John the Ripper mide la fortaleza de las contraseñas

John the Ripper es una herramienta común para probar la fortaleza de contraseñas, utilizada principalmente para evaluar si los hashes de contraseñas son fáciles de adivinar. No es una herramienta mágica para acceder a sitios web, ni tiene la capacidad de conocer de la nada la contraseña de alguien.

Se enfrenta a hashes, no a contraseñas en texto plano

Muchos sistemas no almacenan contraseñas en texto plano, sino que guardan el resultado de su hash. John the Ripper intenta generar contraseñas candidatas usando diccionarios, reglas o métodos por fuerza bruta y luego verifica si los hashes coinciden. Si coinciden, significa que la contraseña original podría haberse adivinado.

Las contraseñas débiles son a menudo débiles por hábitos humanos

Fechas de nacimiento, nombres, palabras comunes, secuencias de teclado, nombres de marcas con números o acabados en años, son patrones que son fácilmente adivinables a través de reglas de diccionario. La velocidad de la herramienta es solo un aspecto; lo realmente crucial es si la contraseña es predecible.

La línea entre el uso legítimo y el abuso

Las empresas pueden probar sus políticas internas de contraseñas en auditorías de seguridad autorizadas; los investigadores pueden entender en entornos educativos el hashing y la fortaleza de las contraseñas; los individuos pueden utilizarla para comprender por qué las contraseñas repetidas y cortas son peligrosas. Obtener hashes de otros sin autorización o intentar descifrar contraseñas ajenas no es prueba de seguridad.

La protección no solo depende de complicar las contraseñas

Usar contraseñas largas y únicas, evitando patrones previsibles; usar un gestor de contraseñas para generar contraseñas aleatorias para cuentas importantes; el servidor debe utilizar algoritmos de hashing de contraseñas apropiados, con sal y limitaciones de velocidad; por su parte, los usuarios deben habilitar la verificación en dos pasos.

El valor defensivo de herramientas como esta es mostrar cómo las contraseñas débiles pueden ser adivinadas, fomentando así el uso de estrategias de contraseñas largas, únicas e impredecibles.