abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 10:50 | Zajímavý software

Mozilla.cz informuje o dvou nových experimentálních funkcích v programu Firefox Test Pilot (zprávička). Snooze Tabs slouží k odkládání panelů na později. Pokud vám někdo pošle odkaz, ale vy nemáte čas si stránku hned přečíst, můžete si naplánovat otevření panelu na později. Stačí kliknout na tlačítko a vybrat, kdy chcete panel otevřít. Firefox panel schová a ve vybraný čas znovu otevře. Pulse umožňuje ohodnotit, jak dobře stránka funguje, např. jak rychle se ve Firefoxu načetla. Podle nasbíraných hodnocení pak bude Mozilla prohlížeč ladit.

Ladislav Hagara | Komentářů: 3
dnes 02:00 | IT novinky

V Barceloně probíhá veletrh Mobile World Congress 2017. Nokia na něm například představila (360° video na YouTube) novou Nokii 3310 (YouTube). BlackBerry představilo BlackBerry KEYone (YouTube) s QWERTY klávesnicí. LG představilo LG G6 (YouTube). Huawei HUAWEI P10 a P10 Plus. Samsung představil tablet Galaxy Tab S3.

Ladislav Hagara | Komentářů: 0
včera 14:00 | Nová verze

Komunita kolem Linuxu From Scratch (LFS) vydala Linux Linux From Scratch 8.0 a Linux From Scratch 8.0 se systemd. Nové verze knih s návody na instalaci vlastního linuxového systému ze zdrojových kódů přichází především s Glibc 2.25 a GCC 6.3.0. Současně bylo oznámeno vydání verze 8.0 knih Beyond Linux From Scratch (BLFS) a Beyond Linux From Scratch se systemd.

Ladislav Hagara | Komentářů: 0
včera 11:11 | Nová verze

Byla vydána verze 0.10.0 webového prohlížeče qutebrowser (Wikipedie). Přehled novinek v příspěvku na blogu. Vývojáři qutebrowseru kladou důraz na ovladatelnost pomocí klávesnice a minimální GUI. Inspirovali se prohlížečem dwb a rozšířeními pro Firefox Vimperator a Pentadactyl. Prohlížeč qutebrowser je naprogramován v Pythonu a využívá PyQt5. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GNU GPL 3.

Ladislav Hagara | Komentářů: 23
25.2. 16:22 | Nová verze

Po pěti měsících od vydání Waylandu a Westonu 1.12.0 oznámil Bryce Harrington (Samsung) vydání Waylandu 1.13.0 a Westonu 2.0.0.

Ladislav Hagara | Komentářů: 4
24.2. 13:37 | Bezpečnostní upozornění

Společnost Cloudflare (Wikipedie) na svém blogu potvrdila bezpečnostní problém s její službou. V požadovaných odpovědích od reverzní proxy byla odesílána také data z neinicializované paměti. Útočník tak mohl získat cookies, autentizační tokeny, data posílaná přes HTTP POST a další citlivé informace. Jednalo se o chybu v parsování HTML. Zneužitelná byla od 22. září 2016 do 18. února 2017. Seznam webů, kterých se bezpečnostní problém potenciálně týká na GitHubu.

Ladislav Hagara | Komentářů: 1
24.2. 08:22 | Nová verze

Byla vydána první beta verze Ubuntu 17.04 s kódovým názvem Zesty Zapus. Ke stažení jsou obrazy Kubuntu, Lubuntu, Ubuntu Budgie, Ubuntu GNOME, Ubuntu Kylin, Ubuntu Studio a Xubuntu. Dle plánu by Ubuntu 17.04 mělo vyjít 13. dubna 2017.

Ladislav Hagara | Komentářů: 57
23.2. 17:53 | Bezpečnostní upozornění

Google na svém blogu věnovaném počítačové bezpečnost informuje o nalezení "reálného" způsobu generování kolizí hašovací funkce SHA-1. Podrobnosti a zdrojové kódy budou zveřejněny do 90 dnů. Již dnes lze ale na stránce SHAttered nalézt 2 pdf soubory, jejichž obsah se liší a SHA-1 otisk je stejný (infografika).

Ladislav Hagara | Komentářů: 41
23.2. 17:51 | Nová verze

Vyšla nová verzia open source software na správu a automatizáciu cloudových datacentier Danube Cloud 2.4. Danube Cloud je riešenie postavené na SmartOS, ZFS, KVM a zónach. Obsahuje vlastnosti ako integrovaný monitoring, DNS manažment, zálohy, a samozrejme rozsiahlu dokumentáciu.

dano | Komentářů: 15
23.2. 17:46 | Pozvánky

V Plzni se 3. až 5. března 2017 uskuteční AIMTEChackathon. Je to akce pro vývojáře, grafiky, webdesignéry i veřejnost. Akci provází zajímavé přednášky IT odborníků. Více o programu a možnosti přihlášení na stránkách akce.

cuba | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (13%)
 (2%)
 (72%)
 (3%)
 (10%)
Celkem 725 hlasů
 Komentářů: 68, poslední dnes 07:29
    Rozcestník

    Dotaz: Význam, použití, bezpečnost saltů u hashů

    8.8.2010 03:54 vasek
    Význam, použití, bezpečnost saltů u hashů
    Přečteno: 355×
    Tak jsem začal pročítat různá fóra a články a mám pocit že teď vím o solení hesel ještě míň než před tím. Někdo tvrdí, že se dá salt z hesla oddělit a pak je vlastně zbytečný, někde se píše že je to blbost, někde že musí být salt utajen, jinde že salt může být klidně veřejný ... Jak to tedy je? Prosím vysvětlete mi to od píky nebo mě odkažte na nějaký článek, ve kterém píšou pravdu :-). Je mi jasný, že si heslo mohu osolit "po svěm" tím, že za něj prostě připojím nějaký řetězec, který bude znát jen daná aplikace: heslo+retezec. Nerozumím ale moc principům těch funkcí, které solí hesla, co s tím vlastně udělají apod. Např. moc nechápu co přesně provede s heslem třeba funkce v PHPčku crypt('heslo', '$6$sul$'). Jasně, vytvoří to sha512 osolený druhým parametrem, ale co se rozumí tím solením - přidání řetězce na začátek hesla nebo zašifrování hesla tím saltem... ?

    Odpovědi

    8.8.2010 08:25 Ash | skóre: 53
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Výhoda solení je, pokud máte hesel víc. Stejná hesla pak díky soli mají různý hash, takže nemá význam třídit hashe a hádat podle četnosti které heslo asi je nbusr123.
    8.8.2010 09:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    To se má tak. Proč se hesla hashují? Aby z jejich uložené podoby (v souboru, v databázi, ...) nebylo to heslo hned zřejmé. Když někdo znásilní takovou databázi, aby neměl hned hesla všech uživatelů (které můžou používat i k jiným účelům).

    Jenže. Hashovací funkce je udělaná tak, aby na stejný vstup dávala stejný výstup (proto máme sha součty u stažených souborů atd.) Takže když někdo bude vědět že hashem hesla "franta" je hodnota 1234, tak mu stačí najít 1234 v databázi a bude vědět, že daný uživatel má heslo "franta". Tomuhle útoku kde máme předpočítanou tabulku hashů se říká rainbow tables attack.

    A tady do hry vstupuje ta sůl. To je prostě několik náhodně vygenerovaných znaků navíc - např. "asdf". Hashuje se pak řetězec který vznikne spojením hesla a soli, tedy "asdffrata". Dejme tomu, že ten hash je 4567. V databázi pak máme hash a sůl, tedy "asdf|4567". Znamená to "zeptej se uživatele na heslo a k tomu co ti řekl přilep asdf, zahashuj, a pokud ti vyjde 4567 tak je zadané heslo správné".

    S tímto přístupem už nelze mít předpočítanou tabulku hashů, protože sůl může být u každého hesla "franta" jiná a tudíž i hash bude jiný. Velikost soli se obvykle volí tak, aby nebylo praktické mít předpočítané všechny soli. Jedinou možností je teď útok hrubou silou, kde zkoušíme k soli z databáze přilepit různá hesla, hashujeme a díváme se, jestli nevyšel ten správný hash. To je ale výpočetně nesrovnatelně více náročné než ta rainbow tabulka.

    V tomto schematu není sůl o nic víc tajná než její náležící heslo-hash. Jinak určitě může existovat ještě 150 dalších krypto schemat, kde má sůl úplně jinou roli.
    In Ada the typical infinite loop would normally be terminated by detonation.
    8.8.2010 10:58 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Mozeme pouzit jednoduchy priklad:

    Predstavte si, ze ste utocnik a nejakym sposobom sa vam podarilo ziskat hash hesla konkretneho uzivatela z DB a nech je to hash1 = ab24a...............34cd.

    Kedze absolutna vacsina uzivatelov su laici a volia hesla tak aby si ich pamatali, a nie tak aby boli bezpecne -> skusite pri hladani hesla vyuzit slovnik, resp. databazu najpouzivanejsich hesiel. Ku kazdemu heslu zo zoznamu vypocitate hash (alebo najdeme uz predpocitane na internete), a porovnate ho s hash1. Pripadne mozete generovat vsetky hesla do urcitej dlzky pozostavajuce z pismen a cislic, ale to uz je komplikovanejsie. Ak mate dostatok stastia, tak hladane heslo bolo zmysluplne a bolo v slovniku = vyhrali ste.

    Teraz si ale predstavte, ze je pouzita sol. Ta svojim sposobom modifikuje zadane heslo pred vypoctom hashu. Zvolme sol tak, ze osolene heslo uz nebude pozostavat len z abecedy a cislic. Je silne nepravdepodobne, ze by takto modifikovane heslo bolo zmysluplne, alebo ze by sa nachadzalo v nejakom slovniku najpravdepodobnejsich hesiel, a tak sa utok vyrazne komplikuje. Ak by sme aj chceli generovat vsetky mozne hesla, mame 2 zasadne problemy ... nevieme dlzku (nestaci odpozorovat pocet stlacenych klaves) a kazdy bajt hesla moze mat 256 moznych hodnot .. co je vyrazne viac, ako keby heslo pozostavalo len z pismen a cislic. Ak je sol, resp. postup modifikacie hesla pred hashovanim, kvalitne navrhnuty, tak pri utoku sa stracaju vsetky vyhody predosleho pripadu a utok zacina byt ekvivalentny s hladanim "first preimage".
    8.8.2010 11:04 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Este dodatok k druhemu pripadu:

    Ak sa vam aj nejakou nahodou podari najst retazec, ktory dava hash1, ziskate tak len heslo PO osoleni. Za predpokladu, ze sol zostava utajena a nie je trivialna, by bolo viacmenej nerealne ziskat povodne heslo.
    8.8.2010 13:23 fraxinus | skóre: 20 | blog: fraxinus
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    MD5 hash slova "secret" je "dd02c7c2232759874e1c205587017bed". Ak utocnik ziska md5 nesolene hashe tak staci polozit dotaz do googlu a hned vie ze heslo je "secret". Velke mnozstvo beznych vyrazov sa takto da cez google najst bez nutnosti pouzit brute force. Ak pouzijes salt tak aj ked sa utocnik dozvie ten salt tak cez google dane hashe nenajde lebo nikdo nebude davat na web md5 sucty osolene vsetkymi moznymi solami. Proste solenie mierne zvysuje bezpecnost.
    8.8.2010 16:18 vasek
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Zde je příklad z php.net k fci crypt:
    crypt('rasmuslerdorf', '$1$rasmusle$') = $1$rasmusle$rISCgZzpwk3UhDidwXvin0
    
    Řetězec za "$1$rasmusle$" je zaheslované heslo s pomocí saltu. rasmusle je v hesle jako celý plaintext proč? Třeba u SHA-512 je tam jen kus toho plaintextu viz. http://php.net/manual/en/function.crypt.php.
    8.8.2010 16:59 fraxinus | skóre: 20 | blog: fraxinus
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    lebo crypt je blba funkcia. Ja solim takto:
      $password = 'secret';
      $salt = 'jablko';
      $s = sha1($password.$salt);   
      echo $s;                      // vypise 176b05b6e83a3669639eef184f33d651d48e3eb4
    
    9.8.2010 10:23 dzim
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Cimz v podstate vytvarite novou (obskurovanou) hashovasci funkci na misto saltovani.
    8.8.2010 17:44 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    U SHA-512 je to orezane, pretoze podla specifikacie funkcie crypt (ten isty link) je ako salt pozadovany vstup 16 znakov ... tie zvysne su pravpodobne ignorovane pri samotnom vypocte, ale to si mozete velmi jednoducho vyskusat.
    8.8.2010 19:03 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    rasmusle je v hesle jako celý plaintext proč?

    Sůl musí být dodána plain jinak byste při kontrole hesla nevěděl co k heslu přidat.
    In Ada the typical infinite loop would normally be terminated by detonation.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.