John the Ripper: la herramienta clásica para probar la seguridad de tus contraseñas
No, no hablamos de un personaje de fighting game ni de un boss escondido. John the Ripper es una de las herramientas más veteranas y respetadas del mundo de la seguridad informática, y aunque suena intimidante, su idea es sencilla: comprobar lo resistentes que son las contraseñas intentando descifrarlas.
¿Qué es exactamente John the Ripper?
John the Ripper (o simplemente "John", o "JTR" para los amigos) es un programa de crackeo de contraseñas creado originalmente por Solar Designer a mediados de los 90. Su función es tomar hashes —representaciones cifradas de contraseñas— e intentar descubrir cuál era la clave original probando combinaciones a toda velocidad.
Ojo, esto es importante: usar John contra sistemas o cuentas de otras personas sin permiso es ilegal. La herramienta existe para auditorías de seguridad legítimas y para que cada uno pruebe sus propias contraseñas. Es el equivalente a un banco contratando a un ladrón profesional para que intente entrar en su caja fuerte.
Cómo funciona por dentro
John tiene tres modos principales:
- Ataque de diccionario: prueba millones de palabras comunes de una lista (wordlist). Si tu contraseña es "futbol2010", esto la tumba en milisegundos.
- Fuerza bruta: prueba todas las combinaciones posibles de caracteres. Funciona, pero con claves largas puede tardar más que la vida del universo.
- Modo incremental: una fuerza bruta inteligente que prioriza las combinaciones más probables.
El uso básico es así:
john --wordlist=rockyou.txt hashes.txt
Con eso, John coge tu fichero de hashes y lo enfrenta a la lista de palabras. Cuando encuentra una coincidencia, te la muestra con el comando john --show hashes.txt.
Por qué esto te importa como jugador
Aquí viene la parte que nos toca de cerca. ¿Cuántas veces has creado una cuenta en una tienda de juegos, un launcher o un foro de una comunidad? ¿Y cuántas de esas cuentas usan la misma contraseña que tu correo principal? Cuando una de esas webs sufre un filtración —y ocurre más de lo que crees—, tus datos acaban en listas como la famosa rockyou.txt, que precisamente es una de las wordlists más usadas con John.
Probar tus propias contraseñas con esta herramienta es una lección humillante y útil a la vez: descubres en segundos que esa clave que llevabas usando desde 2012 es papel de fumar.
John en la práctica: un mini tutorial
Si quieres probarlo en tu propia máquina (Linux, macOS o incluso Windows con WSL), el flujo típico es:
- Consigue el hash de tu propia contraseña. En Linux están en
/etc/shadow, aunque para pruebas caseras puedes generar hashes conopensslo herramientas online de hashing para practicar. - Guarda el hash en un fichero de texto.
- Lanza John contra él con una wordlist.
- Comprueba los resultados.
Existe además John the Ripper jumbo, una versión con muchísimos formatos y algoritmos añadidos, que es la que instala la mayoría de la gente hoy en día.
Hardware: cuando el crackeo se vuelve serio
La versión clásica de John usa la CPU, pero las variantes modernas pueden aprovechar la GPU para multiplicar la velocidad de cálculo. Y aquí hay una anécdota curiosa para el público gamer: las tarjetas gráficas, esas que compramos para jugar a 1440p, son auténticas máquinas de calcular hashes. Una RTX de gama alta puede probar miles de millones de contraseñas por segundo contra ciertos algoritmos. La lección es doble: una GPU potente sirve para muchas cosas, y ningún algoritmo de hash antiguo (MD5, por ejemplo) es seguro frente a hardware moderno.
Alternativas y ecosistema
John no está solo. Hashcat es su gran rival moderno, especialmente potente con GPUs y reglas de transformación. Muchos profesionales de seguridad usan ambos: Hashcat por velocidad bruta, John por flexibilidad y facilidad para formatos raros. También existen servicios como crackstations online para pruebas rápidas de hashes sueltos.
La moraleja: contraseñas que aguantan
Después de jugar un rato con John, las conclusiones son siempre las mismas y merecen repetirse:
- Usa frases de contraseña largas en vez de palabras con números al final.
- Un gestor de contraseñas es tu mejor amigo; que cada cuenta tenga su clave única.
- Activa la autenticación en dos pasos donde puedas, especialmente en la cuenta de correo que controla todo lo demás.
John the Ripper es feo por fuera (interfaz de terminal de los 90) y hermoso por dentro. Como herramienta educativa para entender por qué unas contraseñas aguantan y otras no, no hay nada como ver cómo tu clave de toda la vida cae en cuatro segundos. Prueba con las tuyas, antes de que lo haga otro.
