Je suis surpris que personne ne l'ait encore mentionnée: il s'agit des Rainbow tables où tous les cas possibles sont précalculés (enfin presque, voir: http://lasecwww.epfl.ch/php_code/publications/search.php?ref=Oech03(...) pour plus d'infos.
La recherche d'un mot de passe à partir du hash ne prend que quelques secondes/minutes (en fonction de la quantité de Ram dispo).
Evidémment, ces tables (certaines font plusieurs Go) ne sont calculées que sur certains jeux de caractères et pour une longueur maximum donnée. Celà permet de savoir à l'avance si son mot de passe est 'crackable' ou pas.
On peut aussi essayer un des sites en ligne (longue file d'attente en général) qui permet de poster son hash et de voir par la suite si le mot de passe a été trouvé ou pas: http://passcracking.com(...)
Bref le seul cas où John est encore interessant, c'est lorsque la longueur du mot de passe est supérieure à celle utilisée dans les tables. En ce cas, seul la force brute permet de récupérer un mot de passe à partir du hash (avec utilisation de dictionnaires et de recherche hybride pour augmenter l'efficacité). Ceci permet de savoir approximativement combien de temps un mot de passe peut 'tenir' et d'en déduire sa politique de sécurité sur leur longueur et leur complexité.
ps: je me suis déjà amusé à ce genre de jeux pour tester certains mots de passe root: avec un minimum de 16 caractères en combinant les caractères ascii peu utilisés (#~¤{^ etc. jamais aucun mot de passe n'a été trouvé.
# L'alternative
Posté par Raoul Volfoni (site web personnel) . En réponse au journal My name is John, John the ripper !. Évalué à 6.
La recherche d'un mot de passe à partir du hash ne prend que quelques secondes/minutes (en fonction de la quantité de Ram dispo).
Evidémment, ces tables (certaines font plusieurs Go) ne sont calculées que sur certains jeux de caractères et pour une longueur maximum donnée. Celà permet de savoir à l'avance si son mot de passe est 'crackable' ou pas.
On peut aussi essayer un des sites en ligne (longue file d'attente en général) qui permet de poster son hash et de voir par la suite si le mot de passe a été trouvé ou pas: http://passcracking.com(...)
A noter que ces tables sont dispos en torrent pour ceux qui sont interessés: http://rainbowtables.shmoo.com/(...)
Bref le seul cas où John est encore interessant, c'est lorsque la longueur du mot de passe est supérieure à celle utilisée dans les tables. En ce cas, seul la force brute permet de récupérer un mot de passe à partir du hash (avec utilisation de dictionnaires et de recherche hybride pour augmenter l'efficacité). Ceci permet de savoir approximativement combien de temps un mot de passe peut 'tenir' et d'en déduire sa politique de sécurité sur leur longueur et leur complexité.
A voir également pour ceux qui sont interressés par le sujet:
http://www.antsight.com/zsl/rainbowcrack/(...)
http://www.rainbowtables.net/(...)
ps: je me suis déjà amusé à ce genre de jeux pour tester certains mots de passe root: avec un minimum de 16 caractères en combinant les caractères ascii peu utilisés (#~¤{^ etc. jamais aucun mot de passe n'a été trouvé.