Безопасность md5

[white phoenix]

SiMM
Не записывал, к сожалению. Давно видел хаки для vB, phpBB, опциально в MobilePublisherPHP 1.0. Недавно с приятелем обсуждали что именно лучше, с точки зрения безопасности, хешировать и записывать в cookie. Пришли к выводу что на каждом сайте нужно использовать свою случайную строку которая добавляется к паролю. Либо можно вообще не использовать пароль в строке, а использовать специальную последовательность которая привязывается к маске IP x.x.x.*, где x там соответствующие части REMOTE_ADDR при входе.

 

[texrdcom]

Автору не поможет не одни алгоритм если у него расшифровалия суммы md5 так что тема офтоп,
интерестно чего админы её не грохнули ?

 

[white phoenix]

svetasmirnova
>>жеще


солидарен с SiMM
texrdcom
но ведь это не так

 

[texrdcom]

white phoenix
Что не так ?, или ты тоже хочешь расшифровать два пароля хеш в выше в даном топике!.
Есть кучу вариантов лома хешей читаем в инете большенство опираеться на подбор по словарю! но кто мешает генирить пароли для пользователя или запрещать использовать в паролях одни буквы ... плюс прочитать как правильно делать авторизацию!

 

[Роберт]

Разгильдяй
Какой смысл искать жёсткий алгоритм , когда при знании самого алгоритма любой его подберёт методом перебора практически за одинаковое количество времени в не зависимости от того - чем ты шифровал...
А вот если ты в том же результате md5 поменяешь два последних символа - то уже врятли кто-нибудь когда-нибудь догадается об этом...
Так что вывод прост - любой простенький СВОЙ алгаритм шифрования будет надёжней чем суперовский но известный (потому что тот кто найдёт закодированные твоим методом пароли - не будет знать как из подбирать).
Хотя , осмеюсь заметить , что SiMMины пароли ты так и не подобрал , хотя и хвастался...

Turist
Когда-то читал о том о чём ты говоришь , но это наверно больше интересно для спецслужб со своими дешифрующими агенствами. Оттуда запомнилось что для шифрования md5 используется специальная матрица подобранная так чтобы МАКСИМАЛЬНО исключить подбор по коллизии! А если бы матрица была из произвольных цифр , то подбр по коллизии давал бы во много раз больший результат.
Источник уже не помню - но по моему это была книжка по линуксу за 2001 год...

Всем
А кто-нибудь может подсказать принципиальную разницу между md5 и sha1? (или ткните меня куда-нибудь где об этом красиво по русски описано). А то работаю с MySQL , шифрую то одним , то другим , а разницы не понимаю...

 

[ForJest]

Я чёт так и не понял взаимосвязи между взломом форума и криптостойкостью md5

 

[white phoenix]

ForJest
взаимосвязи нет всё равно никаких действенных методов кроме подбора, на данный момент нет.

 

[svetasmirnova]

Роберт
Чего-то ты гонишь.
>А кто-нибудь может подсказать принципиальную разницу между md5 и sha1?
Разница в длине, алгоритме и требуемых мощностях для перебора. Где читать не скажу, так как это тот редкий случай, что мне хватило бумажной книжки по впоросам криптографии и безопасности. Погугли.
ForJest
А вдруг его сервер выдержит мощную атаку по перебору пароля

 

[diamond_krnl]

Разгильдяй, да у вас параноя. ((

еще можно подискутировать: а фдруг завтра интел сделает супер-проц! 100 ггц! что все веб-прогеры будут дружно волосы на жопе рвать. ((

 

[Роберт]

svetasmirnova
Не совсем понял твоей фразы - "Чего-то ты гонишь."

 

[kvf77]

SiMM

сдается ему не дает покоя то, что ктото доберется на его гвест бух, никак не меньше - тут ведь какое дело, доберутся, напакостят - такого допустить просто нельзя, потому ему надо способ шифрования как в Пентагоне

еще такое дело - если хакер спер пароли с другого форума - то он там их и заламает, что толку, что ты будешь шифровать их подругому? у хакера будет чистый пароль и на твои ухищрения ему будут пофигу. поскольку у пользователя как правило один и тот же пароль ввезде - то ты попадаешь полюбому

 

[white phoenix]

Роберт
не обращай внимание имхо у неё такой стиль общения, внатуре.
kvf77
действительно один и тот же пароль везде как правило? откуда такие сведения?

 

[ForJest]

white phoenix
Ну кстати почему нет действенных. Я не вижу смысла подбирать пароли один за другим и повторять постоянно этот процесс.
Словарь можно сделать из достаточно большого кол-ва комбинаций, запихать его в БД и производить поиск, вполне себе нормально.
Видимо за счёт этого и "сломали" пароли так быстро .

 

[white phoenix]

ForJest
что же это за СУБД такая должна быть... у меня на laptop'е p4 2.2 ггц, последовательно подбирает со скоростью 5*10^6 в секунду, а теперь представь сколько рядов будет в таблице? Да и в любом случае, из общих соображений, хранить в БД данные которые можно получить и без неё не следует. Это как записать в БД, таблицу умножения до 10^6 и потом выбирать из неё значения вместо обычной операции умножения.

 

[si]

ForJest
для этого и есть salt (может топики надо с начала читать ? )

 

[kvf77]

white phoenix

статистика, мой друг не путай себя с Машей - у типового пользователя пароль один - не удивлюсь, если он еще подходит к открытию подъезда, и кредитной карте такова уж типичная поведенческая модель статистического юзера. прошу не брать за статистического юзера себя и админов и людей помешаных на безопасности - таких очень мало

 

[viewsonic]

md5 умирает. Уже есть ripemd. Он лучше хэширует.
Для прикола. Взял 300 хэшей с одного знакомого форума. За час взломал около 50% (A-Z,a-z,0-9). Пока дошел до 5-тибуквенных. Из этих 50% около половины - словарные слова.

 

[_RVK_]

Одного не пойму, как сложность взлома пароля перебором, зависит от алгоритма шифрования?

 

[white phoenix]

_RVK_
> как сложность взлома пароля перебором, зависит от алгоритма шифрования?
"сложность" перебора зависит от скорости алгоритма шифрования, больше никак.

 

[_RVK_]

Да, еще зависит от скорсти процессора, количества оперативки, теории вероятности, законов Мерфи.... да от чего угодно только не от алгоритма шифрования.