Jak nejlip prisolit heslo?

C++, C#, Visual Basic, Delphi, Perl a ostatní

Moderátor: Moderátoři Živě.cz

Odeslat příspěvekod Veolw 18. 7. 2010 22:55

Zdravim,

jaky je podle Vas nejlepsi zpusob prisolovani hesla? Jaky zpusob pouzivate?

Diky moc.
Člověk, který nic neví, nevidí problém, člověk, který hodně zná, vidí moře problémů.
<-- Leonardo Da Vinci -->
Veolw
Junior
Uživatelský avatar

Odeslat příspěvekod Nargon 19. 7. 2010 01:18

Imho zadny. Ja v tom nevidim zadny velky smysl.
Desktop: Ryzen 7 1800X (3.95GHz, 1.35V), Asus Crosshair VI Hero, 16GB DDR4 Ram (3200MHz), 128GB SSD + 3TB HDD, Nvidia GTX 1080
Notebook: Asus UL50VT 15.6" (SU7300@1.7GHz, 4GB ram, 500GB HDD, Intel GMA 4500MHD + nVidia G210M, dlouha vydrz cca 7+ hod)
Nargon
Moderátor

Odeslat příspěvekod redmond 19. 7. 2010 01:32

prisolovani hesla

co to je?
my name is mond, Redmond.
redmond
Mírně pokročilý
Uživatelský avatar

Odeslat příspěvekod pepak 19. 7. 2010 05:20

Veolw píše:jaky je podle Vas nejlepsi zpusob prisolovani hesla? Jaky zpusob pouzivate?

Vygenerovat dostatečně dlouhý (aspoň desítky znaků) náhodný řetězec a ten uložit jako plaintext vedle hesla.

Nargon píše:Imho zadny. Ja v tom nevidim zadny velky smysl.

Smysl to má hodně velký - zabraňuje to útokům s předpočítanými hashi (např. použití rainbow tables), zajišťuje to, že se hashe budou vždy lišit, i když jsou použita stejná hesla atd.
pepak
Junior

Odeslat příspěvekod KinDo 28. 7. 2010 11:50

KinDo
Junior

Odeslat příspěvekod mmmmario 28. 7. 2010 12:42

Podle mě stačí náhodných pár bajtů, ty pak uložit v dalším sloupečku databáze ke každému heslu a heslo spolu se solí hashovat. Myslím že linux používá dva bajty v souboru s uživateli a hesly, ale nejsem si tím jistej.
mmmmario
Junior

Odeslat příspěvekod pagino 28. 7. 2010 12:46

treba prisolit tak, aby to odpovedalo citlivosti dat :) a samozrejme aby to serveru nepozralo vela vykonu. uz som videl hash ktory bol nasledne 3x hashnuty a za tym sa skryvala databaza s pozicovnou dvd ... takze asi tolko. v praxi si vyber 3,4 pismeno loginu, pridaj ako prefix a zahashuj ... ani prilis zlozite, ani prilis narocne ...
pagino
Junior

Odeslat příspěvekod Vebloud 28. 7. 2010 13:27

Nejlepší ve smyslu zabezpečení je solit náhodnými znaky o délce odpovídající tomu co solíš a úrovni dalšího zabezpečení.

Jednoduchý způsob je přisolovat nějákými znaky z user name, nebo celým username.
Žít a nechat žít, ty máš svůj názor, já mám svůj názor, já ti nebudu nutit svůj, nemusím souhlasit s tvým, ale udělám vše, abys ho mohl svobodně vyjádřit.
Vebloud
Ex-moderátor
Uživatelský avatar

Odeslat příspěvekod IgnorStoupa 28. 7. 2010 13:29

Chemickou do mycek na nadobi...pri vetsim projektu zajdu za silnicari.

Jinak na soleni je dulezite utajit, jak je sul pouzivana...ne zda.
Neni dano vubec nic. Sestrojte parabolu.
IgnorStoupa
Mírně pokročilý
Uživatelský avatar

Odeslat příspěvekod Vebloud 28. 7. 2010 13:39

No nevím, když už se útočník dostane k heslům v db, tak mu pravděpodobně nedělá problém dostat se ani k algoritmu hashování a použití solení.
Žít a nechat žít, ty máš svůj názor, já mám svůj názor, já ti nebudu nutit svůj, nemusím souhlasit s tvým, ale udělám vše, abys ho mohl svobodně vyjádřit.
Vebloud
Ex-moderátor
Uživatelský avatar

Odeslat příspěvekod karlos00x 28. 7. 2010 16:24

Velbloud: proc myslis? pokud nekdo naboura do DB (treba pres nezajisteny phpmyadmin) jeste to neznamena ze ma pristup na ftp kde je ten algoritmus.
Upgrade který má smysl: SSD. Zažijete svižný počítač.
karlos00x
Pokročilý

Odeslat příspěvekod gandor 28. 7. 2010 21:26

karlos00x: Tak ci onak spoliehat sa na to, ze nepride na sposob je dost na nic... Treba system zabezpecit tak, ze aj keby hned utocnik rozluskol sposob tvorenia hashov, tak je mu to (prakticky, kvoli casovej dlzke) na 2 veci...
Spoliehat sa na to, ze sa mi dostane len na databazu a nie na FTP je trocha nerozvazne. Nehovorim, ze to treba hned predpokladat, ale ked sa da (a to pri tych dostatocne dlhych saltoch ide) zabezpecit to tak ci onak, tak wo co go?
gandor
Mírně pokročilý

Odeslat příspěvekod Vebloud 28. 7. 2010 21:44

Hlavnš skrývání algoritmy použití solení je Security by Obscurity a to j eprostě nepoužitelné, pak ti na tom dělá kolega programátor a celé utajení jde do pryč. Na FTPko má přístup tvůj hoster, případně správce systému.

Algoritmus musí prostě být ze své podstaty dost silný. K čemu je mi skrývání použití solení, když samotný algoritmus hashování je známý? V podstatě všechny běžně používané šifry mají známé algoritmy a jejich bezpečnost nestojí na tom, že to nikdo neví, ale na síle algoritmu. Stejný je to se solí.

Pokud použiješ náhodný řetězec a třeba i náhodné délky v nějakém rozmezí, tak je ti úplně jedno jak je to použité. Nejdůležitější na tom je, že je to u každého hesla jiné a tím zajistíš to k čemu je sůl stvořená k zabezpečení proti rainbow tables a slovníkovým útokům.
Žít a nechat žít, ty máš svůj názor, já mám svůj názor, já ti nebudu nutit svůj, nemusím souhlasit s tvým, ale udělám vše, abys ho mohl svobodně vyjádřit.
Vebloud
Ex-moderátor
Uživatelský avatar

Odeslat příspěvekod virus 5. 8. 2010 08:40

Nejlepe pokud je to v delphi tak takto :-D

Kód: Vybrat vše
initialization
hesilko_obzvlaste_vypecene :=
'gbHZC5PPPI116c4WHerGE0DoHb4RC26Dlcy6NjWLuby9YlMbNtNPzieq6uzqt3j88Z9MPXZE61Wt1nKxWNZn5bnEqCkTwJkpiZcLk'
+'1JA33KA6IjwC5BiSL5udLDwBrkXlumruHgEmLcyp2FkgMQJSZMnY6LR9XwJzZu40zYb8QNkL0cLvQy822SL3go9bTEyyXDtxt9Mihi'
+'Oocbv1tk1J8KEUgu0NQk5RksEePpxjnWFLYVQsebdBIPgvEqGAIN1Rn8Rfta3v6glb9QTJ5xdj5LDjE68bVfzLtnas2QVw6ILeLsM4p'
+'jOAmd0NLICJi7xGP4FKbt7QHPuVoPpnfXjoyVf5CiC6HwxiWuTXA6CoKTSTFWJNYW8EEdgPGuNtxDWS3z8yak5sbC9vd7pNPfga'
+'LwQWSuJE9G05CtUpPVhXJW0mZwXm74bJepyGMU3UeiBFWTvza6WyvTcLNFMxBd11iOZ78YVMAoQCzHMFmKF1ZgrxWmvkSD'
+'8DFTkBJtILeQsSBR32ugVerT8ccqkAhOxF68vUyprM2xwUwKlk4Vc4tSsD7A4RvgN3AYRtC9iH5ZqxogdMnRw4WLzCfULwzJ4V4E'
+'v1IDf2dOirOxJ5PC3Xn2MTBcUdsCNzDwY6LiGbfGEZYH4fhie64rdFuVlG4svK5nk7Njie4DC9Dvj6FOYfU05fI5bnTP8LMAsDldfUzZU'
+'Kd0NWnH7wJgUDoXlEJa8zdkR0uPh0PQZYyPGDHYxPTzYLfKfiMSBUjZhXaPqhoUOGbKs3EYIRsyxK11LdBfdmS0h8HquEbsfA48b'
+'mFkZsLc3xNBF6zAQ4fF4bdQ5KLGmVsjjV1L0wGR5lObgHshFx7htDxuVEQudo1mrFXfnSvR7UHUUfZYbigFRslbNH6ADlSjqczvEsw'
+'J4B0aAkW2MLZoVxVuYocNlMuuuwpQDLMYFqznRex2W2LDrJ948nuoqUExYAa9Vhxkmmjo5RiixPjWAzTrzqF2m20LwHhUXRJRXZ'
+'Zk3E3MclBAXcXUffa0dk0M467v4Ak3VKjESNlFk2QgZoyR9xaxQheidNPb4e9JICYY2Cpeag8cepL4Qjd7gWGAqsUJOZ6IWTaM7FL'
+'7mz4RsVa1kwO301oZ3zg2z3nsl4pbDDxAjB8Uyrnwy7MvWXSV6M4YRIeWNHodEtYwVRETx4Zw4G7c5rzRRgeaOqDAP7HswGr6'
+'G9HHArb1USE9GQEpDxoNzGPGQ2b2Qq0rygR8mMM4tg9mgqUZAp5slIQunCzR8BsiM2exYioSkimPHKOlYm6t5AiA1tUZn7rNjZkP'
+'qeXMEX5O0Ym4nTJHkbWRz6G7DEwrPZUKcaSEHvxeWLGVdlzK2R8tsFk9yuHhX4BUK3xJbyaMj4a3qt2GygJkHNMQgXRCeG23aJ'
+'Jcf5aRiIoCCPwtOuVjBSlcNYkMjlYGJxxuuYTJWD3GZPkPcwxbl0vqYstmsNohAxKaifscHO6oC0AAbd4psPYeJrbjgfId1NOXDF6IXgc'
+'P3prg4vwfMA6FoZ73NRjpoReCeln1wUU0lSHPlDkfQmcHQtEov0UJ6t3i3znaWCFZUagMojAZRyBb0VtzDjvkA2Ke5Es3DniDpa1aE'
+'b8e84bdRCj9CqAUkdmDYqYkFRdQBrCPQbhorawA0yJAYUOjayjAF1k860tFR99XNIaSCo0KS02WH2KSJNbJj8Y8J7IdVI4Ygkmkv'
;

finalization


Znaky se vygeneruji podle jmena, nactou a pak se sifruji do nake podoby nakonec vyleze treba toto c8dr61k - i9Q87dR - Rw36eIX - VMfghyqXL - 3YO5874bm
No No No antivirus........... hihihihi
virus
Kolemjdoucí

Odeslat příspěvekod gandor 5. 8. 2010 12:17

Virus: pouzivas len male a velke pismena + cisla. Co tak zasolit pomocou nejakych binarnych dat? Napr. castou obrazku (samozrejme ze si predtym treba stripnut hlavicky, commenty a vsetky ostatne zmysluplne data)... :)
gandor
Mírně pokročilý

Další stránka

Kdo je online

Uživatelé procházející toto fórum: Žádní registrovaní uživatelé a 0 návštevníků