Экономика хешей паролей

[grigori]

Давайте исходить из того, что сайтов на одном физическом сервере по сути уже нет, у всех SOA, вынести расчет хешей в микросервис в контейнере, и урезать ему cpu - вопрос пары сотен строк.
То есть, о "положить сайт" речи не идет, можно только забить очередь сервиса авторизации. Сервис вычислений, очевидно, stateless, и горизорнтально масштабируем почти без ограничений. Получается, что это вопрос денег за инстансы в облаке.
Можете привести какие-нибудь расчеты по нагрузке?

 

[fixxxer]

Можно взять инстанс в амазоне, написать микросервис в три строки кода и потестить тем же siege.
Я, правда, смысла в этом не вижу, надо быть фейсбуком или гуглом, чтобы одного инстанса не хватило при нормальной нагрузке (а если ты фейсбук или гугл, то там уже так или иначе будет горизонтальное масштабирование). А проблема брутфорса - она отдельная и ее надо решать в любом случае так или иначе (хоть той же капчей по rate limit).

 

[MiksIr]

Ну вот яндекс в своей статье этот вопрос обошел, ограничившись условием "времени отклика сервиса". Т.е. если понять их буквально, они берут требуемое время отклика сервиса аутентификации, и подгоняют значения аргона по процессору так, что бы в сумме было нужное время. А вот условий подбора по памяти у них нет в статье.
Есть интересная книженция https://books.google.ru/books?id=iyXUCgAAQBAJ там много и про экономику, но аргон там не считали. В любом случае, для оценки экономики нужна практика, в том числе и подбора на FPGA для оценки затрат. По аргону я что-то не нашел такого.

 

[MiksIr]

Кто и как посчитал, что 2 тысячи хешей в час - это выше предела вычислительной способности сервера для расчета argon2?

Да про 2000 - это так, отсылка к той дурацкой теме на пхпру, где я в качестве демонстрации возможности регулирования затрат процессора у bcrypt приводил разные варианты хешей. В том числе и весьма затратные. И вот прицепились некоторые...

 

[MiksIr]

"как справляются крупные соцсети"
Яндекс https://habrahabr.ru/company/yandex/blog/336860/ - аргон2
Фейсбук http://bristolcrypto.blogspot.ru/2015/01/password-hashing-according-to-facebook.html - scrypt
и т.д.

Хватит уже, м? Зачем это нужно - уже тебе объяснили много раз, если ты не воспринимаешь - общайся на пхпру, там соответствующая среда. Как выстроить баланс между ресурсами сервера и "защитой" - это серьезный вопрос, который должен рассматриваться по конкретному проекту. А то напишут аутентификацию с ответом в 0.5с, а потратить еще 0.1с на хеш "ох, сразу задосят". Да, затраты требуются, но на фоне затрат по инфраструктуре на все ПО - мизер.

 

[grigori]

без чисел все это вода в ступе, можно хоть php 7.2 поставить и прогнать ab в несколько потоков

 

[grigori]

в 7.2 есть аргон

 

[grigori]

Да я тут маленький блокчейн на коленке собрать планирую. Надо разработать протокол, гарантировать неизменность данных.
Без майнинга, без гонки веток, главное - неизменность данных. Соответственно, нужен хеш и/или подпись.

Надо посчитать требования к оборудованию. Для этого нужны числа.