測試Plone密碼強度

Question

我正在Plone網站上執行滲透測試。一旦我有密碼（用SSHA散列），是否有任何工具可以評估密碼的強度？

感謝和問候， 鰻魚

Answer 1

號

如果我理解正確的話，你提議與哈希，而不是明文密碼本身提供虛擬工具。我對這個猜想相當有信心：描述它的工具會告訴我們更多關於SSHA加密的信息，而不是底層密碼的強度。

我會以積極的方式說這個：一個評估密碼強度的工具對純文本密碼進行操作;否則，它主要測量哈希方法的熵。

當然，我的主張沒有特定的Plone內容。基於現有密碼強度檢查器之一來構建Plone（或Zope ...）產品當然應該很簡單。我知道沒有爲公衆包裝的東西。

Answer 2

SSHA或更常見的稱爲salted sha1是一種存儲密碼的好方法。 SHA1在技術上已經損壞，但沒有人產生衝突，它仍然在NIST推薦的消息摘要函數列表中。

John The Ripper可以用來打破鹹sha1哈希。

鹽漬SHA256將是一個更好的選擇。

Answer 3

如果你只有散列，那麼你唯一可以做出的評估是通過嘗試猜測確切的密碼，這是很昂貴的。然後，無論你是否打破它，或者不。沒有迴旋的餘地。您可以使用時間它將您猜測密碼作爲密碼強度的估計值，但是，希望好密碼的實際使用時間會更長。這就是哈希密碼的要點：所以猜測密碼並使用哈希驗證密碼是幾周或幾個月而不是幾分鐘。

作爲滲透測試的一部分，如果您有散列密碼，那麼您應該運行password cracker。如果確切的密碼哈希過程尚未整合，您可能需要開發一些軟件。任何破解的密碼將被報告爲嚴重的系統弱點。

通常的密碼強度估算器通過嘗試確定密碼的可猜測程度來對非密碼密碼進行操作。這在實踐中效果不佳，因爲「猜測」可能涉及人類大腦，從而避免了精確建模。例如，您可以通過連接四個或五個日期（例如YYMMDD格式）來創建一個長密碼;這樣的密碼估計會有很好的實力 - 但是如果日期是你妻子和孩子的出生日期，那麼密碼實際上很容易被猜出。