معرفی
این اپلیکیشن برای استفاده دفاعی، تحلیل، مدیریت یا تست مجاز معرفی شده و لینک اصلی آن به پروژه یا سازنده برمی‌گردد.
نکته 1
John the Ripper مجموعه بزرگی از formatهای hash را برای audit پشتیبانی می‌کند.
نکته 2
در کنار wordlist و ruleها برای تست مقاومت credential policy استفاده می‌شود.
نکته 3
استفاده باید محدود به داده و محیط دارای مجوز باشد.
استفاده مسئولانه
قابلیت‌های RF، RFID، اسکن، credential audit، تحلیل ترافیک و تست امنیت فقط باید روی دارایی‌های خودتان، آزمایشگاه یا Scope دارای مجوز صریح استفاده شوند.
ممیزی گذرواژه با تلاش ورود آنلاین فرق دارد
John the Ripper برای بررسی امنیت گذرواژه و بازیابی مجاز داده به کار می‌رود. در سناریوی ممیزی آفلاین، ابزار روی داده‌ای که قانوناً در اختیار تیم است کار می‌کند و نتیجه به مقاومت همان قالب و همان مجموعه حدس‌ها مربوط است. این کار را با امتحان کردن رمز در صفحه ورود یک سرویس اشتباه نگیرید. کنترل‌هایی مانند محدودیت نرخ و قفل حساب در مسیر آنلاین اثر دارند، در حالی که محافظت از هش و انتخاب روش ذخیره‌سازی برای مقاومت آفلاین اهمیت پیدا می‌کند.
هدف ممیزی سازمانی نباید جمع کردن رمزهای کاربران باشد. سؤال مناسب این است که آیا سیاست انتخاب و ذخیره‌سازی، در برابر الگوهای قابل پیش‌بینی مقاومت کافی دارد یا نه. برای شروع آموزشی، مجموعه‌ای از حساب‌ها و گذرواژه‌های ساختگی بسازید. هیچ نیازی به استفاده از داده واقعی افراد برای فهم تفاوت قالب، هزینه محاسبه و الگوی رمز وجود ندارد. این مجموعه کنترل‌شده امکان می‌دهد انتظار نتیجه را از قبل بدانید و خطای ابزار یا فرایند را تشخیص دهید.
هش، رمزگذاری و متن آشکار را تفکیک کنید
هش گذرواژه معمولاً برای بررسی درست بودن ورودی ذخیره می‌شود و قرار نیست با یک کلید عمومی به متن اصلی برگردد. ابزار ممیزی حدس‌هایی می‌سازد و نتیجه پردازش آنها را با داده هدف مقایسه می‌کند. فایل رمزگذاری‌شده مدل متفاوتی دارد و ممکن است از گذرواژه برای مشتق کردن کلید استفاده کند. بنابراین نوع ورودی تعیین می‌کند کدام قابلیت و قالب لازم است. پسوند فایل یا ظاهر یک رشته به تنهایی همیشه برای تشخیص کافی نیست.
نمک و پارامترهای هزینه نیز در تفسیر مقاومت مهم‌اند. دو حساب با گذرواژه یکسان می‌توانند داده ذخیره‌شده متفاوتی داشته باشند. این تفاوت به تنهایی ثابت نمی‌کند گذرواژه قوی است، ولی می‌تواند بر امکان استفاده مجدد از محاسبات اثر بگذارد. در آزمایش، از قالب‌های شناخته‌شده و مستند استفاده کنید و پارامترها را ثبت کنید. نتیجه یک قالب سریع را به قالبی با هزینه متفاوت تعمیم ندهید؛ سرعت حدس‌زدن ویژگی ثابت یک کلمه یا یک ابزار نیست.
انتخاب نسخه و قابلیت مورد نیاز
خانواده نسخه‌ها و ساخت‌های John ممکن است مجموعه قالب‌ها و قابلیت‌های متفاوت داشته باشند. پیش از اجرای ممیزی، بررسی کنید ساخت مورد استفاده از نوع داده شما پشتیبانی می‌کند. صفحه رسمی پروژه و مستندات همان انتشار مرجع مناسب‌اند. اگر ورودی شناسایی نمی‌شود، ابتدا نوع قالب و روش آماده‌سازی مجاز داده را بررسی کنید. نصب تصادفی چند بسته از منابع نامعلوم می‌تواند هم نتیجه را مبهم کند و هم داده حساس را در معرض برنامه نامطمئن قرار دهد.
برای بازتولید، نسخه ابزار، سیستم‌عامل و قابلیت‌های فعال را ثبت کنید. اگر از شتاب‌دهنده یا ساخت خاص استفاده می‌شود، آن را در گزارش بنویسید. مقایسه نتیجه دو اجرا روی سخت‌افزار و تنظیمات متفاوت، بدون ذکر شرایط، ارزش محدودی دارد. هدف گزارش باید فهم مقاومت نسبی در سناریوی تعریف‌شده باشد، نه ساختن یک عدد نمایشی برای همه محیط‌ها. هیچ ادعای زمان قطعی برای شکستن همه گذرواژه‌های یک طول مشخص از یک آزمایش محدود به دست نمی‌آید.
مجموعه آزمایشی با انتظار روشن
برای آموزش، چند گروه گذرواژه ساختگی طراحی کنید: عبارت قابل پیش‌بینی، ترکیب ساده با تغییر ظاهری، عبارت بلند انتخاب‌شده به شکل غیرتصادفی و مقدار تصادفی تولیدشده با روش مناسب. این گروه‌ها باید فقط داده آزمایش باشند و در حساب واقعی استفاده نشوند. انتظار کلی خود را پیش از اجرا بنویسید، اما نتیجه را تضمین‌شده فرض نکنید. ابزار فقط گزینه‌هایی را پیدا می‌کند که در فضای جست‌وجوی اجراشده قرار گرفته‌اند و زمان کافی برای آنها صرف شده است.
پس از پایان، نتیجه را بر اساس گروه تحلیل کنید. اگر الگوی ساده سریع پیدا شد، درس اصلی ضعف الگوی انتخاب است، نه مهارت جادویی ابزار. اگر موردی پیدا نشد، بنویسید در چه مدت و با چه دامنه‌ای بررسی شده است. «پیدا نشد» معادل «غیرقابل حدس است» نیست. این دقت در زبان گزارش به مدیر کمک می‌کند تصمیم را بر اساس شواهد محدود ولی واقعی بگیرد و از اطمینان کاذب دور بماند.
فهرست واژه و قواعد تبدیل چه چیزی را می‌سنجند؟
فهرست واژه نماینده مجموعه‌ای از حدس‌هاست و قواعد تبدیل می‌توانند تغییرهای متداول روی آنها را بررسی کنند. این روش برای نشان دادن ضعف الگوهای تکراری مفید است. با این حال انتخاب فهرست نامرتبط یا کوچک ممکن است نتیجه ضعیفی بدهد که درباره امنیت واقعی چیزی ثابت نمی‌کند. در آموزش، از فهرست ساختگی و مجاز استفاده کنید و توضیح دهید چرا آن الگوها انتخاب شده‌اند. هدف سنجش سیاست است، نه گردآوری اطلاعات شخصی برای هدف‌گیری افراد.
گزارش نباید فقط تعداد موارد بازیابی‌شده را نشان دهد. نوع الگوی شکست‌خورده، زمان آزمایش و محدودیت مجموعه نیز مهم‌اند. اگر چند رمز فقط با افزودن عدد یا تغییر حرف ساخته شده‌اند، پیشنهاد اصلاح باید به جلوگیری از این الگو و فراهم کردن راه انتخاب بهتر مربوط باشد. سرزنش افراد بدون اصلاح تجربه انتخاب رمز معمولاً مشکل را حل نمی‌کند. مدیر گذرواژه، بررسی رمزهای شناخته‌شده ضعیف و آموزش عملی می‌توانند بخشی از پاسخ باشند، بسته به سیاست و سامانه سازمان.
داده ممیزی خود یک دارایی حساس است
فایل هش و خروجی بازیابی‌شده باید با دسترسی محدود نگهداری شوند. حتی اگر متن آشکار در ورودی نباشد، داده می‌تواند امکان ممیزی آفلاین دیگری را فراهم کند. مسیر ذخیره، نسخه پشتیبان و همگام‌سازی ابری دستگاه ممیزی را بررسی کنید. از قرار دادن فایل‌ها در پوشه عمومی یا مخزن کد خودداری کنید. برای گزارش، معمولاً شناسه مستعار و طبقه‌بندی نتیجه کافی است و نیازی به نمایش خود گذرواژه نیست.
خروجی‌های موقت و فایل‌های وضعیت را نیز در برنامه پاک‌سازی لحاظ کنید. حذف فقط فایل ورودی ممکن است نتایج حساس را در محل دیگری باقی بگذارد. پیش از آغاز، مشخص کنید چه داده‌ای تولید می‌شود، چه کسی آن را می‌بیند و چه زمانی حذف می‌شود. این تصمیم نباید پس از پایان و در عجله گرفته شود. در محیط آموزشی، استفاده از داده ساختگی این خطر را کاهش می‌دهد و اجازه می‌دهد فرایند نگهداری را بدون درگیر کردن حساب واقعی تمرین کنید.
اجرای محدود و مدیریت منابع
آزمایش محاسباتی می‌تواند پردازنده یا شتاب‌دهنده را برای مدت طولانی مشغول کند. آن را روی دستگاهی اجرا کنید که اثر بار بر کارهای دیگر روشن باشد. زمان شروع و پایان، بودجه اجرا و معیار توقف را تعیین کنید. اگر سیستم برای کار حساس دیگری استفاده می‌شود، بار ممیزی می‌تواند نتیجه آن کار را مختل کند. پایش دما و مصرف منابع در محیط آزمایش نیز به فهم پایداری اجرا کمک می‌کند، بدون اینکه از یک اندازه‌گیری کوتاه نتیجه کلی گرفته شود.
برای ادامه‌پذیری، روش پشتیبانی‌شده توقف و بازیابی وضعیت را طبق مستندات همان نسخه یاد بگیرید. یک اجرای کوتاه ساختگی را متوقف و ادامه دهید تا رفتار روشن شود. توقف ناگهانی و شروع دوباره بدون دانستن وضعیت می‌تواند کار تکراری یا گزارش نادرست بسازد. در گزارش زمان، روشن کنید آیا زمان فقط پردازش فعال را شامل می‌شود یا وقفه‌ها نیز حساب شده‌اند. این جزئیات برای مقایسه منصفانه اهمیت دارند.
تبدیل نتیجه به اصلاح قابل سنجش
اگر ممیزی مجاز ضعف نشان داد، اقدام باید به حساب یا سیاست مربوط متصل شود. ممکن است نیاز به تغییر گذرواژه، اصلاح روش ذخیره‌سازی یا محدود کردن دسترسی به داده اعتبارنامه باشد. نتیجه را به تعداد رمزهای پیدا شده محدود نکنید. برای هر اقدام، مسئول و معیار پایان مشخص کنید. در آزمون بعدی، از داده تازه و دامنه روشن استفاده کنید تا اثر اصلاح با تکرار همان مجموعه قدیمی اشتباه نشود.
افزودن احراز هویت چندعاملی می‌تواند خطر تصاحب حساب را کاهش دهد، اما نگهداری ضعیف گذرواژه را بی‌اهمیت نمی‌کند. همچنین تغییر اجباری مکرر بدون دلیل ممکن است به الگوهای قابل پیش‌بینی منجر شود. تصمیم باید بر اساس نیاز سامانه و شواهد باشد. در گزارش آموزشی، میان دفاع آنلاین، مقاومت آفلاین و تجربه کاربر تفکیک کنید تا یک کنترل به عنوان پاسخ همه مسائل معرفی نشود. امنیت اعتبارنامه مجموعه‌ای از انتخاب‌های مرتبط است.
محدوده نتیجه و گزارش نهایی
گزارش نهایی باید نوع داده، نسخه ابزار، روش کلی، زمان محدود و نتیجه دسته‌بندی‌شده را نشان دهد. اطلاعاتی که برای تصمیم لازم نیست حذف شود. برای موارد پیدا نشده، محدودیت آزمایش را صریح بنویسید. برای موارد ضعیف، الگو را بدون افشای مقدار واقعی توضیح دهید. چنین گزارشی هم برای تیم فنی قابل بررسی است و هم برای مدیر تصمیم‌ساز، بدون اینکه به فهرست تازه‌ای از رازها تبدیل شود.
در پایان، داده آزمایشی و خروجی‌ها را طبق طرح نگهداری جمع کنید و دسترسی‌های موقت را ببندید. اگر هدف بازیابی فایل شخصی بوده، نسخه سالم داده بازیابی‌شده را بررسی کنید و سپس درباره نگهداری نسخه‌های موقت تصمیم بگیرید. موفقیت ابزار فقط پیدا کردن یک ورودی نیست؛ موفقیت فرایند یعنی نتیجه درست، محدودیت روشن و داده حساس تحت کنترل باقی بماند.
یک کنترل ساده برای صحت آزمایش
در مجموعه ساختگی، یک مورد با گذرواژه معلوم قرار دهید که انتظار دارید در دامنه حدس‌های آزمون باشد. اگر همان مورد هم پیدا نشد، پیش از نتیجه‌گیری درباره مقاومت بقیه، قالب ورودی و تنظیم اجرای آزمایش را بررسی کنید. این نمونه کنترل به شما کمک می‌کند شکست روش را از مقاومت داده جدا کنید. در مقابل، یک مورد خارج از دامنه حدس‌ها نیز نشان می‌دهد نتیجه منفی چگونه باید گزارش شود. وجود این دو نمونه، کیفیت فرایند را بیشتر از افزایش بی‌هدف زمان اجرا بالا می‌برد. کنترل‌ها را در گزارش معرفی کنید و روشن بنویسید که داده آنها آموزشی است و هیچ ارتباطی با حساب واقعی ندارد.
