Как создать хешированный пароль SHA-512 для тени?

Предыдущие вопросы SF, которые я видел, привели к ответам, которые дают хешированный пароль MD5

У кого-нибудь есть предложения по созданию хешированного пароля SHA-512? Я предпочел бы один вкладыш вместо сценария, но, если сценарий является единственным решением, это тоже хорошо.

Обновить

Замена предыдущих версий py2 на эту:

python3 -c "import crypt;print(crypt.crypt(input('clear-text pw: '), crypt.mksalt(crypt.METHOD_SHA512)))"

Вот один вкладыш:

python -c 'import crypt; print crypt.crypt("test", "$6$random_salt")'

Python 3.3+ включает mksaltв себя crypt , что значительно упрощает (и делает его более безопасным) использование:

python3 -c 'import crypt; print(crypt.crypt("test", crypt.mksalt(crypt.METHOD_SHA512)))'

Если вы не предоставите аргумент , чтобы crypt.mksalt(он мог принять crypt.METHOD_CRYPT, ...MD5, SHA256, и SHA512), он будет использовать самый сильный доступный.

Идентификатор хэша (число после первого $) связан с используемым методом:

• 1 -> MD5
• 2a -> Blowfish (отсутствует в mainline glibc; добавлено в некоторые дистрибутивы Linux)
• 5 -> SHA-256 (начиная с glibc 2.7)
• 6 -> SHA-512 (начиная с версии 2.7)

Я бы порекомендовал вам посмотреть, что такое соли и что такое, и, согласно мелким заявкам, прокомментируйте разницу между шифрованием и хэшированием.

Обновление 1: созданная строка подходит для сценариев shadow и kickstart. Обновление 2: Предупреждение. Если вы используете Mac, посмотрите комментарий об использовании этого в python на Mac, где он не работает должным образом.

В Debian вы можете использовать mkpasswd для создания паролей с разными алгоритмами хеширования, подходящими для / etc / shadow. В комплект входит whois (согласно apt-файлу)

mkpasswd -m sha-512
mkpasswd -m md5

чтобы получить список доступных алгоритмов хеширования, введите:

mkpasswd -m help 

НТН

Лучший ответ: grub-crypt

Usage: grub-crypt [OPTION]...
Encrypt a password.

-h, --helpPrint this message and exit
-v, --version           Print the version information and exit
--md5                   Use MD5 to encrypt the password
--sha-256               Use SHA-256 to encrypt the password
**--sha-512             Use SHA-512 to encrypt the password (default)**

Вот краткий C-код для генерации пароля SHA-512 в различных ОС Unix.

Файл: passwd-sha512.c

#define _XOPEN_SOURCE
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

int main(int argc, char *argv[]) {
  if ( argc < 3 || (int) strlen(argv[2]) > 16 ) {
    printf("usage: %s password salt\n", argv[0]);
    printf("--salt must not larger than 16 characters\n");
    return;
  }

  char salt[21];
  sprintf(salt, "$6$%s$", argv[2]);

  printf("%s\n", crypt((char*) argv[1], (char*) salt));
  return;
}

Скомпилировать:

/usr/bin/gcc -lcrypt -o passwd-sha512 passwd-sha512.c

использование:

passwd-sha512 <password> <salt (16 chars max)>

Однострочное решение Perl для создания хешированного пароля SHA-512:

perl -le 'print crypt "desiredPassword", "\$6\$customSalt\$"'

Работал на RHEL 6

Почему бы не выполнить следующую проверку и модификацию машин Centos / RHEL, чтобы убедиться, что все хэши паролей для / etc / shadow выполняются с помощью sha512. Тогда вы можете просто установить ваш passworkd с помощью команды passwd

#Set stronger password hasing
/usr/sbin/authconfig --test | grep sha512 > /dev/null
if [ $? -ne 0 ]; then
echo "Configuring sha512 password hashing"
sudo /usr/sbin/authconfig --enableshadow --passalgo=sha512 --updateall
fi

Вот строка, в которой используются команды оболочки для создания хэшированного пароля SHA-512 со случайной солью:

[root @ host] mkpasswd -m sha-512 MyPAsSwOrD $ (openssl rand -base64 16 | tr -d '+ =' | head -c 16)

Примечания

1. Вам может потребоваться установить пакет whois (Debian, SuSE и т. Д.), Который предоставляет mkpasswd.
2. Смотрите crypt (3) для подробностей о формате строк в "/ etc / shadow".

Прочитайте комментарий ниже, чтобы узнать о последствиях этого ответа для безопасности.

Для тех, кто настроен на Ruby, вот одна строка:

'password'.crypt('$6$' + rand(36 ** 8).to_s(36))

Этот скрипт работал для меня в Ubuntu 12.04 LTS: https://gist.github.com/JensRantil/ac691a4854a4f6cb4bd9

#!/bin/bash
read -p "Enter username: " username
read -s -p "Enter password: " mypassword
echo
echo -n $username:$mypassword | chpasswd -S -c SHA512

Он имеет следующие особенности, которых нет в некоторых других альтернативах:

• Он генерирует свою соль безопасно. Никто не должен полагаться на это вручную. Когда-либо.
• он не хранит ничего в истории оболочки.
• для ясности он печатает, какой пароль пользователя он сгенерировал, что может быть удобно при создании паролей многих пользователей.

Алгоритмы HASH предназначены для создания дайджестов MESSAGE, они никогда не подходят для паролей, которые должны использовать какой-то HKDF ( http://tools.ietf.org/rfc/rfc5869.txt ) - см. PBKDF2 или BCrypt

#!/usr/bin/env python

import getpass

from passlib.hash import sha512_crypt

if __name__ == "__main__":
    passwd = getpass.getpass('Password to hash: ')
    hash = sha512_crypt.encrypt(passwd)

    print hash

Вы можете клонировать его из моего репозитория github, если хотите: https://github.com/antoncohen/mksha

Это не один лайнер, но это может помочь кому-то:

import crypt, getpass, pwd, string, sys, random
randomsalt = ""
password = getpass.getpass()
choices = string.ascii_uppercase + string.digits + string.ascii_lowercase
for _ in range(0,8):
    randomsalt += random.choice(choices)
print crypt.crypt(password, '$6$%s$' % randomsalt)

$ htpasswd -c /tmp/my_hash user1
New password: 
Re-type new password: 
Adding password for user user1
$ cat /tmp/my_hash
user1:$apr1$oj1ypcQz$4.6lFVtKz2nr8acsQ8hD30

Очевидно, что вы просто захватываете 2-е поле и можете удалить файл, как только добавите его в shadow или для использования с sudo (по-прежнему наиболее вероятно shadow).

Взгляните на справочную страницу для crypt (3), и я думаю, что вы обнаружите, что инструмент crypt был обновлен для использования glibc и sha256 (5 долларов) и sha512 (6 долларов), многократных раундов, гораздо большей соли и т. Д. ,

Очевидно, что SHA512 относится к тому, как работает / etc / shadow.

Тем не менее, эта веб-страница была очень полезной - в частности, MKPASSWD, так как это решило мою проблему.

Учитывая потенциально «потерянный» пароль, я могу использовать MKPASSWD и соль для генерации хэша SHA512 и подтверждения / отклонения списка возможных паролей.

Я бы использовал Джона Потрошителя - но, по крайней мере, на моем оборудовании (Raspberry Pi) и моем бюджете (ничего) - Джон не может этого сделать (кажется, что он не поддерживает расширенные функции crypt / glibc в бесплатной версии raspbian.

Имейте в виду, поскольку у меня достаточно разрешений на чтение / запись / etc / shadow, я МОГУ просто перезаписать хеш и продолжить жизнь ... это академическое упражнение.

ПРИМЕЧАНИЯ Примечания Glibc Версия этой функции для glibc2 поддерживает дополнительные алгоритмы шифрования.

   If salt is a  character  string  starting  with  the  characters
   "$id$" followed by a string terminated by "$":

          $id$salt$encrypted

   then instead of using the DES machine, id identifies the encryp‐
   tion method used and this then determines how the  rest  of  the
   password  string is interpreted.  The following values of id are
   supported:

          ID  | Method
          ─────────────────────────────────────────────────────────
          1   | MD5
          2a  | Blowfish (not in mainline glibc; added in some
              | Linux distributions)
          5   | SHA-256 (since glibc 2.7)
          6   | SHA-512 (since glibc 2.7)

   So  $5$salt$encrypted  is  an  SHA-256  encoded   password   and
   $6$salt$encrypted is an SHA-512 encoded one.

Если вам нужна альтернатива однострочным текстам, написанным на perl / python, mkpasswd подойдет. Хотя он включен в пакет Whois Debian, он отсутствует в системах CentOS / RHEL. Я изменил версию mkpasswd для Debian и включил более мощный механизм генерации соли, основанный на OpenSSL. Полученный двоичный файл полностью сохраняет все параметры командной строки версии Debian. Код доступен на github и должен компилироваться на любой вкус Linux: mkpasswd

Я не уверен, как SHA-512 связан с /etc/shadow. Эти пароли cryptред.

Но если вы хотите, чтобы с помощью SHA-512 хешировали пароль, вы можете сделать это с помощью echo -n the_password | sha512sum. Вы не можете использовать вывод для / etc / shadow.