[es] - Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 13:17 - pre 162 meseci}

Citat:

A kada je to u praksi slučaj?

Pa, eto, meni se desio jedan takav "incidenat", pa otud i pišem.
Da sam saltovao, ne bi bilo proboja, ovako je ispao problem.

Ne znam koliko je verovatno, ali eto, događa se :\

Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.

+67 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 13:22 - pre 162 meseci}

ne, cekaj

na koji nacin mozes da zasitis salt , ako su hash-evi vec kompromitovani?
zasto na isti nacin nebi stitio i hash-eve?

Odgovor na temu

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 13:28 - pre 162 meseci}

Problem je u dizajnu LCMS-a Moodle.
On omogućava po defaultu da nastavnici bekapuju svoje kurseve, ALI uz to i podatke o korisnicima!! Znači, hasheve passworda korisnika!
Nezgodno, je l' da?
I onda taj ko je bekapovao može da brutforsuje lepo. Do salta teško može doći, ali je damp baze dobio.

Jeste to propust softvera (ali i administratora, naravno), i možda marginalna dobit od salta generalno, ali naveo sam primer koji se zbilja dogodio.

Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.

+67 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 13:33 - pre 162 meseci}

pa da je koriscen slat, i on bi bio u backupu
jer je neophodan za funkcionisanje sistema nakon restorovanja sa backupa, zar ne?

Odgovor na temu

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 13:37 - pre 162 meseci}

Sad, možda ja nešto ne kontam :\
Bekapuje se npr. kurs, znači potrebni fajlovi iz nekog tamo direktorijuma + određene tabele. Salt se nalazi u nekom config fajlu na veb-serveru koji se ne bekapuje.
Bekap celokupnog servera je obaška, pričam o delu koji samostalno može da izvrši neko sa ulogom nastavnika, a on ne obuhvata salt.
Salt ostaje, a posle ako treba da se vrati, vrate se samo hashevi, to se posle opet "spaja" i koristi.
Glupo je ispalo (a možda su i ispravili u 2.0) što se bekapuju ne samo ID-evi korisnika sa kursa, nego i password polje. Ne znam zašto, to i jeste pitanje.

Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.

+67 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 14:10 - pre 162 meseci}

to je propust u dizajnu aplikacije definitivno

Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.teletrader.com.

+2790 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 14:30 - pre 162 meseci}

Salt je siguran najviše koliko i baza heševa lozinki. Kao što je rečeno, on štiti od rainbow tabela, jer niko nema rainbow tabelu za tvoj salt. Tada salt može komotno biti i javan. Takođe, može se za svakog korisnika generisati poseban salt, koji se može menjati prilikom promene lozinki. Tada pravljenje rainbow tabele za taj salt nema nikakvog smisla, jer se odnosi samo na jednu lozinku.

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Odgovor na temu

maksvel

Član broj: 107376
Poruke: 2417

Jabber: maksvel
Sajt: maksvel.in.rs

+161 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 14:35 - pre 162 meseci}

Kako god. Samo sam izneo svoje iskustvo ... tako se zalomilo

Citat:

to je propust u dizajnu aplikacije definitivno

Tačno tako.

Odgovor na temu

Wi-Fi

Član broj: 260194
Poruke: 195
*.dynamic.isp.telekom.rs.

+208 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{30.12.2010. u 19:30 - pre 162 meseci}

Citat:

EArthquake:
ne mora da znaci, mozda je db s lozinkama pokupio sa diska van sistema
ako ima keylogger, ni ne treba mu da skuplja sifre zar ne?

Ok to za van sistema, to jeste prednost. Ali ako je npr. pokupio iz sistema, nema nekog znacaja taj master pass (u slucaju da je sistem ugrozen nakon unosa sifri u FF - keylogger ne pomaze za vec zapamcene, ali od tog trenutka pomaze otkrivajuci master)

Manje vise isto (sa i bez), aj' da se kaze da je malo bezbednije s master pass-om

Odgovor na temu

Stijak
Beograd

Član broj: 97934
Poruke: 300
*.dynamic.sbb.rs.

Sajt: www.stijak.com

+37 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 11:18 - pre 161 meseci}

Pa ako neko ima potpuni read/write pristup bazi - zaista ne vidim zašto bi se uopšte maltretirao sa mjenjanjima hash-eva i slično kada u tom slučaju može direktno pristupiti podacima u bazi i mjenjati ih...

Hash nije ni projektovan da štiti od takvih suludih slučajeva, ali je i dalje dobro osiguranje za mnoge druge sigurnostne slučajeve... Ako neko dobije dump baze i dalje ne zna plaintext lozinku i ne može da se uloguje i mjenja podatke ili da im pristupa u budućnosti...

Bruteforce uopšte ne ide brzo i lako kako neki ovdje misle - uz dovoljno dugačku i raznovrsnu šifru (npr "12 kArakt€r4") - bruteforce nije praktičan ni na najjačim kompjuterima (bruteforce kalkulator - http://lastbit.com/pswcalc.asp)...

Inače - ako ti je cilj da postaviš neke podatke na server - ali da niko - pa čak ni administrator tog servera ne može da im pristupi - postoji i rešenje za to... lastpass npr koristi neko takvo rešenje... Svi tvoji podaci su enkriptovani lokalno (plugin ili javascript ako se koristi sajt)... Za logovanje - serveru prosledjuješ lokalno napravljen hash(username@password) (koji onda vjerovatno i server još jednom hashuje pre upisivanja /poredjenja sa onim u bazi), a za enkripciju - lokalno nešto tipa hash(password@username@password) (namjerno drugačije od onoga što prosledjuješ serveru)... Ima nekoliko članaka na netu gdje su ljudi snifovali pakete, pregledali javascript kod i zaista otkrili da je sve sigurno i enkriptovano...

Odgovor na temu

X Files
Vladimir Stefanovic
Pozarevac

SuperModerator
Član broj: 15100
Poruke: 4902
212.200.65.*

Jabber: xfiles@elitesecurity.org

+638 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 12:40 - pre 161 meseci}

@Nedeljko

Citat:

Čemu onda služi pamćenje heševa lozinki umesto samih lozinki? U kojem scenariju to poboljšava sigurnost?

Recimo, svaki covek vremenom razvije svoj sistem za definisanje lozinki (da ne pominejmo najcesci slucaj, kada koriste jednu za sve). Taj sistem je jasan za prisecanje u glavi, ali je najcesce vrlo providan kada bi se stavio crno na belo. Administrator koji bi pred ocima imao listu alfanumerika, bez puno muke bi provalio i ostale lozinke za javne servise, forume i sl. A nije administrator na njima.

Mozda taj scenario poboljsava sigurnost?

Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12850

+4784 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 13:12 - pre 161 meseci}

Sto bi se vlasnik/autor jednog sistema brinuo za lozinke na drugim sistemima? :)

Nebojsa Milanovic: Što se tiče Trumpa, smatram ga vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu.
Nebojsa Milanovic: Rusija ne laže, ne vodi osvajačke ratove
Nebojsa Milanovic: Trump je svetla tačka u USA blatu.

Odgovor na temu

X Files
Vladimir Stefanovic
Pozarevac

SuperModerator
Član broj: 15100
Poruke: 4902
212.200.65.*

Jabber: xfiles@elitesecurity.org

+638 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 13:20 - pre 161 meseci}

Mozda bi zloupotrebio/prodao :) Nekako, kada lozinke nisu bas na izvolte ocima (adminovim ili njegovih gostiju), to je samo po sebi jedan vid zastite.

Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.

+67 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 15:13 - pre 161 meseci}

Citat:

Stijak:
Bruteforce uopšte ne ide brzo i lako kako neki ovdje misle - uz dovoljno dugačku i raznovrsnu šifru (npr "12 kArakt€r4") - bruteforce nije praktičan ni na najjačim kompjuterima (bruteforce kalkulator - http://lastbit.com/pswcalc.asp)...

bruteforce ide odlicno brzo za hash-eve jer su i hash f-je dizajnirane da budu brze
sta mislis koji procenat ljudi ima tako "jake" sifre?

Citat:

Stijak:
Inače - ako ti je cilj da postaviš neke podatke na server - ali da niko - pa čak ni administrator tog servera ne može da im pristupi - postoji i rešenje za to... lastpass npr koristi neko takvo rešenje... Svi tvoji podaci su enkriptovani lokalno (plugin ili javascript ako se koristi sajt)... Za logovanje - serveru prosledjuješ lokalno napravljen hash(username@password) (koji onda vjerovatno i server još jednom hashuje pre upisivanja /poredjenja sa onim u bazi), a za enkripciju - lokalno nešto tipa hash(password@username@password) (namjerno drugačije od onoga što prosledjuješ serveru)... Ima nekoliko članaka na netu gdje su ljudi snifovali pakete, pregledali javascript kod i zaista otkrili da je sve sigurno i enkriptovano...

javascript crypto? molim vas, budimo ozbiljni

Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12850

+4784 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 15:16 - pre 161 meseci}

Citat:

X Files: Mozda bi zloupotrebio/prodao :) Nekako, kada lozinke nisu bas na izvolte ocima (adminovim ili njegovih gostiju), to je samo po sebi jedan vid zastite.

Ne, hteo sam reci, zasto bi onaj ko pravi jedan sistem trudio da zastiti password-e zbog nekog drugog sistema. Sta ga briga :)

Odgovor na temu

Stijak
Beograd

Član broj: 97934
Poruke: 300
*.dynamic.sbb.rs.

Sajt: www.stijak.com

+37 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 15:39 - pre 161 meseci}

@earthquake - pa npr. 500 000 pokušaja u sekundi i jeste strašno brzo - pa bi opet bile potrebne hiljade godina da se probiju jake šifre duže od 10ak karaktera...
To što mnogi koriste mnogo slabije šifre (prema jednoj analizi provaljene baze šifara - najčešće korištenih 1000 šifara koristi 20% ljudi) nije tema ovdje...
Javascript sasvim odlično obavlja posao za ovako proste zadatke tipa lastpass-a gdje je ukupna količina podataka možda koji kilobajt... Ne bih sad baš očekivao da će mi u real time-u dešifrovati video stream i prikazivati mi ga u browseru... Uostalom - enkripcija se na kompjuterima koristila i pre 30ak godina - a sada i u sporim browserima javascript radi brže nego tadašnje nativne aplikacije...

@Shadowed - vjerovatno se zato još uvijek u mnogim po potrebi napravljenim sistemima još uvijek koriste plain text šifre - ali svi sistemi koji se prave za veći broj korisnika skoro uvijek koriste hashove, jer ne košta ništa a sigurnije je... Uostalom - kao što rekoh - to povećava sigurnost i sopstvenog sistema - jer ako neko dobije neki dump baze - to mu ne omogućava da sistemu pristupa u budućnosti i ne moraš tjerati sve korisnike da mjenjaju šifru (mada je i tada preporučljivo)...

Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.

+67 Profil

Re: Čemu služi beleženje lozinki u kriptovanom obliku pomoću heš funkcija?

^{05.01.2011. u 16:38 - pre 161 meseci}

nije mi bila poenta brzina izvrsavanja javascript-a
vec sam javascript kao jezik, za pocetak, nema pravi sigurni PRNG

Odgovor na temu