История взлома одной браузерной игры. Возврат контроля.

[флоппик]

Он бы тебе рассказал, как нужно делать атомарное слеширование для хайлоада на HP-UX

 

[Белый Тигр]

AmdY, в разделе работы уже есть моя тема.
На счёт прикрепления уже мысли были, узнал пока расценки на него. Посмотрю как будет с деньгами на рекламу в этом месяце. Прикрепить её, конечно же, желание есть.

 

[fixxxer]

Истории разные есть, но не все разрешают их оформлять в виде статей и публиковать.

Да истории черт с ними, не в библиотеке же. Обезличенно же можно принцип показать, который ты мог увидеть у любого заказчика.
Вот например на http://www.suspekt.org/ очень интересные вещи пробегают, вплоть до аудита по байткоду при отсутствии сорцов (скажем, сторонний продукт zend encoded)

 

[Фанат]

5) Если вы решили хранить какие-либо пароли прям в коде приложения, храните не их самих, а их хеши.

Это как?

и что плохого в готовых хэшерах при условии, если пароль сложный?

 

[флоппик]

и что плохого в готовых хэшерах при условии, если пароль сложный?

Как бы, радужным таблицам вообще без разницы, насколько пароль был сложен до хеширования

 

[MiksIr]

>и что плохого в готовых хэшерах при условии, если пароль сложный?
Тем, что они "не от мира сего" обычно, т.е. дальше какого-нибудь финта вокруг md5 не идут. Как результат - вполне конечное время подбора пароля. А если этот финт еще и без соления, есть шанс нарваться на готовую радужную таблицу для этого алгоритма. Знаки препинания помогают неплохо, кстати, их гораздо реже используют при подборе/построении радужных.
При этом "старый-старый" unix crypt с md5 алгоритмом использует тысячу итераций хеширования. Потихоньку входимый в обиход SHA (который при этом появился в crypt лет так 5-6 назад) сам по себе более ресурсоемкий и по дефолту делает, вроде 5 тысяч итераций с возможностью в строке хеша модифицировать это значение вплоть то миллиарда итераций.

 

[флоппик]

Потихоньку входимый в обиход SHA (который при этом появился в crypt лет так 5-6 назад) сам по себе более ресурсоемкий и по дефолту делает, вроде 5 тысяч итераций с возможностью в строке хеша модифицировать это значение вплоть то миллиарда итераций.

Херово что это все равно гонка со временем. То же использование GPU для вычислений дает уже приближение в перебор в несколько сотен лет вместо миллионов, и скорости растут слишком стремительно - думаю, лет 5-6 и даже SHA1 c длинными ключами станет вопросом нескольких минут.

 

[MiksIr]

Ну вот для этого умные люди и ввели возможность указывать количество итерация прямо в хеше. Когда-то и миллиарда будет мало, да, но это ограничение реализационное, а не алгоритмическое, так что можно и больше поставить. Ну и потом, авторизация по закрытому ключу набирает популярность... глядишь, лет через 5-10 у каждого будет под кожей чип с закрытым ключом и считыватель у компа =)

 

[Фанат]

флоппик если есть соль, то радужные таблицы не при делах.

ну, в общем, да, хэшер хэшеру рознь.
если его делал вася пупкин с пхпклуба, специалист по болтовне на форуме - то да, такой рекомендовать не стоит.
с этим я согласен