Journal Solidité des mots de passe ...

Posté par  .
Étiquettes : aucune
0
28
avr.
2004
Dans le but de tester la solidité des mots de passe de mes utilisateurs, je recherche un programme qui permettrait de faire des brute force sur des hash MD5 comme mdcrack. mdcrack ferait l'affaire mais il ne gère pas le clustering (je dois surement faire un abus de langage la, disont de la distribution du travail sur plusieurs postes ;) ).

Donc je recherche soit un logiciel permettant de faire cela ou tout autre méthode permettant de tester cette solidité de manière la plus rapide possible.

J'ai demander aux utilisateurs de respecter certaines règles de base concernant le choix de mot de passe (longueur, variété des caractères) mais je doute fortement que tous aient appliqués les conseils :)

  • # Re: Solidité des mots de passe ...

    Posté par  . Évalué à 1.

    "Dans le but de tester la solidité des mots de passe de mes utilisateurs..."

    Mais bien sûr, et la marmotte...

    • [^] # Re: Solidité des mots de passe ...

      Posté par  (site web personnel) . Évalué à 2.

      Où est passée la présomption d'innocence !?
      Sérieusement, il y a certainement des admins réseaux, et plus spécialement des admins réseaux débutants, ici...

      • [^] # Re: Solidité des mots de passe ...

        Posté par  . Évalué à 0.

        Ben utiliser un cluster pour "vérifier" des mdp, ça me parait suspect. Je ne juge pas, je dis juste que ça me parait gros (trop gros ?). Maintenant il a peut-être de bonnes raisons qu'il ne donne pas dans son texte.

        • [^] # Re: Solidité des mots de passe ...

          Posté par  (site web personnel) . Évalué à 3.

          Oui, ceci dit, s'il a les md5s, qui sont dans /etc/shadow depuis bien longtemps déjà, c'est qu'il est root. Il n'a donc pas vraiment besoin des mots de passe des utilisateurs pour faire un su - user.

          • [^] # Re: Solidité des mots de passe ...

            Posté par  . Évalué à 4.

            Ce sont les mots de passe de mon forum, si je voulais vraiment chopper les mots de passe, j'aurai juste ajouter quelques lignes de php pour qu'il les enregistre dans un joli fichier txt. La je veux juste un prog qui me permet de tester la solidité ... faut arreter d'etre parano et voir le mal partout :)

  • # Use PAM

    Posté par  . Évalué à -1.

    Le plus simple n'est-il pas de configurer convenablement le module d'authentification PAM ?

    http://www.freebsd.org/doc/fr_FR.ISO8859-1/articles/pam/(...)

    http://www.google.fr/search?hl=fr&ie=UTF-8&oe=UTF-8&c2c(...)

    Ca éviterais ce gaspillage d'energie.

  • # Re: Solidité des mots de passe ...

    Posté par  . Évalué à 4.

    Essayes deja les dicos avec john

    • [^] # Re: Solidité des mots de passe ...

      Posté par  . Évalué à -1.

      ca ne marche pas, john n'est pas capable de coder en md5, et ne m'apportez pas le readme de john dans la tête, car le md5 de john n'est pas celui utilisé par md5sum, md5 de php...

      Forum Software Reviews: Comparez et testez les logiciels de forums Internet!

      • [^] # Re: Solidité des mots de passe ...

        Posté par  . Évalué à 1.

        Le md5 c'est un md5. Point. L'algo est le même quelle que soit l'implémentation. Si deux fonctions 'md5' ne te donnent pas le même résultat pour la même entrée, c'est que l'une des deux (au moins) n'est pas md5.

        L'algo : http://fr.wikipedia.org/wiki/MD5(...)

        L'implémentation en C : http://www.logic-net.ch/~fpollet/dat/md5/md5.c(...)

        • [^] # Re: Solidité des mots de passe ...

          Posté par  . Évalué à 1.

          ou mais il y a une différence entre le md5 de bsd et les autres, et je ne me rappelle plu ou j'ai vu cela.

          En tout cas, impossible de décrypter du md5 de php avec john...

          Forum Software Reviews: Comparez et testez les logiciels de forums Internet!

        • [^] # Re: Solidité des mots de passe ...

          Posté par  . Évalué à 0.

          Si deux fonctions 'md5' ne te donnent pas le même résultat pour la même entrée, c'est que l'une des deux (au moins) n'est pas md5.

          Moi j'ai encore plus fort, une fonction soi-disant md5 qui ne donne jamais le même résultat pour un même mot de passe : celle qui est implémentée dans GRUB.
          Petite démo (je mets le même mot de passe, 'toto', lors des deux appels) :

          [laurent@sesame laurent]$ /usr/sbin/grub-md5-crypt
          Password:
          Retype password:
          $1$1Ey/L0$g.kESEVGNU6KZrwUguxGt.
          [laurent@sesame laurent]$ /usr/sbin/grub-md5-crypt
          Password:
          Retype password:
          $1$TFy/L0$kNvxodQWiKSZYdxN0g3vr/

          Si quelqu'un peut m'expliquer ça je lui en serai très reconnaissant, je me suis arraché les cheveux dessus un bon moment avant de renoncer à sécuriser mon grub...

          • [^] # Re: Solidité des mots de passe ...

            Posté par  . Évalué à 2.

            Ca vient du "Salt" (sel en français), valeur tirée aléatoirement qui sert justement à rendre beaucoup plus difficile l'attaque par brute-force, en faisant en sorte qu'il existe de multiples version chiffrées d'un secret initial (n passes sont nécessaires pour tester un seul mot issu d'un dictionnaire).

            un document que j'ai trouvé en cherchant plus d'explications : http://www.rsasecurity.com/products/bsafe/overview/Article3-PBE.pdf(...)

            (désolé, c'est du PDF)

            • [^] # Re: Solidité des mots de passe ...

              Posté par  . Évalué à 1.

              Je comprends le principe, c'est intéressant, mais je ne vois toujours pas comment utiliser les mots de passes chiffrés avec GRUB.
              Si je comprends bien, il utilise un grain de sel pour générer le mot de passe chiffré mais n'est pas foutu de s'en souvenir lors de la vérification du mot de passe saisi par l'utilisateur. Quelqu'un l'a déjà fait marcher ?

              • [^] # Re: Solidité des mots de passe ...

                Posté par  (site web personnel) . Évalué à 2.

                C'est facile :

                $1 pour dire que c'est du md5

                $salt$ le salt en touré de deux $

                et pour finir on met le hash md5 ...

                Tu peux essayer avec mkpasswd -Hmd5 -S salt

                Y'a rien de sorcier (en passant, sous bsd, si ça commence par $2, c'est du blowfish).

      • [^] # Re: Solidité des mots de passe ...

        Posté par  . Évalué à 3.

        Pour que John ne soit pas capable de le faire, c'est que tu n'utilise pas les "salt" des mots de passes et que ton système est "pourri" à la base car 2 utilisateurs ayant le même mot de passe auront le meme md5, pas top top ...

        M'enfin, je dis ça hein ... juste au cas où :)

        John doit être capable de le faire en modifiant les sources légérements (string '\0' pour le salt je pense.

        Caeies

    • [^] # Re: Solidité des mots de passe ...

      Posté par  (site web personnel) . Évalué à 3.

      je me permet de préciser un peu : John The Ripper http://www.openwall.com/john/(...) avec les modes single (permutation simple et autre truc débile à partir des infos du /etc/passwd) et modes wordlist (dictionnaire) dans la bonne langue donne déjà les mots de passe vraiment pourri...

      https://damien.pobel.fr

  • # Re: Solidité des mots de passe ...

    Posté par  . Évalué à 2.

    Qu est ce que vous en avez à foutre de pourquoi il fait ça etc.

    "John the Ripper is a fast password cracker, currently available for many flavors of Unix (11 are officially supported, not counting different architectures), DOS, Win32, BeOS, and OpenVMS. Besides the crypt(3) password hash types most commonly found on various Unix flavors (several DES-based, MD5-based, and Blowfish-based), supported out of the box are Kerberos AFS and Windows NT/2000/XP LM hashes."

    Apparement le MD5 est supporté.

    Pour du distribué : slurpie

    http://www.ussrback.com/docs/distributed/slurpie.tgz(...)

    Je n arrive pas à accéder à la homepage:
    http://www.jps.net/coati/archives/slurpie.html(...)
    Le site doit etre mort, tout comme ce soft ne doit pas être à jour.

    • [^] # Re: Solidité des mots de passe ...

      Posté par  . Évalué à 3.

      Merci de cette reponse :)

      c'est comme pour la censure au niveau des magazines de hack ici, on demande quelque chose relatif à la securité et hop on est un jean kevin en herbe :)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.