john the ripper

某所でサーバを乗っ取られたという話で，うちも気をつけろと忠告を受けた．一つの手としては接続元をがちがちに厳しくすればある程度防げる．しかし自宅からの接続ができなくなるのはつらい．パスワード認証をやめるという方法もあるが，それもちょっとね．
そこでユーザ全員のパスワードを強化してもらうという手が考えられる．まずはずるずるなパスワードを使っている人を見つけるために，有名なクラックツールjohn the ripperをかける．サーバはFreeBSDだが，チェックはWindows機で行う．運用中のサーバでやらないのは，攻撃により解析中のユーザのパスワードが破られてmaster.passwdを持ち出されるのを防ぐためである．
まずhttp://www.openwall.com/john/からWindowsようのファイルをダウンロードして解凍する．次に辞書ファイルをダウンロードする．ftp://ftp.ox.ac.uk/pub/wordlists/dictionaries/words-english.gzおよびftp://ftp.ox.ac.uk/pub/wordlists/japanese/words.japanese.Zを使うことにした*1．
次にパスワードファイルを何らかの方法でこのマシンに持ってくる．持ってきたら即LANケーブルを抜く．これはウィルスや攻撃によりパスワードファイルが盗まれるのを防ぐためである．

john -wordfile:english+japanese master.passwd

として実行したところ，13分で解析が終了した．結果は一応伏せておく．試しにブルートフォース（総当たり）もやってみる．ふーむ．
解析が終わったらパスワードファイルは消去する．

*1:なおLhaplusで解凍できる