Экономика хешей паролей

MiksIr

miksir@home:~$
Точно так же и в безопасности хранения паролей, - в каждом конкретном случае решаешь что тебе нужно: 1\1000(условно) при большой куче денег или 1\500 при заметно меньшей, но с другим подходом.
Проблема в том, что 1) ты не решаешь, ты занимаешься демагогией не пытаясь даже погрузится в цифры. 2) ты решаешь за других, а не за себя, ибо пароли - не твои, они пользователей
В той же теме показано, как легко положить сервер с помощью password_hash и можно легко посчитать сколько нужно серверов и денег, чтобы конкретный сайт не лёг.
Это детский сад какой-то. Как начался, так и продолжается. Причем тут "положить сервер", ну что за пхпрушные аргументы, где вменяемых людей уже не осталось. Я тебе любой сервер положу и без password_hash, и стоит это будет копейки. Защита от DOS и DDOS - вообще отдельная тема.
 

MiksIr

miksir@home:~$
Коллеги, вы уж определитесь, мы всё это говорим для нормальных разрабов или для идиотов.
Я, например, "идиотов" в разработке ПО не беру в расчёт, вообще, - мои советы не для них.
Сложный вопрос. Например, я считаю "идиотами" тех, кто до сих пор хеширует пароли md5 и считает это надежно только потому, что он хитро подмешал секретный ключ в пароль.
 

Вурдалак

Продвинутый новичок
Ткни пальцем, где я об этом говорил.
Ты говорил, что это оба — «рабочие варианты», а значит должны быть какие-то критерии выбора между этими двумя «вариантами». Я не вижу преимуществ у шифрования, зато вижу серьёзные недостатки. Каким таким образом это может быть «рабочим вариантом»? Это просто называется «неверное решение».

Коллеги, вы уж определитесь, мы всё это говорим для нормальных разрабов или для идиотов.
Алло, от темы не отходи. По существу говори.
 

MiksIr

miksir@home:~$
А можно посмотреть ваши расчеты в рублях для вариантов
1) хранения пароля в чистом виде (ну, если у владельца проекта будет совсем мало денег, то и так сойдет, да)
2) мд5 с секретным ключем
3) bcrypt без всякого секретного ключа
Ну просто раз вы рассуждаете критериями бизнеса, финансовых затрат, необходимости - то вы, несомненно, оценили все это.
А то, может, вы докторскую защитили на тему оценки стоимости расшифровки чужих паролей для пользователя и соотношения к затратам на их хранение.
 

MiksIr

miksir@home:~$
Какие деньги ты платишь за хеширование? Или ты опять о чём-то своём и съехал с темы?
Там есть такая тема у них, что раз хеш требует повышения затрат CPU и памяти, то это расходы, их сервер не выдержит и загнется, когда у них 100500 атентификаций в секунду будет, а еще придут нехорошие дяди и задосят сервер простым запросом на аутентификацию.
 

MiksIr

miksir@home:~$
Ну, если не читал ту тему, повторюсь: password_hash с параметрами как там описано, положит средний сервер уже при 2000 входов на сайт в час(!). Хорошо это или плохо - каждый решает сам. Я считаю, что плохо.
Я ее не читал, я ее писал. И цифры там были абстрактные, приведенные для примера, но это же так неприятно признать, да? И я же там писал, что ты можешь сам подбирать сложность алгоритма. Но, видимо, это тоже увидеть сложно.

Дешевая видюха типа 7970 радеона (10т.р. на барахолке) дает время расчета хеша мд5 1e-10 сек! Устройство стоимостью 20к баксов (много, не не заоблочно) даст около 3e-12 секунды на хеш. Поставьте опции bcrypt/argon2 не на 1 секунду, а на 0.001, 2 миллиона логинов в час вас устроит? И это все-равно даст 6-8 порядков больше, даже если скинуть порядок на использовании быстрых CPU или FPGA при подборе. И тот хеш, который подбирался ранее за час - будет подбираться более века. Огромные затраты, да?

Не говоря уже об отсутствии оценки - 2000 аутентификаций в час - это сколько посетителей онлайн? Вот только не надо всяких глупых "а вдруг они захотят все ломануться логиниться". Затраты оперируют со статистикой, цифрами и мат ожиданием, а не гипотетическими "вполне возможно". А с этими "а вдруг" да "а если", ваши рассуждения "а нужно оценивать затраты" выглядят именно что "идиотски".
 

grigori

( ͡° ͜ʖ ͡°)
Команда форума
Продолжаем обсуждать экономические и практические аспекты хеширования в соответствующем разделе.
 

MiksIr

miksir@home:~$
Вообще-то экономика хеширования имеет прямое отношение с способу хранения, так как является основополагающей для выбора параметров.
И уж точно имеет отношение к теории, а не к "программированию на пхп", так как там вообще не про пхп.
 

grigori

( ͡° ͜ʖ ͡°)
Команда форума
@MiksIr, я тоже сомневался, и думал перенести в "хостинг" или "офтопик". Теории здесь я не вижу - чистая практика.
 

MiksIr

miksir@home:~$
@MiksIr, я тоже сомневался, и думал перенести в "хостинг" или "офтопик". Теории здесь я не вижу - чистая практика.
Практика, это как поставить затраты по памяти для argon2 на php. Или как указать число раундов для bcrypt на PHP при использовании password_hash.
Теория - это на основании каких факторов выбирать те или иные значения для алгоритма argon2 или bcrypt и на что они влияют.
 

grigori

( ͡° ͜ʖ ͡°)
Команда форума
тема как-раз о потреблении ресурсов аргоном :)
 

Вурдалак

Продвинутый новичок
Для Гриши нужно создать отдельный раздел, где он сможет банить и удалять посты, когда у него плохое настроение, а то подобное обострение синдрома вахтёра иногда мешает. :)
 

AnrDaemon

Продвинутый новичок
Я понимаю, что вам мешают развлекаться, но таких невменяемых борцунов действительно надо банить, чтобы не разносили заразу по интернету.
 
  • Like
Реакции: AmdY

MiksIr

miksir@home:~$
Если так, зачем переносить дискуссию по той теме сюда?
Пиши там, я присоединюсь. Там и пободаемся.
Я не вижу причин появляться на том форуме более. Как и не вижу причины "бодаться с тобой". Показать правильный путь - просто. Что-то доказывать человеку, который аргументирует "мне это не надо" - ну как бы глупо. Вся эта дискуссия как бы не о том, что бы переубедить тебя, а о том, что бы показать верный путь новичкам наткнувшимся на эту тему. Все аргументы тут были приведены и если считаешь, что жалкие процентики ресурсов (от общего потребления сайта) - слишком дорого, что бы максимально осложнить брутфорс хеша - твое право.
 

grigori

( ͡° ͜ʖ ͡°)
Команда форума
Кто и как посчитал, что 2 тысячи хешей в час - это выше предела вычислительной способности сервера для расчета argon2?
О каком железе идет речь? Может быть, это число приведено для одноядерного Atom?

вы говорите о настройках argon - о каких параметрах разговор?

Где-то год назад я отдебажил один любопытный кейс - в случайный момент на одной странице шла просадка скорости отклика до 15 секунд. Клиент прислал видео, но воспроизвести не удавалось.
Проблема оказалась в том, что на 4 из 30 серверов были процессоры старого поколения. При той же частоте у них скорость xls-трансформации отличалась в разы.

Говоря о скорости исполнения такой критичной к архитектуре процессора задаче, обязательно надо указать, о каком именно процессоре идет речь. Что я знаю про argon - так это про его заточенность на расширенные наборы инструкций, которые доступны в современных процессорах, и недоступны в видеокартах.
 
Последнее редактирование:
Сверху