Discussion :

[baali_hacene]

Bonjour,
je sais c'est dangereux ce que je pose comme qustion, mais!!!
je boss dans la sécurité informatique(stage). j'ai besoin d'un outils pour audit des mot de passe et des comptes users.
j'ai utiliser john the ripper. mais a chque q*fis quand je le lance sur un fichier:il me rend rien:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
ohn-1.6/run# sudo ./john passwd.txt
Loaded 0 passwords, exiting...

quelqu'un a une idée
merci

[laurentschneider]

c'est quoi passwd.txt?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
 
# ./john /etc/shadow
Loaded 3 password hashes with 3 different salts (OpenBSD Blowfish [32/32])
oracle           (oracle)

[baali_hacene]

j'ai fait une copier des mots de passe sur un fichier .txt (mesur de sécurité lol).
le probléme je croi que j'utilise le shadow, ce qui sécurise le fichier passwd.
avec ta commande /etc/shadow ça marche bien.

Est ce que tu sai comment utiliser la fonction d'envoi des mail par john:
en cas de détection d'un mot de passe faible, il envoi auto un mail au responsable.

[laurentschneider]

Est ce que tu sai comment utiliser la fonction d'envoi des mail par john:
en cas de détection d'un mot de passe faible, il envoi auto un mail au responsable.

tu peux employer la crontab, non?

[baali_hacene]

j'ai trouver un article,

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
de Laboratoire Informatique & Télécommunications
             Département Informatique
         École Nationale Supérieure des Télécommunications de Bretagne

ce logiciel possède un mode qui envoie
un courriel à une personne dont le mot de passe est trouvé afin de la prévenir de la faiblesse trouvée.

voila.

[laurentschneider]

j'ai trouver un article,

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
de Laboratoire Informatique & Télécommunications
             Département Informatique
         École Nationale Supérieure des Télécommunications de Bretagne

ce logiciel possède un mode qui envoie
un courriel à une personne dont le mot de passe est trouvé afin de la prévenir de la faiblesse trouvée.

voila.

je ne suis pas convaincu du bien-fondé de cette approche. signaler la faiblesse par email ? et si l'email est intercepté, alors le pirate est informé de l'utilisateur qui a la faiblesse.

Je pense qu'une approche plus saine est la définition de règles empêchant l'utilisateur de choisir des mots de passes trop faibles. Tu peux définir un module pam.

Lis le paragraphe sur Password strength checking modules sur http://www.kernel.org/pub/linux/libs/pam/modules.html

@+
Laurent