Non, non...
En fait j'ai écrit une connerie.
/etc/passwd contient juste la liste de tous les utilisateurs.
(et est d'ailleurs lisible par tous)
C'est /etc/shadow dont je voulais parler, qui contient tous les mots de passes des utilisateurs, mais sous forme cryptée. (et qui n'est lisible que par root, d'ailleurs)
Ce que tu fais, c'est que tu récupères juste la ligne qui te concerne , ( avec grep ), et puis tu l'écris, avec > dans un fichier.
Ce fichier, c'est mdp.
Ensuite, tu dis à John de regarder dans le fichier mdp.
Voilà...
Note : la lecture de la doc. vaut le détour. On obtient vraiment une idée des techniques employées par les crackers.
Par exemple, john gère les mots de passe comme fredfred. (un mot du dictionnaire écrit deux fois de suite), les mots un peu modifiés, etc...
Note :
man passwd a écritLa sécurité d’un mot de passe repose sur la force de l’algorithme de
chiffrement et sur la taille de l’espace de clés utilisé. La méthode de
chiffrement des systèmes UNIX est basée sur l’algorithme NBS DES, elle
est très sûre. La taille de l’espace de clés dépend de l’aléa du mot de
passe utilisé.
Les compromissions de la sécurité des mots de passe résultent le plus
souvent d’une négligence dans le choix du mot de passe, ou lors de son
utilisation. Pour cette raison, vous ne devez pas sélectionner de mot
de passe apparaissant dans un dictionnaire ou devant être écrit. Le mot
de passe ne doit pas non plus être un nom propre, un numéro
minéralogique, une date de naissance, ou une adresse. En effet ceux-ci
pourraient être devinés pour violer la sécurité du système.
Vous devez pouvoir vous souvenir facilement de votre mot de passe, afin
de ne pas avoir à le noter sur un morceau de papier. Pour ce faire, on
peut choisir d’accoler deux mots en les séparant avec un caractère
spécial ou un chiffre. Par exemple, Mot2passe.
D’autres méthodes de construction utilisent une phrase facile à se
rappeler, et consistent à sélectionner la première ou la dernière
lettre de chaque mot. Voici un exemple [ NdT : en anglais ] :
· Ask not for whom the bell tolls.
· Ce qui donne :
· An4wtbt.
Vous pouvez raisonnablement être assuré que quelques crackers ont désormais
inclus ces mots de passe dans leurs dictionnaires. Vous pouvez également
utiliser votre propre méthode de construction de mots de passe et ne pas
compter exclusivement sur les méthodes proposées ici.
Effectivement, même la méthode de deux mots séparés par un caractère sépcial peut être trairée par John...
Il est possible de récupérer d'autres dictionnaires de mots de passe. (adaptés à la langue de l'utilisateur , par exemple), et de les utiliser avec John...
Conclusion : rien ne vaut la bonne vielle série d'au moins 8 caractères, piochés aléatoirement dans les chiffres, les lettres, et la ponctuation...
et la lecture de la doc !
De toutes façons, à force de le taper à chaque connexion, vous finirez vite par le connaître par cœur.
