الکساندر پسلیاک، پژوهشگر امنیتی که با نام Solar Designer شناخته می‌شود، در پروژه Openwall روی امنیت سامانه‌های شبه‌یونیکس، حسابرسی گذرواژه و نگهداری ابزارهای متن‌باز کار کرده است. یکی از شناخته‌شده‌ترین آثار او John the Ripper است. کاربرد حرفه‌ای این ابزار پاسخ به یک پرسش مشخص است. اگر فایل حاوی هش گذرواژه‌ها از محیط حفاظت‌شده بیرون برود، چه تعداد از گذرواژه‌ها با بودجه و زمان محدود قابل حدس خواهند بود؟ نتیجه این آزمون چیزی درباره کیفیت انتخاب کاربران و شیوه ذخیره‌سازی در همان سامانه می‌گوید.
هزینه واقعی یک حدس
پس از سرقت یک پایگاه هش، قفل‌شدن حساب بعد از چند ورود ناموفق دیگر مانع حدس آفلاین نیست. پژوهشگر می‌تواند در یک محیط مجاز میزان مقاومت مجموعه آزمایشی را اندازه بگیرد. برای این کار باید قالب هش، وجود نمک و هزینه محاسباتی را بشناسد. دو سازمان ممکن است طول گذرواژه مشابهی تعیین کنند و با این حال در برابر چنین رخدادی نتایج کاملاً متفاوت بگیرند. تفاوت به نحوه مشتق‌سازی و الگوی واقعی انتخاب گذرواژه نیز بستگی دارد.
در توزیع John، نسخه اصلی و مجموعه توسعه‌یافته Jumbo پوشش یکسانی ندارند. صفحه رسمی پروژه تفاوت این نسخه‌ها و قالب‌های مورد پشتیبانی را توضیح می‌دهد. بنابراین در گزارش حسابرسی باید نسخه و تنظیمات واقعی ثبت شود. اگر آزمایش با یک مجموعه کوچک و روی یک پردازنده انجام شده، نتیجه را نمی‌توان بدون توضیح به همه سامانه‌ها و تجهیزات محاسباتی تعمیم داد. به همین ترتیب، پیدا نشدن یک گذرواژه در زمان محدود اثبات مقاومت همیشگی آن نیست.
طراحی تابع مشتق‌سازی
پسلیاک در توسعه yescrypt نیز نقش داشته است. صفحه پروژه این طرح را یک تابع مشتق‌سازی کلید مبتنی بر گذرواژه و یک روش هش‌کردن گذرواژه معرفی می‌کند. هزینه حافظه و پردازش به طراح اجازه می‌دهد هزینه هر حدس را تغییر دهد. این انتخاب برای سامانه ورود واقعی یک موازنه است. هزینه بیشتر، حدس انبوه را دشوارتر می‌کند، اما همان هزینه را سرویس هنگام ورود کاربر نیز باید بپردازد. ظرفیت هم‌زمانی، حافظه سرور و زمان پاسخ باید کنار هم سنجیده شوند.
آثار پسلیاک دو سوی مسئله را به یکدیگر وصل می‌کنند. ابزار حسابرسی نشان می‌دهد ضعف انتخاب یا ذخیره‌سازی چگونه آشکار می‌شود و طرح مشتق‌سازی نشان می‌دهد مدافع چگونه می‌تواند هزینه را جابه‌جا کند. برای خواننده، بررسی مستندات Openwall راهی است برای دنبال‌کردن این ارتباط با نسخه و شرایط مشخص. تفاوت میان یک ادعای کلی درباره «قدرت رمز» و ارزیابی واقعی، در ثبت فرض‌ها، داده آزمایش و محدودیت اندازه‌گیری است.
