Dotaz: Kontrola hesiel

[maros]

Ako by ste riesili nasledovnu ulohu. Treba skontrolovat, ci pouzivatelia v systeme nemaju nejake defaultne heslo, napr. datum narodenia pripadne krstne meno. Predstava je taka, ze sa nejakym programom zasifruje nejaky text a potom sa porovna s heslom v /etc/shadow. Otazka je, aky program pouzit, aby sifrovanie bolo "rovnake" s tym, ktore sa pouziva programom passwd.

Odpovědi

[Petr Šobáň]

Nic takového nejde protože to co je v /etc/shadow je hash hesla a ten může sedět na více hesel.

Pokud chceš testovat hesla musíš to udělat ještě před převodem a nepovolit nesmyslná.

http://www.root.cz/diskuse/5002/

Použití HASH (proč MD5, a jak uhoudnout pouzitou techniku)

[Michal Kubeček]

Nic takového nejde protože to co je v /etc/shadow je hash hesla a ten může sedět na více hesel. Pokud chceš testovat hesla musíš to udělat ještě před převodem a nepovolit nesmyslná.

Nesouhlasím. Předpokládejme (velmi nepravděpodobnou situaci), že uživatel zvolí těžko uhodnutelné heslo, které má stejný hash jako nějaké triviální. Pak mu ale není nic platné, že je jeho heslo těžko uhodnutelné, protože útočník nepotřebuje znát jeho heslo - pro přihlášení mu stačí trefit to slabé. Takže i pro správce systému, který chce dodatečně otestovat, zda uživatelé nemají slabá hesla, stačí znát hashe.

[bazyx]

Tohle zni skoro jako otazka nejakeho wannabe hackera, ktery se nahodou dostal k /etc/shadow a ted nevi co s tim :D.

Ale k veci. Docela dobre to je rozebrane v diskuzi jednoho ze starsich dotazu v poradne formát hesel v /etc/shadow. Hlavne jde o to volat funkci crypt() a nezapomenout na soleni.

[maros]

No prave, ale kolko solit?

[tsLnox]

Když už se tak hezky ptáš, tak samozřejmě "přiměřeně, přiměřeně"

[Michal Kubeček]

Nejznámější jsou John the Ripper nebo crack (jeho web se mi nedaří najít, možná už odumřel).

[maros]

Takze vyriesil som to tymto skriptom (ktory som nasiel na internete):

encrypt=`cat /etc/shadow | grep -w $username | cut -d: -f2 | cut -d$ -f 2`
salt=`cat /etc/shadow | grep -w $username | cut -d: -f2 | cut -d$ -f 3`
contrl=`openssl passwd -$encrypt -salt $salt $password`

Potom staci len porovnat heslo z /etc/shadow s obsahom $contrl.

[maros]

$username je pouzivatelske meno, pre ktore chceme robit kontrolu. $password je ocakavane heslo (datum narodenia, krste meno, ...)

[Ondřej Kopka]

a co třeba pam_cracklib?