Меню
Что нового?

Hash Functions и хранение паролей, интересны мнения

  • Автор темы Автор темы Nelius
  • Дата начала Дата начала
важно ещё понимать, что нет смысла наворачивать безопасность там, где в ней нет потребности.
например, несколько задалбывает, когда заходишь на какой-нибудь сайт в качестве читателя, а он сразу врубает ssl, начинает грузить сертификатами, интерфейс браузера становится непривычным, кэш отрубается и прочие прелести "безопасного соединения"
 
важно ещё понимать, что нет смысла наворачивать безопасность там, где в ней нет потребности.
Нажмите для раскрытия...
это точно. кстати похожая тема уже обсуждалась, в том числе и crypt, варианты с солью и md5(md5())...
 
ааа! вот что значит соль!! могли бы просто сказать - секретное слово! а то соль!

я сам шифрую пароли md5('секретное_слово'.$_POST['password']) и мне этого хватает! это очень надежно!!!
 
фишка в том, что никаокго секрета salt не составляет.
посмотри, что выдает crypt (например в /etc/shadow) - salt там всегда присутствует в plain text непосредственно в той же строке что и хэш
смысл не в какой-то дополнительной security by obscurity (а смысл? если я вытащил мд5-хэш, я наверняка и salt рядом увижу), а в том, что это исключает использование заранее подготовленной базы хэшей распространенных паролей.
 
а в том, что это исключает использование заранее подготовленной базы хэшей распространенных паролей.
Нажмите для раскрытия...
а если атакующий поделывает запрос, для входа в систему, ведь тогда таже соль будет автоматически добавлена к подставляемому паролю.
Я думаю хорошая капча на входе пользователя, плюс соль получаем более мене нормальную защиту, хотя от вирусов на стороне пользователя веб приложение не может сделать защиту.
 
а смысл? если я вытащил мд5-хэш, я наверняка и salt рядом увижу
Нажмите для раскрытия...
Вы уверены? МД5 хеш может совпадать у разных строк. И где вы там соль увидите фиг вас знаит...
 
cDLEON
у меня такое подозрение, что ты ни разу не видел вывод функции crypt(), а если и видел, то не понимаешь, что он значит.

И причем тут вообще "МД5 хеш может совпадать у разных строк." ?
 
cDLEON
МД5 хеш может совпадать у разных строк
Нажмите для раскрытия...
Может, за час на ИБМ кластере было выявлено около трёх таких строк.

Очень сомнительно что две такие строки будут использоваться.

ЗЫ всё-таки мд5() стал стандартом де-факто хранения паролей видимо ето неспроста. да потом стали добавлять соления но изначально его сочли безопасным для хранения.
 
хорошая капча на входе пользователя
Нажмите для раскрытия...
Предлагаю сканировать сетчатку. Топик про сканированние был несколькими днями раньше.
 
Wicked
Ну если я правильно понял фиксера, то он говорил про МД5 хеши, в которых он почему то собрался увидеть соль.
А при чём здесь функция крипт к моему посту я так и не понял.
Может, за час на ИБМ кластере было выявлено около трёх таких строк.

Очень сомнительно что две такие строки будут использоваться.
Нажмите для раскрытия...
Если не использывать соление, то будут подходить все.
И секолько запросов он сможет делать не "задосив" сервер?
Нажмите для раскрытия...
Да ладно тебе...Пароли от аськи тырили именно этим способом. Вернее он самый распространённый был)
Правда у аськи свой протокольчеГ. Но суть не в этом. Суть в том, что было бы желание, а решение найти можно =)
 
Войдите или зарегистрируйтесь для ответа.
Сверху