Introduction
John the Ripper est un outil de cracking de mot de passe rapide et flexible. Il est conçu pour aider les professionnels de la sécurité à tester la robustesse des mots de passe sur leurs réseaux. Cet article vous expliquera comment utiliser John the Ripper et vous fournira une cheatsheet pour une référence rapide.
Qu’est-ce que John the Ripper ?
John the Ripper est un logiciel libre de cracking de mot de passe qui peut être utilisé pour détecter des mots de passe faibles. Il supporte de nombreux formats de hachage de mots de passe et est capable de casser des mots de passe cryptés avec une variété de méthodes, y compris les attaques par dictionnaire, par force brute et par rainbow table.
Installation de John the Ripper sur Ubuntu
Pour installer John the Ripper sur Ubuntu, ouvrez votre terminal et exécutez les commandes suivantes :
sudo apt-get update
sudo apt-get install john
Utilisation de base de John the Ripper
Pour utiliser John the Ripper, vous devez d’abord créer un fichier de hachage à partir du mot de passe que vous voulez casser. Ensuite, vous pouvez utiliser John the Ripper pour casser le mot de passe. Par exemple :
unshadow /etc/passwd /etc/shadow > mypasswd
john mypasswd
John the Ripper débutera alors le processus de cracking du mot de passe.
John the Ripper Cheatsheet
Voici une cheatsheet pour une référence rapide des commandes les plus couramment utilisées dans John the Ripper:
- Créer un fichier de hachage à partir d’un mot de passe:
unshadow /etc/passwd /etc/shadow > mypasswd - Lancer le cracking du mot de passe:
john mypasswd - Afficher les mots de passe déjà crackés:
john --show mypasswd - Utiliser un mode spécifique de cracking:
john --format=descrypt mypasswd
Hardening du Hachage (yescrypt / Argon2id) & KMS Cloud (CLI & Terraform)
Pour résister au cassage hors-ligne par John the Ripper [1], configurez PAM avec yescrypt (facteur de coût élevé) et stockez tous les secrets applicatifs dans un coffre Cloud KMS / Secret Manager chiffré par HSM [2] :
# Créer un secret Cloud répliqué et chiffré avec rotation automatique
gcloud secrets create prod-db-credentials \
--replication-policy="automatic"
resource "google_secret_manager_secret" "prod_secret" {
secret_id = "prod-db-credentials"
replication {
auto {}
}
}