-
Юбилейный DevConfX пройдет 21-22 июня в Москве. Как всегда — Вы решаете, кто попадет в программу секции Backend — голосуйте за интересные доклады
md5 в частности и хэширование вообще
- Автор темы ilkz
- Дата начала
hermit_refined
Отшельник
зато вам, видимо, они по ночам снятся
кроме базы пароль <--> md5(md5(пароль)), разумеется.
я не очень догоняю, о чём в этом топике речь, но просто md5() использовать нельзя, да, необходимо добавлять какую-нибудь нетривиальную соль.
при этом - нужно понимать, что если в распоряжение "злоумышленника" попадет база с захешированными паролями + алгоритм хеширования, часть паролей всё равно будет быстренько взломана простым перебором.
иными словами, в основном легкость/сложность подбора пароля зависит от самого пароля, а не от степени закрученности хеширования.
gonza
Новичок
Кто мешает при подборе по словарю вычислять одновременно md5(), md5(md5()) ...
По поводу базы...
Все шестизнаки:
2^48 вариантов
На один хеш требуется 16байт(бинарник, !гекс), для хранения базы(только хеши, без пароля, грубо) 2^52байт, то есть 2048 терабайт.
750Gb стоит 400 уе, то есть на базу уйдет больше 800k$
Есть организации которые могут себе это позволить... 7+знаков - вряд ли..
Tor
Новичок
вот эта фраза, молодой человек, показывает, что Вы понятия не имеете, и чем говорите
зы. остальным о коллизиях:
в нашем конкретном случае (пароли юзверей на сайте) гораздо легче\быстрее\дешевле найти сам пароль, чем коллизию
о колиизиях имеет смысл вспоминать только тогда, когда длина хешируемой строки соизмерима или больше длины хеша
Alexandre
PHPПенсионер
phprusни кто не собирается создавать БД в 10^36 байт
создается БД в 100 тыс слов русско-английского словаря + имен любимых собачек и кошек... как правило этого бывает достаточно.
если говорить о паролях, то можно заставить пользователя сделать как указано ниже, тогда никакие БД хешпаролей не страшны:
создается БД в 100 тыс слов русско-английского словаря + имен любимых собачек и кошек... как правило этого бывает достаточно.
если говорить о паролях, то можно заставить пользователя сделать как указано ниже, тогда никакие БД хешпаролей не страшны:
Nogrogomed
Новичок
Если хочется заморочиться - делайте
md5(strrev(md5("sex"))), и мучайтесь...
Вместо strrev можно использовать любую другую функцию по работе со строками. Это уже не так очевидно как md5(md5())
Смысла в этом все равно не вижу, но как один из вариантов - пойдет.
md5(strrev(md5("sex"))), и мучайтесь...
Вместо strrev можно использовать любую другую функцию по работе со строками. Это уже не так очевидно как md5(md5())
Смысла в этом все равно не вижу, но как один из вариантов - пойдет.
Bermuda
Новичок
Как md5, так и sha1 уже "поломали", т. е. нашли _быстрый_ алгоритм для поиска коллизий.
Первый в 2004-м году
http://www.nestor.minsk.by/sr/2005/04/sr50416.html
Второй в 2005-м
http://www.schneier.com/blog/archives/2005/02/sha1_broken.html
В сети даже есть исходники на Си.
tony2001
TeaM PHPClub
Bermuda
Breeze
Такой объем в принципе невозможно сохранить. Земля состоит из меньшего числа молекул.
Vladson
Я думаю, что у гугла суммарный объем дисков отличается от 2048 терабайт не более чем на порядок.
Можно увидеть ссылки на эти исходники? Так как я ничего кроме громких заявлений не видел. Нет ни математических выкладок на эти темы ни работающих генераторов коллизий.
Breeze
Такой объем в принципе невозможно сохранить. Земля состоит из меньшего числа молекул.
Vladson
Я думаю, что у гугла суммарный объем дисков отличается от 2048 терабайт не более чем на порядок.
Tor
Новичок
совсем недавно видел цифру - кеш занимает 800 Тб
а вот такое решение способно держать до 240Тб
EMC CLARiiON CX3 Model 80
это первое, что попало на глаза
желающие могут самостоятельно узнать стоимость этого или подобных решений
в любом случае масив на 2 петабайта - уже давно не фантастика
gonza
Новичок
Перечитал и подумалось - для этой задачи вполне ленты подойдут
http://www.ibm.com/ru/storage/tape/libraries/index.html
Так что пожалуй и семизнаки можно осилить(в принципе)