Verificação de Senhas

[alissones]

Boa noite a todos.

Meu nome é Alisson e moro na cidade de Diamantina. Sou analista de TI em uma empresa naqual não direi o nome por questões de privacidade e ética profissional.

O que estou querendo fazer, pode soar um pouco estranho a princípio, mas que será justificaddo ao final.

Na empresa, todos os desktops, são windows 7 e todos os servidores são linux, sendo 8 ubuntu server 13.10, 3 debian 6 e 1 fedora 16.

Ao dar suporte a uma funconária, vi que a mesma possui a senha: "123456", e percebi que parece ter mais funcionários com esta mesma senha.

Então estou querendo fazer o seguinte: Verificar quais são os usuários que possuem senha fracas e bloqueá-los de forma que ele me procurem e eu os force a trocar por uma senha mais forte.

Minha idéia é a seguinte: executar uma aplicação que busque num arquivo texto uma série de senhas não permitidas, compare com a senha de todos os usuários, e me mostre aqueles que tem senha igual a alguma do arquivo texto.

123456
12345
1234
senha
password
123456789
12345678
1234567890
abc123

Não preciso saber a senha do usuário, só preciso saber se a senha dele é fraca.

Alguém pode me ajudar?

[zekkerj]

Não tem nada de estranho no seu pedido, verificação de força das senhas é uma prática comum.
Só acho que antes de iniciar isso, você deve se precaver com uma autorização de seus superiores, pois tal prática pode ser considerada abusiva.

[alissones]

Eu já tenho a autorização... em toda empresa que começo a trabalhar, sempre executo 2 tarefas inicias:

- Fazer uma auditoria de softwares piratas e relatar e relatar aos meus superiores
- Verificar senhas fracas e a segurança da rede e relatar e relatar aos meus superiores

Alguém pode me ajudar?

[zekkerj]

Numa busca rápida entre os pacotes dos repositórios oficiais, encontrei os pacotes "passwdqc", "john" e "lcrack". Note que estes sistemas levam em conta que sua base de senhas está no próprio linux,ou pelo menos é acessível a partir dele.

[alissones]

Cara, tentei todos esses e nada. Tentei até um tal de Slurpie, mas não consegui... Algum de vocês sabe qual é o algoritmo de criptografia usada no arquivo shadow? Se souberem isso, já me ajuda bastante...

[zekkerj]

Acho que usa-se blowfish. Mas cara, não é assim que se faz... a idéia é usar algoritmos de força bruta e/ou ataques de dicionário. Mas lembre-se de que vc tem que fazer isso no sistema em que estão as senhas dos usuários, e nem sempre elas estão no linux...