测试Plone密码强度

Question

我正在Plone网站上执行渗透测试。一旦我有密码（用SSHA散列），是否有任何工具可以评估密码的强度？

感谢和问候， 鳗鱼

Answer 1

号

如果我理解正确的话，你提议与哈希，而不是明文密码本身提供虚拟工具。我对这个猜想相当有信心：描述它的工具会告诉我们更多关于SSHA加密的信息，而不是底层密码的强度。

我会以积极的方式说这个：一个评估密码强度的工具对纯文本密码进行操作;否则，它主要测量哈希方法的熵。

当然，我的主张没有特定的Plone内容。基于现有密码强度检查器之一来构建Plone（或Zope ...）产品当然应该很简单。我知道没有为公众包装的东西。

Answer 2

SSHA或更常见的称为salted sha1是一种存储密码的好方法。 SHA1在技术上已经损坏，但没有人产生冲突，它仍然在NIST推荐的消息摘要函数列表中。

John The Ripper可以用来打破咸sha1哈希。

盐渍SHA256将是一个更好的选择。

Answer 3

如果你只有散列，那么你唯一可以做出的评估是通过尝试猜测确切的密码，这是很昂贵的。然后，无论你是否打破它，或者不。没有回旋的余地。您可以使用时间它将您猜测密码作为密码强度的估计值，但是，希望好密码的实际使用时间会更长。这就是哈希密码的要点：所以猜测密码并使用哈希验证密码是几周或几个月而不是几分钟。

作为渗透测试的一部分，如果您有散列密码，那么您应该运行password cracker。如果确切的密码哈希过程尚未整合，您可能需要开发一些软件。任何破解的密码将被报告为严重的系统弱点。

通常的密码强度估算器通过尝试确定密码的可猜测程度来对非密码密码进行操作。这在实践中效果不佳，因为“猜测”可能涉及人类大脑，从而避免了精确建模。例如，您可以通过连接四个或五个日期（例如YYMMDD格式）来创建一个长密码;这样的密码估计会有很好的实力 - 但是如果日期是你妻子和孩子的出生日期，那么密码实际上很容易被猜出。