slacky.eu

Ciao a tutti!
Non so se questo tipo di domande è lecito
. Se non lo è, scusatemi in anticipo . Credo che, in tal caso, gli administrators del forum faranno il loro dovere chiudendo questo post.
Comunque...
Un mio amico ha perso la password del suo indirizzo e-mail e mi ha chiesto di recuperargliela (si parla di cracking). So che per windows esistono programmi tipo Elzepop; ci sono programmi di questo tipo anche in Linux?
Grazie mille (e scusate ancora)

Non ne sono tanto sicuro (aspetta conferme), ma forse puoi usare John the Ripper (che trovi pacchettizzato nel repository).

john ti consente di valutare la robustezza delle password locali provando a trovare la password che origina l'hash, ma se la password è scelta bene ed è abbastanza lunga ci possono volere anni e anni (per fortuna...)...
Poi devi avere il file con cui confrontare l'hash, quindi lo puoi fare su un sistema locale, a meno che non voglia tentare un attacco al server di posta, ma la cosa è giustamente vietata e punita dalla legge...
Ma scusa, il tuo amico non può chiedere una nuova password?
Anche una mia sorella una volta l'ha dimenticata, ma è bastato un fax con la fotocopia di un documento...
Io non abbraccerei il lato oscuro della forza informatica...

Ma la maggior parte dei servizi Mail dispongono di un aiuto per cambiare la password dimenticata. Di solito fanno domande personali, in base all'iscrizione dell'account!

Uhm...
carino il lato oscuro dell'informatica! :twisted: nono, stai tranquillo che resterò un cavaliere Jedi.

Non sapevo si potesse richiedere all'ISP la password. Okay, ora dico al mio amico di inviare i documenti via posta.

Comunque, è carino John The Ripper. Ma si può usare anche per attacchi remoti come un Server POP3? Ma poi, se si può, ci mettere giorni, no?

No, in maniera così diretta non lo puoi usare...
John lavora sul file degli hash delle password, dovresti prima ottenere quel file (es. /etc/shadow)...
Un attacco per tentativi al server verrebbe sicuramente notato, a meno che non si debba scegliere fra una rosa ristretta di possibili password (ad esempio se sai che la passowrd è la data di nascita di qualcuno...)
In generale una password davvero robusta con un buon algoritmo di cifratura può reggere anche per decenni con la attuali risorse tecnologiche disponibili...
Alle password di login di solito viene assegnato una chiave DES... L'md5 è più robusto, ma è noto dal 2004 che ha una debolezza legata alle collisioni (due o più stringhe che danno lo stesso hash), per cui ci sono delle proposte per l'md6, comunque credo che con una dotazione hardware normale, anche relativamente potente non bastino pochi giorni perché john trovi la password se questa è stata scelta bene...
Certo, se la password è banale o se sei l'NSA...
John è utilissimo proprio per valutare la robustezza della password scelta da un utente...
Ad esempio ho assegnato all'utente g la password pippo, ho poi editato il file perché venisse processata solo quella (non è necessario, ci sono delle apposite opzioni per john). Risultato:
time ./john prova
Loaded 1 password (Standard DES [32/32 BS])
pippo (g)
guesses: 1 time: 0:00:00:03 (3) c/s: 97429 trying: pumby - prach

real 0m3.246s
user 0m3.236s
sys 0m0.008s

Mettendo anche solo una maiuscola i tempi si allungano notevolmente...