abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 0
dnes 15:51 | Komunita

Mozilla.cz informuje, že nástroje pro webové vývojáře se možná oddělí od Firefoxu a stanou doplňkem. Nástroje pro webové vývojáře prošly velkým přepisem a tým, který se stará o jejich vývoj, by uvítal možnost jejich častějších aktualizacích nezávisle na vydávání nových verzí Firefoxu.

Ladislav Hagara | Komentářů: 1
dnes 07:00 | Humor

Čtenářům AbcLinuxu vše nejlepší k dnešnímu Dni zvýšení povědomí o tučňácích (Penguin Awareness Day).

Ladislav Hagara | Komentářů: 0
dnes 06:00 | Komunita

Bylo spuštěno hlasování o přednáškách a workshopech pro letošní InstallFest, jenž proběhne o víkendu 4. a 5. března v Praze. Současně byla oznámena změna místa. InstallFest se letos vrací zpět na Karlovo náměstí do budovy E.

Ladislav Hagara | Komentářů: 0
dnes 02:48 | Komunita

Greg Kroah-Hartman potvrdil, že Linux 4.9 je jádrem s prodlouženou upstream podporou (LTS, Long Term Support). Podpora je plánována do ledna 2019. Aktuální jádra s prodlouženou podporou jsou tedy 3.2, 3.4, 3.10, 3.12, 3.16, 3.18, 4.1, 4.4 a 4.9.

Ladislav Hagara | Komentářů: 0
dnes 00:11 | Zajímavý článek

Výrobce síťových prvků, společnost Netgear, spustila nový program, který slibuje vývojářům, expertům, ale i běžným uživatelům vyplacení finanční odměny za nalezení bezpečnostních chyby v jejich produktech. Za nalezení zranitelnosti v hardware, API nebo mobilní aplikaci nabízí odměnu od 150 do 15 tisíc dolarů (dle závažnosti).

Michal Makovec | Komentářů: 0
dnes 00:08 | Pozvánky

V sobotu 18. 2. se v Praze v prostorách VŠE uskuteční od 9:30 již 4. ročník největší české konference o open source redakčním systému WordPress (WP) - WordCamp Praha 2017.

… více »
smíťa | Komentářů: 0
včera 23:58 | Komunita

Kryptoměnová komunita zahájila nový rok spuštěním projektu Blockchain.cz, jehož cílem je kolektivně nalézt ideální překlad pro čím dál frekventovanější slovo „blockchain“. Přispět návrhem může kdokoli. Sběr bude trvat až do konce září 2017. Následně bude probíhat dvoutýdenní veřejné hlasování, které bude zakončeno výběrem toho nejlepšího návrhu.

xHire | Komentářů: 8
včera 15:55 | Bezpečnostní upozornění

Společnost Oracle vydala čtvrtletní bezpečnostní aktualizaci svých softwarových produktů (CPU, Critical Patch Update). Opraveno je celkově 270 bezpečnostních chyb. V Oracle Java SE je například opraveno 17 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 16 z nich. V Oracle MySQL je opraveno 27 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 5 z nich.

Ladislav Hagara | Komentářů: 0
včera 02:48 | Nová verze

Po půl roce od vydání verze 9.0 (zprávička) byla vydána verze 10.0 zvukového serveru PulseAudio. Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 32
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (74%)
 (3%)
 (10%)
Celkem 339 hlasů
 Komentářů: 24, poslední 17.1. 10:14
    Rozcestník
    Reklama

    Dotaz: Význam, použití, bezpečnost saltů u hashů

    8.8.2010 03:54 vasek
    Význam, použití, bezpečnost saltů u hashů
    Přečteno: 353×
    Tak jsem začal pročítat různá fóra a články a mám pocit že teď vím o solení hesel ještě míň než před tím. Někdo tvrdí, že se dá salt z hesla oddělit a pak je vlastně zbytečný, někde se píše že je to blbost, někde že musí být salt utajen, jinde že salt může být klidně veřejný ... Jak to tedy je? Prosím vysvětlete mi to od píky nebo mě odkažte na nějaký článek, ve kterém píšou pravdu :-). Je mi jasný, že si heslo mohu osolit "po svěm" tím, že za něj prostě připojím nějaký řetězec, který bude znát jen daná aplikace: heslo+retezec. Nerozumím ale moc principům těch funkcí, které solí hesla, co s tím vlastně udělají apod. Např. moc nechápu co přesně provede s heslem třeba funkce v PHPčku crypt('heslo', '$6$sul$'). Jasně, vytvoří to sha512 osolený druhým parametrem, ale co se rozumí tím solením - přidání řetězce na začátek hesla nebo zašifrování hesla tím saltem... ?

    Odpovědi

    8.8.2010 08:25 Ash | skóre: 53
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Výhoda solení je, pokud máte hesel víc. Stejná hesla pak díky soli mají různý hash, takže nemá význam třídit hashe a hádat podle četnosti které heslo asi je nbusr123.
    8.8.2010 09:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    To se má tak. Proč se hesla hashují? Aby z jejich uložené podoby (v souboru, v databázi, ...) nebylo to heslo hned zřejmé. Když někdo znásilní takovou databázi, aby neměl hned hesla všech uživatelů (které můžou používat i k jiným účelům).

    Jenže. Hashovací funkce je udělaná tak, aby na stejný vstup dávala stejný výstup (proto máme sha součty u stažených souborů atd.) Takže když někdo bude vědět že hashem hesla "franta" je hodnota 1234, tak mu stačí najít 1234 v databázi a bude vědět, že daný uživatel má heslo "franta". Tomuhle útoku kde máme předpočítanou tabulku hashů se říká rainbow tables attack.

    A tady do hry vstupuje ta sůl. To je prostě několik náhodně vygenerovaných znaků navíc - např. "asdf". Hashuje se pak řetězec který vznikne spojením hesla a soli, tedy "asdffrata". Dejme tomu, že ten hash je 4567. V databázi pak máme hash a sůl, tedy "asdf|4567". Znamená to "zeptej se uživatele na heslo a k tomu co ti řekl přilep asdf, zahashuj, a pokud ti vyjde 4567 tak je zadané heslo správné".

    S tímto přístupem už nelze mít předpočítanou tabulku hashů, protože sůl může být u každého hesla "franta" jiná a tudíž i hash bude jiný. Velikost soli se obvykle volí tak, aby nebylo praktické mít předpočítané všechny soli. Jedinou možností je teď útok hrubou silou, kde zkoušíme k soli z databáze přilepit různá hesla, hashujeme a díváme se, jestli nevyšel ten správný hash. To je ale výpočetně nesrovnatelně více náročné než ta rainbow tabulka.

    V tomto schematu není sůl o nic víc tajná než její náležící heslo-hash. Jinak určitě může existovat ještě 150 dalších krypto schemat, kde má sůl úplně jinou roli.
    In Ada the typical infinite loop would normally be terminated by detonation.
    8.8.2010 10:58 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Mozeme pouzit jednoduchy priklad:

    Predstavte si, ze ste utocnik a nejakym sposobom sa vam podarilo ziskat hash hesla konkretneho uzivatela z DB a nech je to hash1 = ab24a...............34cd.

    Kedze absolutna vacsina uzivatelov su laici a volia hesla tak aby si ich pamatali, a nie tak aby boli bezpecne -> skusite pri hladani hesla vyuzit slovnik, resp. databazu najpouzivanejsich hesiel. Ku kazdemu heslu zo zoznamu vypocitate hash (alebo najdeme uz predpocitane na internete), a porovnate ho s hash1. Pripadne mozete generovat vsetky hesla do urcitej dlzky pozostavajuce z pismen a cislic, ale to uz je komplikovanejsie. Ak mate dostatok stastia, tak hladane heslo bolo zmysluplne a bolo v slovniku = vyhrali ste.

    Teraz si ale predstavte, ze je pouzita sol. Ta svojim sposobom modifikuje zadane heslo pred vypoctom hashu. Zvolme sol tak, ze osolene heslo uz nebude pozostavat len z abecedy a cislic. Je silne nepravdepodobne, ze by takto modifikovane heslo bolo zmysluplne, alebo ze by sa nachadzalo v nejakom slovniku najpravdepodobnejsich hesiel, a tak sa utok vyrazne komplikuje. Ak by sme aj chceli generovat vsetky mozne hesla, mame 2 zasadne problemy ... nevieme dlzku (nestaci odpozorovat pocet stlacenych klaves) a kazdy bajt hesla moze mat 256 moznych hodnot .. co je vyrazne viac, ako keby heslo pozostavalo len z pismen a cislic. Ak je sol, resp. postup modifikacie hesla pred hashovanim, kvalitne navrhnuty, tak pri utoku sa stracaju vsetky vyhody predosleho pripadu a utok zacina byt ekvivalentny s hladanim "first preimage".
    8.8.2010 11:04 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Este dodatok k druhemu pripadu:

    Ak sa vam aj nejakou nahodou podari najst retazec, ktory dava hash1, ziskate tak len heslo PO osoleni. Za predpokladu, ze sol zostava utajena a nie je trivialna, by bolo viacmenej nerealne ziskat povodne heslo.
    8.8.2010 13:23 fraxinus | skóre: 20 | blog: fraxinus
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    MD5 hash slova "secret" je "dd02c7c2232759874e1c205587017bed". Ak utocnik ziska md5 nesolene hashe tak staci polozit dotaz do googlu a hned vie ze heslo je "secret". Velke mnozstvo beznych vyrazov sa takto da cez google najst bez nutnosti pouzit brute force. Ak pouzijes salt tak aj ked sa utocnik dozvie ten salt tak cez google dane hashe nenajde lebo nikdo nebude davat na web md5 sucty osolene vsetkymi moznymi solami. Proste solenie mierne zvysuje bezpecnost.
    8.8.2010 16:18 vasek
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Zde je příklad z php.net k fci crypt:
    crypt('rasmuslerdorf', '$1$rasmusle$') = $1$rasmusle$rISCgZzpwk3UhDidwXvin0
    
    Řetězec za "$1$rasmusle$" je zaheslované heslo s pomocí saltu. rasmusle je v hesle jako celý plaintext proč? Třeba u SHA-512 je tam jen kus toho plaintextu viz. http://php.net/manual/en/function.crypt.php.
    8.8.2010 16:59 fraxinus | skóre: 20 | blog: fraxinus
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    lebo crypt je blba funkcia. Ja solim takto:
      $password = 'secret';
      $salt = 'jablko';
      $s = sha1($password.$salt);   
      echo $s;                      // vypise 176b05b6e83a3669639eef184f33d651d48e3eb4
    
    9.8.2010 10:23 dzim
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    Cimz v podstate vytvarite novou (obskurovanou) hashovasci funkci na misto saltovani.
    8.8.2010 17:44 koso
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    U SHA-512 je to orezane, pretoze podla specifikacie funkcie crypt (ten isty link) je ako salt pozadovany vstup 16 znakov ... tie zvysne su pravpodobne ignorovane pri samotnom vypocte, ale to si mozete velmi jednoducho vyskusat.
    8.8.2010 19:03 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Význam, použití, bezpečnost saltů u hashů
    rasmusle je v hesle jako celý plaintext proč?

    Sůl musí být dodána plain jinak byste při kontrole hesla nevěděl co k heslu přidat.
    In Ada the typical infinite loop would normally be terminated by detonation.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.