¿Cómo descifrar contraseñas sin revelarlas?

No soy abogado y, en mi respuesta, asumo que está en un contexto profesional, lo que significa que lo que está tratando de descifrar son las cuentas profesionales que una organización otorga a sus empleados. Como la seguridad general de la organización podría verse debilitada por las contraseñas deficientes, creo que puede pedirles a sus empleados que usen contraseñas no demasiado débiles . No conozco una forma técnica de revelar solo la cuenta con contraseñas débiles sin revelar realmente la contraseña, por lo que usaría un procedimiento de más de 2 ojos :

• al menos 2 personas (un administrador técnico y un gerente superior) deben participar en la operación, cada una de ellas controla lo que hace la otra

• ejecuta john de esa manera (asumiendo un sistema Unix o Linux):

  john password_file > /dev/null 2>&1
  john --show password_file | sed -e 's/:.*//' > user_list.txt
  rm ~/.john/john.pot
  

El archivo user_list.txt contendrá solo el nombre de los usuarios para los que John The Ripper descubrió la contraseña, pero ninguna de las personas que la ejecutan ha visto ninguna contraseña.

¿Su empresa impone cambios regulares de contraseña? Si es así, cuando se produzca el cambio de contraseña, puede simplemente aplicar las reglas de transformación y la lista de palabras que habría usado con John the Ripper o HashCat o lo que sea, pero en lugar de descifrar un hash, intente derivar el nuevo texto sin formato. la contraseña se crea como parte de (o todas) las nuevas comprobaciones de validación de contraseña.

Podría escribir un pequeño envoltorio de Python analizando la salida de JTR e imprimiendo solo lo que desea imprimir en la salida estándar. Eso haría el truco que creo.

Puede descargar una lista de palabras, crear hashes para cada palabra y almacenarlos en una base de datos. Luego informe a las personas que tienen sus hashes dentro de la base de datos.

O cree una política de contraseña y pida a todos que cambien su contraseña.