метод эффективен для несловарных паролей небольшой длины (как правило, до 8 символов). Приступим.

Читайте также  CSS Web безопасные сочетания шрифтов

John the Ripper в режиме Brute Force

Очевидно, что никакие дополнительные файлы искать уже не нужно и можно сразу перейти к подбору:

$ john -incremental:lanman passfile.txt
Loaded 2 passwords with 2 different salts (FreeBSD MD5 [32/64])
guesses: 0  time: 1:04:04:08 (3)  c/s: 10927  trying: gmugoky - gmugok2
guesses: 0  time: 1:09:25:10 (3)  c/s: 10929  trying: SAgof2 - SAgofs
guesses: 0  time: 1:10:21:23 (3)  c/s: 10930  trying: topoua b - topoua f

В качестве параметра -incremental можно указывать:

alpha — только буквы
digits — только цифры
lanman — буквы, цифры и некоторые спецсимволы
all — все возможные символы

Выводы

Если ваш пароль оказался по зубам John the Ripper, значит ваш пароль плох и его требуется сменить. Чтобы новый пароль не был бы таким же плохим специалисты рекомендуют следующие правила:

    1. Пароль должен содержать не менее 10 символов.
    2. Буквы должны быть и в верхнем, и в нижнем регистрах.
    3. В пароле должны присутствовать числа.
    4. Используйте спецсимволы.
    5. Не используйте пароли в виде обычных слов.

По материалам журнала Admin Magazine.

Читайте также  Расшифровка маркировок на люминесцентных лампах.

Сохрани, чтобы не потерять