Come rompere le password senza rivelarle?

Non sono un avvocato e la mia risposta presuppone che tu sia in un contesto professionale, nel senso che ciò che stai tentando di crackare è un account professionale dato da un'organizzazione ai suoi dipendenti. Poiché la sicurezza generale dell'organizzazione potrebbe essere indebolita da password scadenti, penso che possa chiedere ai suoi dipendenti di utilizzare password non troppo deboli . Non conosco un modo tecnico per rivelare l'account con password deboli senza divulgare la password, quindi utilizzerei una procedura più di 2 occhi :

• almeno 2 persone (un amministratore tecnico e un senior manager) devono essere coinvolti nell'operazione, ognuno controllando ciò che fa l'altro

• esegui john in questo modo (supponendo un sistema Unix o Linux):

  john password_file > /dev/null 2>&1
  john --show password_file | sed -e 's/:.*//' > user_list.txt
  rm ~/.john/john.pot
  

Il file user_list.txt conterrà solo il nome degli utenti per i quali la password è stata scoperta da John The Ripper, ma nessuna delle persone che la esegue ha mai visto alcuna password.

La tua azienda impone modifiche periodiche alle password? In tal caso, quando la modifica della password avviene, potresti semplicemente applicare le regole di trasformazione e la lista di parole che avrebbe avrebbe usato con John the Ripper o HashCat o qualsiasi altra cosa, ma invece di crackare un hash prova a derivare il testo in chiaro nuovo password creata come parte di (o di tutti) i nuovi assegni di convalida della password.

Potresti scrivere un piccolo wrapper python analizzando l'output di JTR e stampando solo ciò che vuoi stampare su stdout. Questo sarebbe il trucco che credo.

È possibile scaricare un elenco di parole, creare hash per ogni parola e archiviare gli hash in un database. Quindi informa le persone che hanno i loro hash all'interno del database.

O crea una politica per le password e chiedi a tutti di cambiare la loro password.