John the Ripper se considera una de las herramientas de cracking de contraseñas más eficaces disponibles para descifrar hashes mediante fuerza bruta y diccionarios.
En la mayoría de sistemas, a la hora de almacenar contraseñas o datos sensibles, no se suele almacenar su contenido en plano ya que podría ser muy peligroso en caso de robos de datos. Para aumentar la seguridad, se utilizan diferentes algoritmos de encriptación (o hashing) que permiten almacenar los datos codificados.
Estos algoritmos de encriptación se caracterizan por permitir codificar información de forma muy sencilla. Pero no existe un modo eficiente de llevar a cabo el proceso inverso para decodificar los datos. Gracias a esto, la información queda mucho más protegida, incluso en caso de posibles robos de datos.
John the Ripper
John the Ripper es una herramienta de cracking de contraseñas de código abierto lanzada en 1996.
Esta herramienta multi-plataforma tiene el objetivo de descifrar contraseñas codificadas con los principales algoritmos de hashing (DES, MD5, Blowfish, etc.) a través de fuerza bruta. Para ello, se utilizan diccionarios de contraseñas para probar diferentes combinaciones de palabras, letras, números y símbolos hasta que se encuentra la contraseña correcta.
Hay que destacar que, a pesar de que John the Ripper se ha convertido en la herramienta de cracking de contraseñas más efectiva, el éxito en la decodificación de contraseñas dependerá de la fortaleza de las contraseñas. Las contraseñas más complejas y seguras, que contienen una combinación de letras mayúsculas y minúsculas, números y símbolos, son mucho más difíciles de crackear.
Cómo utilizar John the Ripper
A continuación se detallan los pasos a dar para descifrar una contraseña a partir de su hash MD5 (5d41402abc4b2a76b9719d911017c592) utilizando John the Ripper en un sistema Debian:
1. Instalar John the Ripper
sudo apt-get install snapd
sudo snap install john-the-ripper
2. Incluir los hashes a descifrar en un fichero de texto:
echo "5d41402abc4b2a76b9719d911017c592" > password.txt
3. Lanzamos el proceso para crackear la contraseña mediante John the Ripper, indicando el algoritmo de cifrado:
john --format=raw-MD5 password.txt
Este proceso puede llevar más o menos tiempo dependiendo de la complejidad de la contraseña y de la potencia de nuestro equipo. Al finalizar, se mostrará el resultado obtenido con la contraseña descifrada:
Consideraciones de seguridad
Si eres administrador o desarrollador de un sistema, sitio web, etc. Es imprescindible tomar una serie de precauciones y medidas que aumentaran la seguridad de nuestros sistemas y sus usuarios:
- Almacenar contraseñas cifradas con algoritmos seguros (p.ej. Bcrypt)
- Implementar autenticación en dos pasos
- Forzar el cambio de contraseña cada cierto tiempo
- No permitir contraseñas débiles
