Collection de mots de passe hachés ?

Bonjour, ces derniers temps je m’intéresse pas mal à la sécurité informatique et plus particulièrement aux mots de passe. J'ai testé plusieurs modes de John sur des mots de passe fictifs et j'ai trouvé quelques ressources expliquant comment faire tomber des mots de passes plus ou moins faibles en utilisant des wordslist et des rules pour les casser, notamment ce document : https://www.owasp.org/images/a/af/2011-Supercharged-Slides-Redman-OWASP-Feb.pdf

Je voudrais savoir si il existait des listes de mots de passe hachés qui me permettrait de m'exercer. J'ai trouvé de nombreuse liste de mot de passe mais elles contiennent des mots de passe assez faibles, je voudrais quelque chose de vraiment réaliste, avec des doublons et des mots de passes complexes (quasi pas cassable) pour pouvoir aussi réalisé des statistiques. Le mieux serait de pioché dans une réel fuite de base de donnée, mais je ne sais pas si c'est légal de télécharger ça sur son ordinateur.

Merci d'avance pour votre aide.

Une réelle liste de mot de passe hachés ne contiendrait en général pas de doublon grâce au sel ajouté.

Je veux dire pas là que salé un mot de passe est une pratique courante.

Enfin chaque site à un sel mais pour tous les utilisateurs du site

Non, le sel n'est pas toujours le même. En fait, il est même conseillé d'avoir un sel différent pour chaque utilisateur, et de le choisir aléatoirement (en fait, plusieurs sels utilisés en itérant sur les hashes). Le sel existe pour réduire les chances d'attaquer les mots de passe en même temps, un sel différent équivaut à une fonction de hachage différente pour l'attaquant munit de sa rainbow table par exemple.

Je pense que votre idée vient de la mauvaise pratique de certains devs qui hardcodent le sel dans leur code (ex : pour leur site web).

Je vous épargne mes explications approximatives, voici deux petits liens qui expliquent plus en détails (en anglais) : https://security.stackexchange.com/questions/211/how-to-securely-hash-passwords

http://security.blogoverflow.com/2013/09/about-secure-password-hashing/

Je suis perdu, je m'y connais pas trop et je comprends pas cela: normalement on prends le mdp que l'utilisateur a entré, on le hash et on compare dans la bdd. Mais si chaque mdp est hashé avec un sel aléatoire comment on fait pour comparer ?
on peut pas ajouter le sel au bon mdp, ou alors on connait la connection sel<->mdp ?

En lisant ton lien il y a ceci:

A salt is a non-secret, unique value in the database which is appended (depending on the used algorithm) to the password before it gets hashed.

mais ca contredit ça ou bien ? Je ne suis pas sur de comprendre "plusieurs sels utilisés en itérant sur les hashes"

Non, le sel n'est pas toujours le même. En fait, il est même conseillé d'avoir un sel différent pour chaque utilisateur, et de le choisir aléatoirement (en fait, plusieurs sels utilisés en itérant sur les hashes)

Si c'est juste pour éviter que le gars puisse utiliser des tables de correspondances hash <-> mdp En clair il n'y pas besoins de différents sel non ?

ps: pas besoins de me vouvoyez

A salt is a non-secret, unique value in the database

Il faut comprendre, le « salt » est unique dans la base de données, deux utilisateurs ne peuvent pas avoir le même « salt » . Chaque utilisateur doit avoir son « salt » propre. Kanaal et le lien ne se contredise pas.

Généralement, dans la table utilisateurs de la base de donnée, est stocké pour chaque utilisateur, le mot de passe hashé et son « salt ».

il n'y pas besoins de différents sel non ?

Il y'a besoin d'avoir un sel par utilisateur pour une sécurité maximale.

Si tu avais qu'un sel pour toute la base de donnée, l'attaquant aurais besoin que d'une seule table de correspondance.

Si un sel par utilisateur, l'attaquant aurais besoin d'autant de table de correspondance que d'utilisateur.

Je veux dire pas là que salé un mot de passe est une pratique courante.

« Pratique courante » , . J’espère aussi, mais de mon vécu, j'ai pas toujours eu cette impression.

Merci beaucoup pour vos réponses rapides, je vais étudier la liste de 10M de login et je me renseignerai pour trouver des leaks de hash.

Pour le sel je n'avais pas précisé que je cherchais des hash non salés, le but premier est d'apprendre à correctement optimiser john the ripper, et à développer mes propres wordlists et règles, donc des hash salés sont plus un frein pour ce que je souhaite réaliser.

Encore merci.

normalement on prends le mdp que l'utilisateur a entré, on le hash et on compare dans la bdd. Mais si chaque mdp est hashé avec un sel aléatoire comment on fait pour comparer ? on peut pas ajouter le sel au bon mdp, ou alors on connait la connection sel<->mdp ?

Le sel est généré aléatoirement lors de la création du compte utilisateur. Le sel est connu en clair dans la BDD, le mot de passe + sel est hashé.

L'utilisateur pour se connecter entre un mot de passe. Le site ajoute au mot de passe entré le sel et hashe l'ensemble comme il l'a fait lors de la création du compte. Comme le sel est identique et la fonction de hashage également, si l'utilisateur a entré le bon mot de passe cela collera avec la BDD. Sinon non.

Fondamentalement le sel ne change pas la méthode, c'est juste une étape de concaténation en plus.

Bonjour à toutes et à tous. Et si j'ai le hash et que je connais le mot initialement hashé, puis je déterminer le sel qui a été utilisé pour générer le hash en md5 ? Cdt

S'il n'est pas trop long, généralement 2-4 octects. Par brute force ça devrait être très rapide.

Je connais effectivement le mot et le hash qui a été généré mais je ne sais pas comment faire dutout. Il me manque le sel utilisé donc.

C'est curieux d'avoir le motde passe en claire, le mot de passe hashé mais pas le sel …

Généralement le mot de passe hashé et le sel vont de paire. Et puis le sel ne sert à rien si on a le mot de passe.

M'enfin bref. Il faut connaitre l'algorithme utilisé pour hasher le mot de passe. Ensuite, tu essayes tous les sel possibles.

Par un script Python, C, C++ ou n'importe quel langage. Je suis à peu près que ça doit par être trop dur à faire même en Bash ou Perl.
Même si dans l'immédiat je choisirais Python, Go, C ou C++ car ils ont chacun de bonnes implémentations des différents algorithmes de chiffrement/hash.

Voici explicitement, l'équation à résoudre. J'ai deux hash md5 (sans doute salés). L'un est le hash d'un identifiant. L'autre, du mot de passe. Lors de la connexion auto, la connexion ne se fait plus, car l'identifiant a été changé et donc le hash que j'ai n'est plus valable dans la base du site. Question : lorsque tout de même, je tente l'auto-connect, est-il possible quelque part, de faire apparaître en clair, le mdp hashé ?

Créer ton propre sujet et surtout explique correctement ton problème.

D'ici rien n'est claire.