Komentarze do: Szyfrowanie haseł

Autor: Artur

Artur — Wed, 21 Apr 2010 14:54:49 +0000

Zna ktoś z was jakąś funkcję w php która kodowałby ciąg znaków używając do tego soli i następnie byłaby możliwość odkodowania tego używając tej soli? Mam problem ze znalezieniem czegoś takiego.

Autor: Dominik

Dominik — Sat, 27 Mar 2010 15:49:00 +0000

A propos – ostatnio uzywalem owszem md5 ale w innej kombinacji:

md5(haslo statyczne aplikacji + haslo usera + losowe 32 znaki)

wg mnie to juz dobre zabezpiecznie

Autor: Dominik

Dominik — Sat, 27 Mar 2010 15:46:14 +0000

Zgodze sie ze (samo) md5 to „slabe” rozwiazanie, jednak nagminnie uzywane przez deweloperow (ktorzy maja sie za super-wyszkolonych). No coz – moze do pierwszego przechwycenia danych

Autor: cojack

cojack — Fri, 05 Feb 2010 08:36:41 +0000

ktosik ogarnął temat, dzięki.

Autor: ktosik

ktosik — Wed, 03 Feb 2010 15:41:33 +0000

„Jest jeden mały problem z tą funkcją, po przeniesieniu strony wraz z bazą danych na inny hosting, istnieje prawdopodobieństwo iż hasła mimo że są poprawne nie będą pasować. Dlaczego?”

Gdyż ponieważ pod crypt() jest używana funkcja kryptograficzna, którą administrator może sobie zmienić. Dla przykładu, większość aktualnych dystrybucji Linux używa BlowFish. Są inne do wyboru. Zapisane hasło via crypt() na jednym systemie może być porównane na innym systemie tylko, gdy na nim także używana jest ta sama metoda kryptograficzna.

Autor: cojack

cojack — Mon, 25 Jan 2010 08:30:25 +0000

Athlan to szyfrowanie w title to wiesz wabik ;p

Autor: eee

eee — Fri, 01 Jan 2010 12:55:44 +0000

po co by miała być dodawana do sumy kontrolnej (tylko)?
crypt (z PHP i tak jak to w UNIXie wygląda) działa następująco:
sol=[losowy ciag];
hash=hash(sol+haslo);
zapisz(sol+hash);

Przyjąłem, że bardziej chodzi o znalezienie hasła a nie kolizji. Sól jak najdłuższa, np. 20 znaków. Jeśli chodzi o znalezienie hasła to tablice się na nic nie zdadzą, a kolizję łatwiej, choć nie widziałem takowych. Myślę, że mimo wszystko będą „za słabe” aby znaleźć kolizję dla dłuższego ciągu znaków.

Autor: Athlan

Athlan — Fri, 01 Jan 2010 11:12:32 +0000

A najbezpieczniejsze jest solenie haseł
http://athlan.pl/hashowanie-hasel-z-sola/

Poza tym szyfrowanie != haszowanie (funkcją skrótu).

Autor: sobstel

sobstel — Fri, 01 Jan 2010 10:55:33 +0000

owszem md5 nie jest zalecane, ale glownie jako suma kontrolna. jak sam napisales chodzi o mozliwosc kolizji, a jaki problem stanowi mozliwosc kolizji w przypadku zaszyfrowania dwoch roznych hasel? stosunkowo maly (w porownaniu z zastosowaniem do liczenia sumy kontrolnej), przynajmniej dla nie-paranoików. prawdziwym problemem jest rainbow tables, dlatego najlepiej stosowac salty (np. w takim symfony posuwaja sie do tego, ze dla kazdego usera jest inny salt).

Autor: cojack

cojack — Fri, 01 Jan 2010 06:05:08 +0000

YYy z tego co ja widziałem to sól jest dodawana do sumy kontrolnej a nie do stringu. Więc podejście bynajmniej ciekawsze A powiedz mi jak się nie nadają, to ile znakową sól będziesz tworzył? Tu nawet nie chodzi o odgadnięcie hasła, a stworzenie drugiej takiej samej sumy w tych kiepskich algorytmach.