Crackage et durcissement des mots de passe : FAQ

Denis Ducamp / Hervé Schauer Consultants

1. Introduction

Ce document reprend les questions les plus posées à la suite de ma présentation :

• Vous n'avez pas parlé de Novell...

• Comment protéger ses mots de passe dans un environnnement NIS ?

• Où est-il possible de trouver des dictionnaires ?

• Existe-t'il d'autres programme de durcissement des mots de passe ?

2. Vous n'avez pas parlé de Novell...

• Je ne connais pas Novell.

• Vous pouvez obtenir bien plus de renseignements sur le site du Nomad Mobile Research Centre :
  • Pandora ...the SATAN of Netware... : des fonctionnnalités de récupération du fichier de mots de passe et de crackage sont disponibles.

  • The Unofficial Netware Hack FAQ v6 : lire principalement la section 02 mais d'autres sections possèdent des questions sur la sécurité des mots de passe.

3. Comment protéger ses mots de passe dans un environnnement NIS ?

• Il n'est pas possible d'utiliser un algorithme autre que DES, ni un algorithme modifié de DES .

  Il est donc nécessaire de mettre en place des systèmes de durcissement des mots de passe : npasswd et le module PAM Cracklib sont compatibles avec NIS et NIS+ .

• Pour que les empreintes des mots de passe ne circulent pas en clair sur le réseau, il est nécessaire que NIS+ soit mis en place au dessus des RPC secure.

4. Où est-il possible de trouver des dictionnaires ?

• Le principal site que je connaisse est ftp://sable.ox.ac.uk/pub/wordlists/ .

  Celui-ci est recopié un peu partout sur internet dont sur ftp://ftp.lal.in2p3.fr/pub/dictionaries/

• Un site sur lequel d'autres fichiers sont disponibles est ftp://utopia.hacktic.nl/pub/crypto/wordlists/

5. Existe-t'il d'autres programme de durcissement des mots de passe ?

• En plus de npasswd et Cracklib, sont disponibles :
  • anlpasswd-2.3 du 13/02/95

    Le site d'origine ( ftp://info.mcs.anl.gov/pub/systems/ ) étant difficilement accessible, il est possible de l'obtenir sur le CERT australien : ftp://ftp.auscert.org.au/pub/mirrors/info.mcs.anl.gov/ .

  • passwd+.v5 du 19/06/92

    ftp://ftp.dartmouth.edu/pub/security/