Misschien nog wel interessanter om te melden, de bug in crypt_blowfish:

* Corrected support for bcrypt (OpenBSD Blowfish) hashes of passwords
containing non-ASCII characters (that is, characters with the 8th bit
set). Added support for such hashes produced by crypt_blowfish up to
1.0.4, which contained a sign extension bug (inherited from older
versions of John). The old buggy behavior may be enabled per-hash,
using the "$2x$" prefix.

Meer info:
http://lwn.net/Articles/448726/

Zal wel snel VERBOTEN worden.

Wat i het voordeel van John tegenover een tool als hashcat of oclhashcat?! Verliest John het niet heel hard op hudige hardware met performance?

Waarom? Is een legitieme tool
"Organisaties die John the Ripper gebruiken, zijn in staat om de wachtwoorden van hun gebruikers te auditen"

"Organisaties die John the Ripper gebruiken, zijn in staat om de wachtwoorden van hun gebruikers te auditen en kunnen op dit soort resultaten reageren voordat de wachtwoordhashes zouden lekken. De toegenomen snelheid is in dit geval erg handig"

Het een (wachtwoord auditing, ik neem aan dat ze daarmee het controleren van de structuur van gebruikerswachtwoorden bedoelen) heeft helemaal niets te maken met het ander (lekken van wachtwoorden). Sterker nog, het controleren van wachtwoorden via password crackers heeft helemaal geen nut. Wat denken we met crackers te bereiken? Dat we te weten komen dat gebruikers zwakke wachtwoorden kiezen als ze technisch niet worden gedwongen om sterke wachtwoorden te kiezen? Welnu, dat weten we al sinds Mozes het wachtwoord "123456" op een kleitablet hamerde en onder zijn toetsenbord verstopte. Met tools zoals Ophcrack en dergelijke weten we ook al dat we heel snel achter wachtwoorden kunnen komen als we de hashes hebben bemachtigd en de juiste rainbowtables hebben. Welke open deur vooral met John de Ripper wordt opengetrapt is dat we beter over kunnen schakelen op smartcard authenticatie en andersoortige two-factor authentication in plaats van krampachtig vast te houden aan wachtwoorden, en dat we additionele mitigerende maatregelen moeten treffen om misbruik te voorkomen, zoals logging en monitoring, password policies, user awareness, inzet van IDS technologieën, investeren in kwalitatief goede beheerders etc. What's new.

Dat wil niet zeggen dat ze het niet kunnen proberen te verbieden. Zie http://www.computerworld.com/s/article/9217634/EU_ministers_seek_to_ban_creation_of_hacking_tools_

Reclame site voor hacktools geworden hier precies?
Als men al die malafide dingen van het net zouden bannen, zou de hele zaak er dan niet beter op draaien?
Waarom bouwen virus/malware geen deftige programma's die zo een soort zaken er gelijk afgooien.
Mij ga je echt niet vertellen dat men die gebruikt voor educatieve doeleinden alleen.
Weg met die rommel dus.

Het gaat om de omstandigheden. Een hamer en schroevendraaier horen in de auto van een timmerman, maar niet in de kroeg. Als het verklaarbaar is waarom jij dit soort tools hebt, is er geen enkel probleem.

Als je ook alle auto's, messen, wapens en elastiekjes gaat verbieden wordt het leven er ook een stuk beter van..een stuk minder doden.
Het beste kan je alles verbieden wat misbruikt kan worden, dus eigenlijk gewoon alles.
Met een mes snij ik mijn groentes, brood, vlees etc, maar toch kan iemand het misbruiken en er mensen mee overvallen of erger: vermoorden.
Moeten nu alle messen uit de schappen gehaald worden en alle reclames verbannen?

Hacktools zijn niks anders dan tools die laten zien hoe je iets kan recovere, hoe jij er mee omgaat is een 2e..net zoals met een mes.

En dus heeft de blackhat straks wel beschikking over die tools (die gewoon underground beschikbaar blijven, beeld je niet in dat het verbieden/offline halen van jtr de tool ook echt van 't internet af krijgt...), terwijl de systeembeheerder die de zwakke plekken in z'n netwerk wil checken in 't donker staat...

Smartcards zijn niet in alle situaties mogelijk/wenselijk...