John the Ripper teste la force des mots de passe
John the Ripper est un outil courant de test de la force des mots de passe, principalement utilisé pour évaluer si les hachages des mots de passe sont faciles à deviner. Ce n'est pas un outil magique pour se connecter à des sites Web, ni capable de deviner à volonté le mot de passe d'une personne.
Il s'attaque aux hachages, pas aux mots de passe en clair
De nombreux systèmes ne stockent pas de mots de passe en clair, mais le résultat de leur hachage. John the Ripper tente de générer des mots de passe candidats en utilisant des dictionnaires, des règles ou par la force brute, puis il compare si les hachages correspondent. Si c'est le cas, cela signifie que le mot de passe d'origine pourrait être deviné.
Des mots de passe faibles souvent dus aux habitudes humaines
Les anniversaires, les noms, des mots courants, des séquences de clavier, les noms de marques associés à des chiffres, et les années sont tous des motifs faciles à deviner grâce aux règles des dictionnaires. La vitesse de l'outil est une partie du problème, mais le facteur clé reste si un mot de passe est prévisible.
Les frontières entre utilisation légitime et abus
Les entreprises peuvent tester leurs politiques internes de mots de passe lors d'audits de sécurité autorisés ; les chercheurs peuvent comprendre le hachage et la force des mots de passe dans des environnements d'apprentissage ; les particuliers peuvent l'utiliser pour comprendre pourquoi les mots de passe répétés et courts sont dangereux. Accéder sans autorisation aux hachages d'autrui ou tenter de craquer les mots de passe d'autres personnes n'est pas considéré comme un test de sécurité.
Les protections ne se limitent pas à la complexité des mots de passe
Utilisez des mots de passe longs et uniques, en évitant les règles prévisibles ; pour les comptes importants, employez un gestionnaire de mots de passe pour générer des mots de passe aléatoires ; les serveurs doivent utiliser des algorithmes de hachage de mots de passe, du salage et des limites de vitesse appropriées ; les utilisateurs doivent activer l'authentification multi-facteurs.
La valeur défensive de ces outils réside dans leur capacité à mettre en lumière comment les mots de passe faibles peuvent être devinés, incitant ainsi à adopter des stratégies de mots de passe longs, uniques et imprévisibles.