Atvirojo kodo saugos įrankiai
Jonas Skerdikas: Slaptažodžio tikrinimas atliktas teisingai
John the Ripper yra pradinis slaptažodžių tikrinimo arkliukas: ištraukite maišą, įveskite jas ir leiskite procesoriaus kilpoms bei žodžių sąrašo taisyklėms aptikti silpnus kredencialus. Profesionalus jo vaidmuo yra ataskaitos poveikio skiltis – įrodoma, kad slaptažodžių politika egzistuoja popieriuje ir praktiškai nepasiseka, kai per Johną paleistas rockyou.txt paverčia paskyros istoriją sąskaitos radimu. Jis yra pastovus, tinkamas scenarijui ir turtingas formatu, o šio pastovumo kaina yra vienos gijos našumas, palyginti su GPU nulaužimu.
Pagrindiniai punktai
- Darbo eigos pagrindai: išjunkite /etc/passwd + /etc/shadow į vieną failą, tada john --wordlist=rockyou.txt maišos failą standartiniam pirmam praėjimui.
- Prieauginis (kaukės) režimas suteikia ne žodyno aprėptį: john --incremental hashfile sudegina procesorių gryna grubia jėga ir uždirba valandą tik už jums rūpimus maišus.
- Svarbios formatų vėliavėlės: --format=NT, sha512crypt arba naujesni Jumbo formatai; neteisingo formato spėjimas sugaišta valandas netinkamam varikliui.
- Taisyklės yra profesionalus svertas: žodžių sąrašai ir sumaišymo taisyklės (taisyklės / geriausi 64 stiliaus rinkiniai) raskite slaptažodį1! modeliai, kurių neapdorotuose sąrašuose nėra.
- Jumbo prideda šiuolaikinių praktinių dalykų: PDF, ZIP, bcrypt archyvus ir --show, kad įlaužtus slaptažodžius pateiktų kaip švarią ataskaitos eilutę.
- Tai yra procesoriaus teritorija: JtR skalės pagal branduolius ir mašinų skaičių; palikite GPU masto darbą „hashcat“ ir pasirinkite pagal darbo krūvį.
- Etika čia yra pati ryškiausia įrankių rinkinio dalis: tikrinate maišą, kurią turėjote įgalioti tikrinti – klientui priklausančias sistemas, laboratorijų įrenginius, įsipareigojimo apimties failus, nes nulaužti slaptažodžiai yra tikri tikrų žmonių duomenų kredencialai.
- Pristatymas yra svarbesnis nei įtrūkimas: gavus įrodymą, ataskaitoje rodomas poveikis (politikos, pakartotinio naudojimo, rotacijos spragos) ir niekada nėra tiesioginių slaptažodžių skaičiuoklės, viršijančios tai, ką klientas paprašė matyti.
Pastaba iš praktikos
Jonas rado šešias paskyras, kurios dalijasi sezono dienų modeliu, ir uždirbo mūsų komandai visą politikos perrašymą, kurio prašėme. CPU realybė išmokė mane ataskaitoje nurodyti žodžių sąrašą ir valandas, o ne spėlioti.
Dažniausiai užduodami klausimai
Jonas ar hashcat?
Abu: Jonui priklauso CPU darbas, formatai ir greiti darbai; hashcat turi GPU skalę; įrankių dėžė išsaugo abu ir pasirenka pagal darbo krūvį.
Kodėl gi ne vaivorykštės stalai?
Jie mirė nuo druskų: šiuolaikinė slaptažodžių saugykla (bcrypt, scrypt, druskos maišos) daro iš anksto apskaičiuotas lenteles nenaudingas, todėl žodžių sąrašai ir taisyklės laimėjo.
Kiek laiko turėtų trukti slaptažodžio tikrinimas?
Apimtis: ribotas CPU, veikiantis kliento pasirinktuose maišos rinkiniuose, nuo kelių valandų iki dienos, su įvardintais iškrypimais; begaliniai bėgimai sudegina biudžetą nekeičiant išvados.
Ką pavadinime reiškia Jumbo?
Bendruomenės Jumbo versija turi papildomų formatų, pataisų formatų ir – režimų; profesionaliam darbui tai versija, kurią įdiegiate, taškas.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Tai sprendėme šimtus kartų: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Su Pratimų testai ir Linux serverių sauga gaunate visą ciklą: vertiname, įgyvendiname, stebime nepertraukiamai ir reaguojame per 30 minučių, kai reikia.