Delfins Posted March 16, 2009 Report Share Posted March 16, 2009 ja atradīs kolīziju, tad tā nebūs pareizā parole, jo pie hešošanas ar `sāli` jau būs pavisam cits hešs. pieļauju, ka arī kolīzijas strings būs tik liels, ka nemaz paroles ievadlaukā neievadīs. principā ir ērtāk aiziet, atmūķēt slēdzeni kur glabājās serveris un nozagt to (vai disku) Quote Link to comment Share on other sites More sharing options...
nemec Posted March 16, 2009 Report Share Posted March 16, 2009 Līdzēs tikai bruteforcēšana (pilnā pārlase), kura pie pietiekami gara sāls aizņems nenormāli ilgu laiku (miljoniem gadu). kāpēc uzreiz nenormāli ilgu laiku? Varbūt paveiksies un izdosies atrast jau pirmajā dienā. Esiet taču optimisti Quote Link to comment Share on other sites More sharing options...
Delfins Posted March 17, 2009 Report Share Posted March 17, 2009 ja viņš nezin sāli, tad nebūs tas pat 1 gadsimts Quote Link to comment Share on other sites More sharing options...
Aleksejs Posted March 17, 2009 Report Share Posted March 17, 2009 Savukārt, ja zina sāli un ir aizdomas, ka parole ir triviāla, tad vienīgais veids kā palēnināt triviālo paroļu pārlasi (dictionary attack) ir izmantot kādu no key strengthening metodēm. Quote Link to comment Share on other sites More sharing options...
cucumber Posted March 17, 2009 Report Share Posted March 17, 2009 par salt papildjautajums: Katram lietotajam ir sava salt vai visiem ir viena? (vai atkarigs no implemetesanas veida) Quote Link to comment Share on other sites More sharing options...
Aleksejs Posted March 17, 2009 Report Share Posted March 17, 2009 Labāk, lai katram sava. Vai pat Skopējais - tas glabājas iešūts PHP kodā un Spersonīgais - tas glabājas DB kopā ar lietotāja pamatinformāciju. Rezultējošais hash tiek veidots h(Skopējais . Spersonīgais . parole); Tādā veidā, padarām nepieciešamu uzbrucējam dabūt gan DB dumpu, gan PHP kodu. Quote Link to comment Share on other sites More sharing options...
Wuu Posted March 24, 2009 Report Share Posted March 24, 2009 Es te pusi nesapratu ,bet tad sanāk ka bez "sāls" md5 laužams uz urā? Quote Link to comment Share on other sites More sharing options...
bubu Posted March 24, 2009 Report Share Posted March 24, 2009 Nē, nav. Quote Link to comment Share on other sites More sharing options...
Web Developer Posted March 25, 2009 Report Share Posted March 25, 2009 Ko jūs ņematies? Kāda miljoniem gadu ilgā salīdzināšana ar hash. Viens no miljarda vispār centīsies reāli praktiski kaut ko panākt ar šādu "atlaušanu", labi zinām, kas tas nav reāli. Daudz reālāk ir vienkārši uzminēt paroli. Attiecībā uz paroļu glabāšanu, pietiks ar 2 nosacījumiem: 1) Pirms hashoshanas parolei pievienot "sāli", kas sastāv, teiksim, no 8 simboliem. 2) Lietotājiem, saglabājot paroles, ļaut saglabāt tikai vismaz vidēji drošas parole, pieņemsim, tādas, kas sastāv no vismaz 6 simboliem un iekļauj vismaz vienu ciparu, vismaz vienu lielo burtu un vismaz vienu mazo burtu. Otrs nosacījums pat ir svarīgāks, jo tad neko nevarēs atkodēt, pat ja zinās "sāli". Un tur pat nav ko gari diskutēt, šitais ir 100% drošs paroļu saglabāšanas veids (vismaz, kas attiecas tieši uz saglabātajām parolēm datubāzē tikai, neba nu pārējo sistēmu) un punkts. Quote Link to comment Share on other sites More sharing options...
fest Posted March 25, 2009 Report Share Posted March 25, 2009 Lai neuzminētu paroli, pret to var nodrošināties kaut vai pēc trešā mēģinājuma pieprasīt atpazīt captch'u. Ja lietotājs pats ir ievadījis triviālu paroli- ko tur vairs. Pret muļķību paši dievi ir bezspēcīgi... Pie tam, neaizmirsti, ka programmu lauž tās vājākajā vietā. Nav jēgas taisīt ūbersekjūru login formu un paroles glabāšanu, taču atstāt neeskeipotus parametrus ar kuriem notiek griešanās pie datubāzes vai neeskeipot HTML'u komentāros, tādējādi paverot iespējas nospert kūkijus. IMHO vislabāk ir izmantot Alekseja piedāvāto metodi- ja reiz uzbrucējam ir piekļuve datubāzei, tad par saviem datiem var vairs neuztraukties- galvenais nosargāt lietotāju paroles (it īpaši tiem gudrīšiem, kuri vienu paroli lieto arī e-pastam, forumiem un Paypalam). Quote Link to comment Share on other sites More sharing options...
Web Developer Posted March 25, 2009 Report Share Posted March 25, 2009 IMHO vislabāk ir izmantot Alekseja piedāvāto metodi- ja reiz uzbrucējam ir piekļuve datubāzei, tad par saviem datiem var vairs neuztraukties- galvenais nosargāt lietotāju paroles (it īpaši tiem gudrīšiem, kuri vienu paroli lieto arī e-pastam, forumiem un Paypalam). Pret tādiem gudrīšiem var aizsargāties, kā jau pateicu - pieļaujot saglabāt tikai vismaz "vidēji drošu" paroli, kas atbilst noteiktiem kritērijiem un tā nu galīgi nav problēma kaut ko tādu uztaisīt. Un nu un kas, ka viņam gan paypal, gan forumam, gan e-pastam būs parole "xYz789ab" - tas nav viegli atminams tokens, bet datubāzē lietotāju parolēm nav jāglabājas, glabājas tikai to hashi ar sāli. Kur problēma? Quote Link to comment Share on other sites More sharing options...
bubu Posted March 25, 2009 Report Share Posted March 25, 2009 Web Developer - tev nepietiek atkārtot to, ko jau citi (Aleksejs, fest) ir skaidri un gaiši vairākkārt uzrakstījuši (hešs no paroles + sāļa) ? Quote Link to comment Share on other sites More sharing options...
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.