Hash IP adresy (vyřešeno)

1.9.2007 12:42 | Přečteno: 4681× | AbcLinuxu | poslední úprava: 1.9.2007 15:16

Nedávno se na Abíčku v jedné diskuzi řešilo, zda by neexistoval nějaký způsob, jak by mohli sami čtenáři odhalit, pokud někdo přispívá do jedné a té samé diskuze nejdříve pod svým jménem a uživatelským profilem, a následně i jako anonym. Později v diskuzi sice padlo vysvětlení, že anonym byl kamarád na návštěvě, nicméně v diskuzi mezitím padl návrh ke každému komentáři zveřejňovat hash IP adresy, ze které byl komentář odeslán.

Původně to vypadalo, že realizace bude triviální. Po několika testovacích výstřelech se ale ukázalo, že nebude tak snadné zvolit správnou hashovací funkci. Protože je tady na Abíčku několik lidí, kteří na rozdíl ode mne mají matematickou představivost a/nebo potřebné znalosti, vyhlašuji zde soutěž na hashovací funkci pro IP adresy.

Aktualizováno: vyhrává návrh, se kterým jako první přišel Michal Kubeček – prostě IP adresy komentářů postupně číslovat a očíslování si zapamatovat. 16 GiB z mého příspěvku je sice správný horní odhad, ale počet komentujících IP adres bude řádově menší. Navíc ten hash stejně musí být uložen v databázi u každého komentáře, a databáze musí zvládnout i to, což je mnohem větší množství dat. Takže díky všem za pomoc.

Celé by to fungovalo tak, že v hlavičce komentáře by se vedle současných údajů objevil ještě hash IP adresy počítače, ze kterého byl komentář odeslán (respektive NATu nebo proxy, za kterým je ten počítač schován). Hash by se vypisoval nejspíš v šestnáctkové soustavě, takže třeba pro 32bitový hash by se zobrazilo 8 hexačíslic – každý by si pak mohl porovnat, zda hash jednoho komentáře není shodný s hashem jiného (což by sice ještě nic neznamenalo, ale bylo by to „přinejmenším podezřelé“). Jaké jsou základní požadavky na hashovací funkci?

• celý proces musí být s údaji, které zná čtenář, jednosměrný – tj. nesmí být možné z hashe získat zpět IP adresu
• v praxi by se mělo vyskytovat co nejméně kolizí, ideálně žádné
• pro jednu a tu samou IP adresu musí vyjít vždy stejný hash
• celé by to mělo být „jednoduché“, tj. aby se hash nepočítal 14 dní

Pár postřehů, aneb tudy ne, přátelé

IPv4 adresa má 32 bitů, tj. čtyři bajty. To není mnoho. Na jednu stranu to dává možnost udělat mapování 1:1 mezi IP adresou a hashem, čímž se zajistí bezkoliznost. Na druhou stranu, použije-li se hash kratší než 32 bitů, budou se i reálně nejspíš vyskytovat kolize, protože z těch 4 miliard IP adres se jich nezanedbatelné množství reálně používá a distribuce používaných IP adres v prostoru všech IP adres je víceméně náhodná (pokud teď kecám, v diskuzi mne prosím opravte). Pro představu – z logů jednoho ne příliš navštěvovaného serveru jsem získal 3230 jedinečných IP adres, při použití 16bitového hashe (získaného jako XOR lichých bajtů IP adresy a XOR sudých) bylo 81 kolizí.

Další nápad tedy byl použít 32bitový hash. Snadné řešení se nabízí – sXORovat IP adresu s nějakým tajným klíčem, který bude uložen v konfiguraci ostrého serveru (a nebude tedy součástí veřejných zdrojáků Abíčka). To vypadalo jako dobrý nápad. Do té doby, než jsem si uvědomil, že pak by stačilo vzít svoji známou IP adresu, sXORovat ji s vygenerovaným hashem, a mám „tajný“ klíč.

Jsou dva možné způsoby, jak zajistit, aby z hashe nešlo odvodit původní IP adresu:

• Hash bude nejednoznačný, tj. na jeden hash se namapuje více (řádově desítky a víc) IP adres. Což je ale v rozporu s požadovanou bezkolizností.
• Nebo mapování IP adresa : hash bude 1:1 (nebo téměř 1:1). To ale znamená, že hashovací funkce nemůže být dána jenom algoritmem (který bude veřejný a k dohledání ve zdrojácích Abíčka), ale musí tam vystupovat nějaký tajný klíč, který bude „znát“ jen ostrá verze Abíčka. I pokud by se totiž pro hash použila jednosměrná funkce, nebude velký problém si tou funkcí vygenerovat tabulku mapující libovolnou IP adresu na její hash a pak v té tabulce jen vyhledávat – pokud by vygenerování jednoho hashe trvalo 1 milisekundu, máte za 2 měsíce takovou tabulku vyrobenou. A je tady myslím dost lidí, kteří by do takové práce mohli zapřáhnout třeba přes noc nějakou učebnu.

Ideální řešení by tedy bylo z /dev/urandom vygenerovat 16 GiB soubor a v něm pak hash hledat jednoduše na pozici IP adresa * 4. Není to nemožné, ale byl by to myslím trochu kanón na vrabce.

Poslední řešení, které mne napadá, je:

• vzít 16 bajtový tajný klíč
• vzít 1. bajt IP adresy a sXORovat jej postupně s bajty 1 až 4 klíče, dostanu tak bajty A1 až A4
• to samé s druhým bajtem a 5. až 8. bajtem klíče, dostanu B1 až B4, atd. pro třetí a čtvrtý bajt
• 1. bajt výsledného hashe bude A1 xor B1 xor C1 xor D1, atd. pro další 3 bajty

Protože se každý bit IP adresy promítne do 4 bitů hashe, není už podle mne možné získat tajný klíč žádnými variacemi na téma známá IP adresa xor známý hash

Otázka tedy zní – splňuje takhle navržená funkce požadavek na jednosměrnost? Bezkoliznost je předpokládám dána tím, že se znalostí klíče by mělo být možné funkci invertovat. Nebo máte někdo nějaký lepší návrh?

PS: Proč jednoduše nepoužiju nějakou známou ověřenou hashovací funkci, jako MD5 nebo SHA-256? Jednak potřebuji funkci s tajným klíčem, aby nebylo možné vyrobit si prostě tabulku všech hashů. Jednak všechny hashovací funkce, se kterými se znám, mají hash minimálně 128 bitů, což je 32 hexačíslic – to je trochu moc na to, aby to někdo u komentářů ručně porovnával. Navíc z 32 bitů stejně nedostanu ví jak 2^32 kombinací, takže delší hash je zbytečný – pouze přidává balast do výstupu.

       

Komentáře

[Miloslav Ponkrác]

Jenže to sjou požadavky, které jsou proti sobě:

1) Pokud hash bude zaručeně jednoznačný, tedy bude mapovat 1:1, pak bude vždy existovat metoda jak vytáhnout původní IP.

2) Pokud bude znám algoritmus výpočtu hashe, lze říci, že u tak krátkých dat, jako je 32 bitová IP lze s velkou pravděpodobností dohledat původní IP z hashe.

3) Jediné jak toto vyřešit je utajit hashovací funkci - tedy security by obscurity.

4) Otázkou je, zda hašovací funkce je jediné řešení. Například na builderu.cz nezveřejňují ani IP, ani hash, ale prostě a jednoduše napíštou do záhlaví příspěvku třeba:

Pavel (stejná IP adresa jako Agent, Martin, Karel)

což je docela geniální, neboť nic se neprozrazuje, ale přesto každý může vědět kdo se asi vydává za koho a znásobuje svojí identitu.

[Michal Kubeček]

To je samozřejmě také možnost: do nějaké chytře navržené datové struktury (nejspíš nějaká forma stromu) ukládat jednotlivé adresy komentujících, přiřadit jim pořadová čísla a zveřejňovat ta čísla. Pokud je různých adres něco kolem 3000, nemuselo by to být ani tak moc náročné, paměťově ani časově.

[Miloslav Ponkrác]

Taky dobré řešení a přitom velmi jednoduché.

[Filip Jirsák]

Těch adres v případě Abíčka bude asi řádově víc, těch 3000 je ze serveru, který navštěvuje maximálně tak 100 lidí plus roboti. Pro Abíčko by tu statistiku musel udělat někdo, kdo má přístup k logům Abíčka – já jsme použil tohle:

find /var/log/jetty -name '200*.log' -exec awk '{ print $1 }' {}  \; | sort -u > tmp/ip.txt
wc -l tmp/ip.txt

Ale i pro větší množství adres je to myslím dobrý nápad, a možná by ani nebylo nutné vymýšlet speciální strukturu – tabulku třeba se sto tisíci záznamy by MySQL pořád měla zvládnout, bylo by tam jen pořadové číslo a 32bitový integer (IP adresa) s vhodným indexem (třeba právě BTree).

[Michal Kubeček]

Odhadoval bych, že bude výrazný rozdíl mezi počtem návštěvníků a počtem komentujících.

[happy barney]

ak ma pamäť neklame, tomuto sa nadáva náhodné orakulum. Je ešte možné ku každej IP priraďovať náhodné číslo, ak by bol záujem o.i. utajiť skutočný počet IP navštevujúcich server.

[Michal Kubeček]

32-bitová hashovací funkce je třeba CRC-32, případně se dá vzít MD5 a z výsledku použít jen 32 bitů. Tak jako tak ale v tomto případě stejně nebude zajištěna jednoznačnost.

Symetrická šifra vypadá o poznání lépe, ale má tu nevýhodu, že ten, kdo má přístup k serveru, bude schopen provádět inverzní převod. Z toho bych si ale nedělal těžkou hlavu, kdo má přístup k serveru, bude schopen si dohledat skutečné adresy jinak (navíc bych osobně neviděl naprosto nic špatného ani na zveřejňování skutečných IP adres komentujících). Nevidím ovšem smysl ve znovuvynalézání kola, spíš bych se poohlédl po nějaké známé a prověřené 32-bitové šifře, než bych trávil týden vymýšlením něčeho, co průměrně schopný kryptolog prolomí za půl hodiny. Zkusím se podívat, zda něco takového existuje. Případně by šlo použít 64-bitový hash, je sice delší, ale pokud použijeme kódování jako u unixových hesel, není problém ho zapsat pomocí 11 znaků.

Úplně nekvalitnější řešení by asi bylo použít něco na způsob {R,D,EC}SA, tj. vygenerovat tajný a veřejný klíč, tajný zahodit a veřejným to šifrovat. Otázkou ale je, jak těžké by bylo přizpůsobit tyto známé asymetrické algoritmy pro potřeby šifrování 32-bitových bloků.

[janik]

Otázkou ale je, jak těžké by bylo přizpůsobit tyto známé asymetrické algoritmy pro potřeby šifrování 32-bitových bloků.

To samozrejme nieje ziadny problem... Staci nieco taketo:

kluc = obrovske prvocislo

hash = IP^kluc & 0xFFFFFFFF

Totok je RSA algoritmus okresany o moznost desifrovania...

Vie niekto ako spravit mocninu takym velkym cislom? Ja si to uz nepamatam

[Deleted [8409]]

a jaky smysl tam ma to & 0xFFFFFFFF ? To je naprosto zbytecne a neudela to nic, pak nam zbyde pouhy XOR, coz bych v tomto pripade ani nenaval jako nejakou hashovaci funkci

[Filip Jirsák]

^ zde asi není myšleno jako XOR, ale jako mocnina. Jenže by to musela být mocnina modulo něco, nejlépe 2^32, a pak už je tam ten AND zbytečný.

[Deleted [8409]]

jo tak, ja jsem predpokladal ze to je XOR Ono ale at je to, co je to, tak prirazenim do 32 bitoveho cisla se to udela implicitne

[janik]

Sorac za nedorozumenie

[Michal Kubeček]

To samozrejme nieje ziadny problem... Staci nieco taketo:

kluc = obrovske prvocislo

hash = IP^kluc & 0xFFFFFFFF

Totok je RSA algoritmus okresany o moznost desifrovania...

Tak takhle jednoduché to opravdu není.

Vie niekto ako spravit mocninu takym velkym cislom? Ja si to uz nepamatam :-(

To je skoro jednodušší vymyslet než najít, ne? Hint1: x^(2^n) se dá spočítat na n násobení, hint2: každé číslo n se dá napsat jako součet nejvýše 1+log_2 n mocnin dvojky.

[janik]

To samozrejme nieje ziadny problem... Staci nieco taketo:

kluc = obrovske prvocislo

hash = IP^kluc & 0xFFFFFFFF

Totok je RSA algoritmus okresany o moznost desifrovania...

Tak takhle jednoduché to opravdu není.

Ale je... nieje to az tak davno co som mal za A z kryptografie (asi pol roka )... Az na to, ze som zkombinoval operatory z ccka a pascalu alebo co to bolo... ^ bolo myslene ako mocnina.

Vie niekto ako spravit mocninu takym velkym cislom? Ja si to uz nepamatam :-(

To je skoro jednodušší vymyslet než najít, ne? Hint1: x^(2^n) se dá spočítat na n násobení, hint2: každé číslo n se dá napsat jako součet nejvýše 1+log_2 n mocnin dvojky.

Prave som sa vratil z kopania zemiakov a matematika je to posledne na co sa mi chce mysliet

[Michal Kubeček]

Ale je... nieje to az tak davno co som mal za A z kryptografie (asi pol roka )

Promiňte, ale na to mohu reagovat jen slovy klasika: "To dodává slovu hrůza nový rozměr."

[janik]

Safra... aj by som sa na to vykaslal... ale neznasam, ked zo mna robia debila... Clovek chce iba pomoct, a nakoniec sa musi sam branit...

RSA algoritmus je zalozeny na jednoduchom principe. Ked pracujem vo zvyskovych triedach, tak vzdy existuju cisla e,d pre ktore plati:
b = (b**e)**d
(** je umocnovanie (python) aby sa to neplietlo)
Na tomto je zalozeny cely RSA algoritmus. e je sifrovaci kluc, d je desifrovaci kluc. Jedine co je na RSA zlozite je najst tie prvocisla e a d, preto je generovanie klucov pomale, ale samotne sifrovanie uz prebieha rychlo.

Ja som od tial len vykopol hladanie paru klucov a nahradil ho nahodnym sifrovacim klucom...

Tymto koncim... Hadat sa nemienim... Netvrdim, ze som nejaky genius v oblasti kryptografie, ale aspon nake zaklady (kolko si len clovek zapamata, ked z niecim nerobi pol roka) mam.

[Michal Kubeček]

Váš popis se sice vzdáleně podobá RSA, ale RSA to ani zdaleka není. Zkuste si např. uvědomit, že kdyby to opravdu vypadalo tak, jak výše popisujete, pak jakmile by to prvočíslo bylo větší než 31 (a to bych u "velkého prvočísla" celkem očekával), z každé sudé IP adresy by vám vyšla nula.

[janik]

Safra... ospravedlnujem sa... predsa len som zabudol na nieco... Ze sa to robi v modulo p*q... Pardon beriem s5
Hovorim, ze som s tym uz pol roka nist nerobil :D

[janik]

Z toho samozrejme vypliva, ze na dany problem sa RSA neda vyuzit, nakolko nedokazem dostat 1:1 (p a q su prvocisla).

[Michal Kubeček]

Přímo ne, ale možná by šlo využít podobného principu ke konstrukci algoritmu potřebných vlastností. Problém ale vidím spíš v tom, že budeme-li pracovat s takto krátkými hodnotami (32 bitů), bude to víceméně bez ohledu na algoritmus pořád náchylné k útoku hrubou silou.

[Filip Jirsák]

Symetrická šifra vypadá o poznání lépe, ale má tu nevýhodu, že ten, kdo má přístup k serveru, bude schopen provádět inverzní převod. Z toho bych si ale nedělal těžkou hlavu, kdo má přístup k serveru, bude schopen si dohledat skutečné adresy jinak (navíc bych osobně neviděl naprosto nic špatného ani na zveřejňování skutečných IP adres komentujících).

IP adresa je už nyní uložena v databázi u každého komentáře, takže před administrátory je zbytečné hash chránit.

Nevidím ovšem smysl ve znovuvynalézání kola, spíš bych se poohlédl po nějaké známé a prověřené 32-bitové šifře, než bych trávil týden vymýšlením něčeho, co průměrně schopný kryptolog prolomí za půl hodiny. Zkusím se podívat, zda něco takového existuje.

Znovuvynalézat kolo jsem nechtěl, jenom jsem měl utkvělou představu, že hledám hashovací funkci, a vůbec mne nenapadlo, že vlastně hledám šifru. Přesně tohle jsem potřeboval – někoho, komu když popíšu příznaky, řekne mi, co vlastně řeším za problém

[Ritchie]

Kam mé chabé znalosti sahají, tak šifry jsou obecně citlivé na to, že pokud má útočník k dispozici několik zašifrovaných a odpovídajících otevřených textů, tak je pro něj relativně snadné určit heslo. V případě šifrování IP by si těchto dvojic mohl sám obstarat dostatečné množství.

[Leoš Literák]

Ciste teoreticky, jak bezpecny by byl tento navrh:

1) do zdrojaku ulozime 5 tajnych cisel pro kazdou ze ctyr casti IP adresy.

2) hash se spocte jako soucet soucinu kazde casti IP adresy s jednim z tajnych cisel (0-255 rozdelime na 5 casti a kazda bude reprezentovana jednim tajnym cislem)

3) vysledny soucet podelime modulo nejake velke cislo (treba take tajne), abychom dostali vysledek o rozumne delce.

Maly priklad, kdy budeme mit jen dve tajna cisla pro kazdou cast IP adresy:

{1,2},{3,4},{5,6},{7,8} - tajna cisla, tajny delitel = 77

IP adresa 1.200.3.204 : 1*1+4*200+5*5+8*204=2458%77=71

Aby si clovek zjistil tajna cisla, musel by mit k dispozici docela velky rozsah IP adres

[Miloslav Ponkrác]

On je taky jiný problém, já třeba se vyskytuji z hlediska internetu asi na deseti různých IP adresách, ze kterých přispívám. U sebe doma jsem jednoznačný, ale třeba u kamaráda bude dva naprosto různí lidé mít stejnou IP adresu, aniž bychom si nějak koordinovali příspěvky.

Já osobně bych neviděl nic špatného na zveřejňování IP, případně čístí IP, nebo doménových názvů, ze kterých člověk přistupuje. Na mnoha místech si s tím hlavu nelámou.

[Filip Jirsák]

On je taky jiný problém, já třeba se vyskytuji z hlediska internetu asi na deseti různých IP adresách, ze kterých přispívám. U sebe doma jsem jednoznačný, ale třeba u kamaráda bude dva naprosto různí lidé mít stejnou IP adresu, aniž bychom si nějak koordinovali příspěvky.

S tím se počítá, ten systém samozřejmě není dokonalý. Ale dokud se nebude vyžadovat otisk prstu, sken oční sítnice nebo DNA, vždy bude existovat buď riziko, že se dvě různé identity omylem ztotožní za jednu, nebo naopak jeden člověk se bude moci vydávat za více různých identit.

Navíc pokud vy ani váš kamarád nebudete trollovat, nebude shodný hash asi nikdo řešit. Tady jde spíš o takové případy, kdy se někdo v diskuzi chová podivně jako registrovaný, a pod druhou anonymní identitou se v tom podporuje, nebo si nahrává.

Já osobně bych neviděl nic špatného na zveřejňování IP, případně čístí IP, nebo doménových názvů, ze kterých člověk přistupuje. Na mnoha místech si s tím hlavu nelámou.

Zveřejňování IP by bylo riskantní. Představte si, že se nějaký začátečník zeptá, že má podezření na nějakou bezpečnostní díru, má staré jádro a potřebuje ho zaktualizovat, nebo něco podobného. A vedle bude jeho IP adresa. AbcLinuxu už dnes není relativně uzavřená komunita, která si může navzájem plně důvěřovat – je potřeba už počítat i s náhodnými kolemjdoucími nebo občasnými čtenáři, kteří by takovou věc klidně zneužili.

Doménové názvy už vůbec ne, spousta IP adres nemá reverzní záznam, navíc by se pro každý komentář musel dělat dotaz do DNS cache.

[fakenickname]

Hehe.. Co třeba vynalézt DNS? Neregistrovaní uživatelé by u příspěvků měli klasicky IP a registrovaní by se mohli maskovat za text. Každý příspěvek by prostě zobrazoval IPnu právě tehdy když nebude v DB abc žádný záznam k této IP. Ty by mohli zapisovat admini na požádání třeba. Jako třeba xxx.xxx.xxx.xxx => dum8d0g doma, yyy.yyy.yyy.yyy => dum8d0g nekde jinde, zzz.zzz.zzz.zzz => hackeri z cvutu .. nj ja vim, blbost, ale nedalo mi to :)

[Jiří Veselský]

První otázka zní, nakolik je IP adresa tajný údaj, aby s ní bylo nutné dělat jakékoliv obstrukce - mně osobně je třeba úplně jedno, jestli by se v diskusi moje IP adresa objevovala nebo ne. Budeme ale předpokládat, že adresu potřebujeme utajit, jinak samozřejmě nemá další diskuse smysl.

Další zjevný fakt je, že pokud by se hashovalo nějakým "výpočtním alogirtmem", něco v použitém algoritmu bude muset být tajné - buď algoritmus sám, nebo alespoň nějaký jeho klíč. Prostor IP adres je dostatečně malý na to, aby člověk se zcela normálními prostředky dokázal vypočítat celý prostor hashů a tak z hashe dokázal identifikovat jakoukoliv IP adresu.

Z možných algoritmů mě napadá:

• XOR s tajnou hodnotou - samozřejmě nepoužitelné, protože se znalostí své IP adresy a svého hashe určím klíč
• Tajná permutace bitů IP adresy - asi použitelné, protože permutací, jimiž ze své IP adresy dostanu výsledný hash, bude docela mnoho, takže nebudu umět určit tu správnou. (Ale nedokážu odhadnout např. "jak mnoho" a nakolik třeba fakt, že přistupuju z více mi známých IP adres, nebude stačit k jednoznačné identifikaci "té správné" permutace.)
• Něco jako původní unixový algoritmus uložení hesla, tj. vezmu (v tomto případě tajnou) počáteční hodnotu a tu N-krát po sobě zašifruju DESem (nebo něčím) přičemž IP adresa slouží jako klíč. To jde sice taky rozbít (Pro všechny možné počáteční hodnoty provedu výpočet se svou IP adresou, než vypočítám svůj hash - a mám původní "tajnou" hodnotu. Pak můžu provést výpočet pro prostor IP adres a mám prostor hashů.), nicméně pokud počáteční hodnota nebude 32bitová, ale řekněme 64bitová, už by to asi bylo "příliš mnoho práce".
• Bezpochyby je spousta dalších metod.

Řekl bych, že utajení klíče při použití známého (ať už jakéhokoliv) algoritmu stačit nebude. Útočník má totiž vždy k dispozici "plaintext" (IP adresu), "ciphertext" (hash), bez větší práce navíc vícekrát (pro více IP adres) a konečně 32 bitů je natolik malý prostor, že není problém provést nějaký cílený brute-force útok. V takové situaci asi nenaleznete žádný algoritmus, který by odolal.

Z toho důvodu vidím jako jediný vhodný způsob ten "nevýpočetní", který navrhl kolega Kubeček. Administrátoři serveru jistě dokáží z logu zjisit, řádově kolik unikátních IP adres tento server navštěvuje. A i když jich nebude 3000, ale 300000 nebo 3000000, pořád to není mnoho. A není samozřejmě nutné vymýšlet žádnou složitou paměťovou strukturu, ty stovky tisíc nebo miliony řádků si bez potíží zapamatuje databáze v jedné tupé a nevelké tabulce. Místo IP adresy pak vypisujte primární klíč záznamu a hotovo.

[Filip Jirsák]

Z toho důvodu vidím jako jediný vhodný způsob ten "nevýpočetní", který navrhl kolega Kubeček. Administrátoři serveru jistě dokáží z logu zjisit, řádově kolik unikátních IP adres tento server navštěvuje. A i když jich nebude 3000, ale 300000 nebo 3000000, pořád to není mnoho. A není samozřejmě nutné vymýšlet žádnou složitou paměťovou strukturu, ty stovky tisíc nebo miliony řádků si bez potíží zapamatuje databáze v jedné tupé a nevelké tabulce. Místo IP adresy pak vypisujte primární klíč záznamu a hotovo.

Souhlasím, navíc se tím „zadarmo“ vyřeší i možnost získat všechny komentáře z jedné IP adresy (alespoň pro správce z SQL konzole).

[r]

jakozto zastupce anonymu (byt ja jsem slusnej :) ), si myslim tohle:

• je to zbytecna prace, pokud budu chtit psat pod vic identitama, tak proxy ci par serveru co mam to resi, ip tam je dost a prace psat z jine ip je minimalni
• kdyz uz neco - tak neco co je nenarocne a i presto efektivni: tabulka s ip a zverejnovat jen id zaznamu - tj. napad obcana kubecka :)

[BlackBandit]

Pomineme-li možnost, že se zde zobrazí přímo IP adresa, což se dějě na každém druhém serveru (nebo její část) pak je zcela nejjednodušší každé IP adrese přiřadit náhodně prostě nějaký identifikátor. Nejsem sice vzdělán v IT, ale co tak vygenerovat nějakou posloupnost identifikátorů, říct - začínáme tehdy a tehdy, a přiřazovat je IP adresám identifikátor tak jak se budou jednoliví uživatelé přihlašovat nebo přispívat (v případě anonymů) do diskuze.

Nejjednodušší příklad: - identifikátor by byla písmena abecedy (je jich jen 27) pak první přihlášený od času t0 by dostal A druhý přihlášený by dostal B třetí by dostal C atd... Zas tak moc lidí tady nechodí, takže databáze by to moc velká nebyla... Zpětně je to podle mě nedohledatelné a jediná šance je nabourat databázi.... Ale jsem ne-IT člověk, takže třeba tomu nerozumím a je to úplná blbost... tak mi nenadávejte

[phero]

Krome IP adresy by to chtelo zpracovavat jeste minimalne vsechny hlavicky. Ktomu udaje o schyzofrenicich ukazovat jen registrovanym, pred zavedenim tohoto pravidla, tak by to mohlo i blbecky odfiltrovat. Je mozne, ze nekde bude opensource kod (a treba i v jave) resici podobny problem.

[rastos]

> distribuce používaných IP adres v prostoru všech IP adres je víceméně náhodná (pokud teď kecám, v diskuzi mne prosím opravte)

Teda ... nechcem hovoriť do toho čomu moc nerozumiem, ale predpokladám, že 95% prispievateľov je z .cz. Koľko IP blokov je asi tak alokovaných pre .cz? Myslím, že počet možných adries sa tak výrazne okreše a rozhodne nebude 2^32.

Naopak, predpokladajme, že na Abíčko chodí tak, buďme optimisti, 5-6 tisíc ľudí. To je množina hodnôt (mínus tí čo sú za tým istým proxy/NAT/...), z ktorého ideš robiť hash. Myslím, že z hľadiska kryptografie, to môžeme považovať, za stratený prípad. To môžeš jednoducho každej IP, ktorá sa vyskytne proste v ten moment vygenerovať nejaké náhodné číslo od 1 do 10000 (a keď sa trafíš do existujúceho, tak skúsiť znova).

[Michal Kubeček]

…ale predpokladám, že 95% prispievateľov je z .cz. Koľko IP blokov je asi tak alokovaných pre .cz?

Říkejme raději "z ČR" (a SR). A priori není žádná rozumná vazba mezi doménovým jménem a tím, jestli se počítač nachází v ČR nebo ne. U IP rozsahů to samozřejmě také není stoprocentní, ale pořád se to tomu blíží podstatně více.

[rastos]

Iste. Išlo mi len o to znázorniť, že množstvo unikátnych adries, ktoré nás zaujímajú je relatívne malé.

[Käyttäjä 11133]

Celý prostor 32 bitů je relativně malý

[disorder]

kolko veci nie je relativne malych? vesmir?

[Käyttäjä 11133]

I vesmír je malý v porovnání s abstarktníma věcma

[Michal Kubeček]

Tady je ovšem problém v tom, že prostor 2^32 IP adres je nepříliš velký i z pohledu výpočetních možností běžného domácího počítače. Pro představu: projít pomocí John-the-Ripper 2^32 klasických DES hashů na dnešním běžném PC (i když se zapojí jen jedno jádro) by trvalo něco přes hodinu…

[disorder]

sorry, ale navrhoval som tu niekde DES hash (alebo nejaky iny)?

ja som vobec nekomentoval problem, ale relativitu -- iste existuju riesenia, ktore sa cez bruteforce nebudu dat napadnut ani do doby zavedenia IPv6, ani este neskor...

[Leoš Literák]

Chtel jsi napsat: budme optimisti, behem jednoho dopoledne na abicko prijde radove sest tisic lidi Statistiky najdes na netmonitoru.

[Michal Kubeček]

Tady jde spíš o to, kolik z nich napíše aspoň jeden komentář.

[rastos]

> behem jednoho dopoledne na abicko prijde radove sest tisic lidi

No hej. Ale to len preto, že ja sám sem idem za deň 20 krát

Nie; robím si srandu. Držím abíčku palce.

[Filip Jirsák]

Takže podle vzoru "kolik jazyků umíš, tolikrát jsi člověkem" platí "kolikrát denně navštívíš Abíčko, tolikrát jsi člověkem"?

[happy barney]

... z koľkých IP denne navštíviš Abíčko ...

priznávam sa k XXX (dobrý námet na anketu)

[Tom K]

Ahoj
Kdyz pominu moznost ipv6, kde adresa ma trosku vic nez 32 bitu (doufam, ze abclinuxu neplanuje bezet jen na ipv4 i v pripade silnejsiho rozsireni ipv6), tak ciste matematicky pozadavek na jednoduchou hash funkci s pozadovanyma vlastnostma je blbost. Klicove slovo toho, co vas zajima je HMAC. To, zda se z nej vezme jen prvnich N bitu uz je nepodstatne. Docela dobre by poslouzila i zminovana MD5 ve variaci MD5(ip + pevny_retezec), kde pevny_retezec bude dost dlouhy, aby nesel testovat hrubou silou (128b bohate staci). V pripade, obav z koliznosti md5 (v tomhle pripade nepodstatnych) se da pouzit dalsi, treba: sha1, sha256 a pro paranoiky sha512.

[bazil]

sakra a já už se těšil, že jako registrovanej si budu moct specifikovat IP z kterých píšu a přiřadit k nim nějakej string (resp IP bude vědět server a nabídne mi je) (tenhle návrh od R se mi líbil nejvíc)

[Filip Jirsák]

Rozlišování registrovaný_1, registrovaný_2, anonym jako něco různého jde proti základnímu smyslu celého snažení, totiž ztížit vystupování jedné osoby pod více identitama.

[David Jaša]

A co takhle vypsat IP slovy a z nich udělat hash nějakou běžnou funkcí? Něco na způsob:

echo "stodevadesátdva.stošedesátosm.jedna.jedna" |md5sum

[Käyttäjä 11133]

a co to přinese?

[Michal Kubeček]

Složitější implementaci. :-)

[Käyttäjä 11133]

No to je jeden sed

[elviin]

Proc jen nepridat par cisel(Salt) k ip(X): XXX.XXX.XXX.XXX.SSS.SSS.SSS.SSS a spocitat md5 nebo mda5+sha1 a konec???

[Michal Kubeček]

Tak si tak říkám, jestli někteří komentující (a to se netýká jen vás) ten blogpost vůbec četli celý…

PS: Proč jednoduše nepoužiju nějakou známou ověřenou hashovací funkci, jako MD5 nebo SHA-256? … Jednak všechny hashovací funkce, se kterými se znám, mají hash minimálně 128 bitů, což je 32 hexačíslic – to je trochu moc na to, aby to někdo u komentářů ručně porovnával. Navíc z 32 bitů stejně nedostanu ví jak 2^32 kombinací, takže delší hash je zbytečný – pouze přidává balast do výstupu.

[elviin]

Ja jsem hledal slova sha1 a md5, ale z nejakeho duvodu nenasel. To se omlouvam. Ale to nebyl zakladni smysl meho prispevku. Ten je v tom, ze pridam k IP neco navic a to zahashuju.

[Käyttäjä 11133]

no pokud ta sůl bude jako IP adresa tak jak dlouho mi bude trvat než ten stavový prostor prohledám? Jeden den?

[elviin]

To je pravda v konkretnim pripade, jak jsem to napsal. Ale to se muze urcite nejak vic zkomplikovat: sul na ruznych mistech, xor, modulo, posun, zvetseni radu jednotlivych bytu.

[disorder]

abclinuxu je open source

[Filip Jirsák]

Jenže v tom celém je pořád jenom 32 bitů vstupu, které jsou opravdu náhodné. A můžu si vygenerovat desítky hashů pro známé IP adresy (přístup z různých sítí, proxy servery atd.) Obávám se, že redukuje prostor, který by bylo nutné prohledat brute force útokem, na něco, co jde prohledat na běžném pécéčku. Otázka samozřejmě je, jestli by to někomu stálo za to. Ale rozuzlení je jednoduché – pokud se stejnou nebo jen o málo větší námahou dokážu udělat takové řešení, které bude i proti tomu nepravděpodobnému útoku odolné, proč jej nepoužít?

[Pavel 'lingeek' Szalbot]

Velmi směšné, kam až může dospět paranoia a pomyslná ochrana osobních údajů, takže abych vás trochu šokoval - Pavel Szalbot, Lidická 710, Třinec, 81.200.48.101, adresa na koleji dle lingeek.kolej.mff.cuni.cz. Údaje si můžete ověřit třeba v registru živnostníků, kde najdete i spoustu dalších lidí, kteří se zde "nebojí" zveřejnit svoje jméno. Upřímně - koho to zaujalo?

[Käyttäjä 11133]

Já už svou IP několikrát psal, DNS záznam taky... Opakovat se nebudu, obzvláště když jich budu mít od příštího měsíce víc a nevím, jestli dostanu ze stejného rozsahu

[Filip Jirsák]

Nejde o vás. Představte si, že přijde nějaký naprostý začátečník, a položí v poradně dotaz: „Mám tady na desktopu XY Linux 2001, od instalace jsem ho nezaktualizoval, ale teď co mám ADSL s veřejnou IP adresou, chová se nějak divně, bojím se, jestli se mi do počítače někdo nenaboural.“ A vedle toho se bude skvět jeho IP adresa. To je jedině na odpověď, že jestli se mu někdo do počítače nenaboural doteď, tak teď už to má jisté.

[Miloslav Ponkrác]

Jakoby dnes po internetu neběhaly scanovací programy na celé rozsahy IP adres, které testují skuliny. Historie mého firewallu může vyprávět.

[Michal Kubeček]

Lze se na to ale dívat i tak, že cokoli, co odradí uživatele od toho, aby lezli na Internet z takto zoufale nebezpečných systémů, je přínosem. Protože to, že se jejich adresa nebude zobrazovat na webu, jejich bezpečí nezvýší, pouze si budou naivně myslet, že bez toho se jim do počítače nikdo bourat nebude.

[Filip Jirsák]

Jenže tohle ty uživatele neodradí od toho, aby lezli na internet, ale pouze od toho, aby lezly na Abclinuxu. A radši si nainstalují Windows a půjdou se zeptat na Živě, protože ti linuxáci hned zveřejní jejich IP adresu a určitě je hacknou.

Navíc při zveřejňování plných IP adres by se zajisté objevil nějaký chytrák, který by v plamenné diskuzi neváhal použít argument „podle IP adresy vidím, že seš gymplák, co ty o tom můžeš vědět“, „když už si žiješ v Německu, tak nám tady nekecej do našich problémů“ a podobně.

A pak je tu ještě jeden pohled na věc. Spoustě z nás se určitě nelíbí různé snahy státu zjišťovat nebo sledovat čím dál víc údajů, někomu se nelíbí, že takové údaje může sledovat Google, Microsoft… A připadá mi zvláštní rozdělovat svět na ty zlé (stát, Microsoft), u kterých nám to vadí, a na ty hodné (abclinuxu.cz), kterým to dovolíme. Vzhledem k tomu, že Abíčko zveřejňovat plné IP k ničemu nepotřebuje, nevidím důvod, proč by to mělo dělat. Pokud někdo chce svou IP adresu zveřejnit, klidně si jí může napsat do patičky.

To jsem zvědav, kolik patiček s IP adresou tady zítra bude

[Käyttäjä 11133]

Spoustě z nás se určitě nelíbí různé snahy státu zjišťovat nebo sledovat čím dál víc údajů, někomu se nelíbí, že takové údaje může sledovat Google, Microsoft… A připadá mi zvláštní rozdělovat svět na ty zlé (stát, Microsoft), u kterých nám to vadí, a na ty hodné (abclinuxu.cz), kterým to dovolíme. Vzhledem k tomu, že Abíčko zveřejňovat plné IP k ničemu nepotřebuje, nevidím důvod, proč by to mělo dělat.

Tak potom je ale nezobrazování IP adres jen kamufláž, protože se ve skutečnosti ty IP adresy ukládají a tak je ABCLinuxu (respektive jeho provozovatel) ve skutečnosti může sledovat. Lidé, kteří se něčeho takového obávají už dávno používají tor, nebo anonymní proxy servery.

[Filip Jirsák]

Ale je rozdíl v tom, zda může IP adresy sledovat provozovatel webového serveru, nebo každý. U provozovatele webového serveru s tím počítám, protože jinak to ani nejde.

[Miloslav Ponkrác]

Přesně tak, v okamžiku, kdy by si stát, nebo soud vyžádal údaje a IP adresy diskutujících by je abclinuxu.cz bylo povinno vydat. Pokud se IP adresy ukládají, tak je pocit bezpečí jen zdánlivý.

[Käyttäjä 11133]

A je ábíčko nuceno ty adresy zaznamenávat? Co takhle směrovat logy do /dev/null?

[Leoš Literák]

Dovolim si malou provokaci: internetu by prospelo, kdyby kazdy uzivatel mel jednoznacny identifikator. Nejen ze by se zjednodusily webove sluzby (dvojice login/heslo by byla zbytecna), ale hlavne by lidem zmizel falesny pocit anonymity (a treba by nekteri hulvati zacali sekat dobrotu, kdyz by byli snadno identifikovatelni).

[Michal Kubeček]

A ještě jeden argument mne napadl: stačí do diskuse vložit odkaz na nějaký externí soubor na serveru, kde mám přístup k logům, a získám adres, co hrdlo ráčí. A to aniž by si to ti uživatelé uvědomili. Sice nebudu mít přesné přiřazení adres k uživatelům, ale i tak to stojí za zamyšlení.

[Luk]

Vzhledem k tomu, že mi v blogu už delší dobu "trůní" různé bannery (nyní už delší dobu tento), takže už se mi v logu nashromáždilo slušné množství IP adres. Také samozřejmě vím, kdo na banner klikl (byť to hned přesměrovávám jinam).

[Miloslav Ponkrác]

Ano, dokonce když jsem si nechal udělat kdysi živnosťák a dostal tím do příslušného registru, tak jsem velmi rychle dostal jako dárek zásilku od Reader Digest. Budete se divit, ale já šťastlivec jsem vyhrál 3 milióny, stačilo jen objednat nějakou drobnost.

Takže osobně bych se taky IP adresy nebál, včetně dalších osobních údajů a celá tahle šaškárna mi přijde jako velmi pěkná akademickáý debata a nic více.

Kdo chce, ten si mě v registrech najde a moje IP adresa je 194.213.44.46.

[Leoš Literák]

Nepovazuji to za tak dulezitou funkci, abychom kvuli tomu menili schemata nebo dokonce zdrzovali vyhledavanim v nejakych tabulkach. Vykon je na prvni miste, cim mene dotazu, tim lepe. Jakykoliv patch, ktery by znamenal pridani dalsiho SQL dotazu pri zobrazovani diskuse, bych zamitl. Takze pripadni implementatori, mejte to na pameti.

A co na to jit jinak? Zobrazit jenom prvni a posledni cast IP adresy? Sice to nezarucuje unikatnost, ale kolizi moc nebude. Tedy napriklad 192.XXX.YYY.23. Zustava dost slusna sance, ze IP adresa nebude kompromitovana (pripadny cracker by musel znat topologii site) a presto to uz ukaze dost informaci pro odhalovani podvodniku. A kdyz by si uzivatel nebyl jist, muze poslat URL na dva komentare adminum a ti porovnaji realne IP adresy a potvrdi ci vyvrati teorii.

[Miloslav Ponkrác]

Mě se stejně nejvíc líbí řešení builderu.cz - neprozrazuje IP a přitom naprosto jasně dá informaci o vícenásobných identitách bez vrtání se v číslech. Jak už jsem psal na builderu.cz se prostě do závorky vypíší všechny další přezdívky pod stejnou IP adresou:

Pavel Novák (stejná IP jako pirat, agent)

Je to nejlepší a nejlidštější řešení tohoto problému, které jsem viděl.

[Filip Jirsák]

Jenže to právě znamená jeden další SQL dotaz pro každý komentář na stránce. A to join přes tři tabulky navíc s GROUP BY. To bych nepovažoval za dobrý nápad i bez Leošovi restrikce pro přidávání dotazů.

[Miloslav Ponkrác]

Já si dokážu představit řešení i bez jakéhokoli dalšího dotazu do databáze.

[Filip Jirsák]

To já taky, ale nelíbí se mi. U každého komentáře by byl BLOB (aby se tam vešla třeba celá ČVUT), a při každém vložení komentáře se nejprve udělá SELECT pře ty tři tabulky, sestaví se z toho příslušný text, a následně se pro všechny komentáře se stejnou IP adresou udělá UPDATE toho BLOBU. Případně se ten BLOB vyčlení do samostatné tabulky, která se bude JOINovat podle IP adresy, což je už ale na roveň dalšímu dotazu.

Nebo myslíte ještě nějaké jiné řešení?

Taky si moc nedovedu představit, že někdo používá nějakou přezdívku, ale nepřihlašuje se, jednou se při psaní přezdívky uklepne, a od té doby se mu ten překlep už navždy bude u jeho příspěvků ukazovat. Nebo nějaká firma, škola nebo komunitní síť, ze které se hlásí víc lidí, a ti budou mít u svých komentářů pravidelně dlouhý seznam svých kolegů.

[Miloslav Ponkrác]

Na builder.cz to funguje jen v rámci jednoho tématu - tedy v tomto případě by to bylo třeba teď v rámci jedné diskuse v blogu. Takže případný překlep se projeví na jednom místě v jedné diskusi. Možná právě to rozdílné chápání tohoto detailu působí, že si nerozumíme - a myslíme každý trochu jinak.

Jinak nevím přesně, jaká je databázová struktura abclinuxu.cz a ani po tom nechci pátrat. Ale představuji si tam nějak, že každý komentář je jeden řádek v nějaké tabulce, kde kromě jiného je i přezdívka (případně cizí klíč na nějakou tabulku registrovaných uživatelů) a ve stejném řádku je i sloupec s IP adresou. Alespoň tak by to mohlo logicky vypadat. Tudíž všechny údaje ke zkonstruování seznamu identických přezdívek v jednom blogu jsou v jedné tabulce.

Pak je jen otázka zpracování, zda je potřeba dotaz navíc, nebo vystačím pouze s těmi, které tam už logicky musejí projít.

[Filip Jirsák]

Na builder.cz to funguje jen v rámci jednoho tématu - tedy v tomto případě by to bylo třeba teď v rámci jedné diskuse v blogu. Takže případný překlep se projeví na jednom místě v jedné diskusi. Možná právě to rozdílné chápání tohoto detailu působí, že si nerozumíme - a myslíme každý trochu jinak.

Ano, v tom je nedorozumění. Já bych ale rád, pokud už by se něco takového implementovalo, aby ta identifikace fungovala napříč diskuzemi, abych např. mohl zjistit, zda anonym pod jedním článkem nepřistupuje náhodou z té samé IP adresy, jako „jiný“ anonym pod týden starým jiným článkem.

Jinak nevím přesně, jaká je databázová struktura abclinuxu.cz a ani po tom nechci pátrat. Ale představuji si tam nějak, že každý komentář je jeden řádek v nějaké tabulce, kde kromě jiného je i přezdívka (případně cizí klíč na nějakou tabulku registrovaných uživatelů) a ve stejném řádku je i sloupec s IP adresou. Alespoň tak by to mohlo logicky vypadat. Tudíž všechny údaje ke zkonstruování seznamu identických přezdívek v jednom blogu jsou v jedné tabulce.

Každý komentář je záznam v tabulce, je tam cizí klíč do tabulky uživatelů v případě, že je autor registrovaný. Pokud není registrovaný, je jméno uživatele přímo v XML (1 sloupeček v DB). V XML je pak i vlastní text komentáře a IP adresa (plus případně administrátorské zásahy, jako cenzura komentáře). V případě použití hashů se schéma rozšíří o jeden sloupeček s hashem.

Pokud nebudu mít všechny „kolegy ze stejné IP adresy“ v jednom sloupci tabulky (který by musel mít nějaký vnitřní formát, který by se zase musel parsovat), musí se buď provést extra dotaz pro každý komentář (protože pro jeden komentář mám N kolegů), nebo by se musel udělat OUTER JOIN, čímž by se zbytečně posílala opakovaně ta samá data, navíc by si to pak ještě aplikace uměla přebrat. PostgreSQL by to asi dokázala nacpat do nějakého pole a vrátit všechny kolegy v jedné položce v záznamu s komentářem, ale tohle podle mne MySQL neumí.

[Leoš Literák]

Mozna nejprijemnejsi, ale neefektivne implementovatelne (cross diskuse) a hlavne zavadejici. Kdejaky lamer by pak usoudil, ze Novak je pirat a agent. Dynamicke IP adresy by mu nic nerikaly. Kdezto kdyz zobrazime jen nejake cislo, uzivatel by musel sam hledat podobna cisla a da se predpokladat vyssi inteligence, ze vi, co dela. Kdezto zobrazeni seznamu uzivatelu se stejnou IP adresou (a vyvodit nespravny zaver) precte kazdy pologramot.

[Michal Kubeček]

Zamaskovat prostředních 16 bitů povede jen k tomu, že to bude vypadat, že se něco ukazuje, ale naprosto k ničemu to nebude. Jakýs takýs smysl by mělo ukazovat horních 24 bitů adresy, ale osobně bych navrhoval buď zobrazovat adresu celou (případně nějaký hash) nebo vůbec nic.

[Jiří Veselský]

Pokud jsem to správně pochopil, u každého příspěvku máte dneska v tabulce zaznamenánu IP adresu. Stejně dobře tam můžete mít zaznamenaný "hash" této adresy.

Jednorázově můžete (někdy v noci) vytvořit tabulku hash+ip_adresa a naplnit ji (něčím jako "select unique ip from prispevky"). Následně u všech příspěvků udělat "update prispevky join hashe using (ip) set prispevky.hash=hashe.hash" a tak ke všem příspěvkům přidat příslušný "hash" (de facto primary key) IP adresy. A následně zahodit položku ip_adresa v tabulce příspěvků.

S tabulkou mapování IP adresa na klíče by se pracovalo jen při přidávání příspěvku, nikoliv při jeho zobrazování. Čili při zobrazování diskuse vám nepřibývá navíc vůbec nic, režie narůstá jen při přidávání příspěvku, a to rozhodně není "až tak kritická operace".

[jnc]

brr!
emerge net-misc/tor

[David Heidelberg]

+1 + TorK

[Käyttäjä 11133]

Malá rada tork.sourceforge.net je to hezčí má to hezké grafy. Jen by to chtělo aby lidi více dělali servery... Většina těch warezákl se připojí jako klienti a nenaroutujou ani bajt :-/ Možná by pomohlo změnit výchozí konfigurák

[anonymous coward]

Dobrý večer. Chtěl bych Vás poprosit, aby se tento systém vztahoval pouze na komentáře, které byly vloženy až po jeho zavedení. Vynechejte starší komentáře.

Zároveň bych chtěj vyjádřit pochybnosti nad smysluplností tohoto opatření:

1) Neřeší problém. Provokatérkých příspěvků se nezbavíte, systém bude např. obcházen přes anonymní proxy. Zmizí jen symptomy.

2) Dochází ke ztrátě anonymity. Není již možné být anonymní vůči ostatním uživatelům. Pokud uživatel A o sobě něco prozradí ("jsem teď v práci, pracuju v microsoftu čr") a jiný uživatel B je s ním ve stejné síti se stejnou veřejnou ip, odhaluje se informace i o uživateli B (toto odhalení funguje i do minulosti, proto můj požadavek). Pokud by navíc chtěl někdo sledovat jiné osoby (ale nezná jejich login), postačí když z jejich počítače odešle komentář.

[Filip Jirsák]

Dobrý večer. Chtěl bych Vás poprosit, aby se tento systém vztahoval pouze na komentáře, které byly vloženy až po jeho zavedení. Vynechejte starší komentáře.

O aplikaci na starší komentáře myslím nikdo neuvažoval (rozhodně by retroaktivní zveřejnění nebylo fér).

1) Neřeší problém. Provokatérkých příspěvků se nezbavíte, systém bude např. obcházen přes anonymní proxy. Zmizí jen symptomy.

2) Dochází ke ztrátě anonymity. Není již možné být anonymní vůči ostatním uživatelům. Pokud uživatel A o sobě něco prozradí ("jsem teď v práci, pracuju v microsoftu čr") a jiný uživatel B je s ním ve stejné síti se stejnou veřejnou ip, odhaluje se informace i o uživateli B (toto odhalení funguje i do minulosti, proto můj požadavek). Pokud by navíc chtěl někdo sledovat jiné osoby (ale nezná jejich login), postačí když z jejich počítače odešle komentář.

Zeslabení pocitu anonymity je myslím právě účelem toho zveřejňování. Dneska je hrozně snadné získat pocit, že jsem anonymní – stačí se odhlásit (pokud používám profil) a do políčka vyplnit jiné jméno. Účelem opatření by mělo být, že takový člověk bude muset pro svou anonymitu udělat něco víc – najít vhodný proxy server, nastavit si jej v prohlížeči – a třeba mu během toho dojde, že mu to nestojí za to, a že radši komentář napíše slušně, nebo vůbec.

Ale to že můžu nechtěně vyzradit informaci o někom jiném, je dobrá připomínka. Asi by to chtělo udělat anketu, a raději na titulní straně, v blogu by si jí všiml málokdo.

[Leoš Literák]

Ale jiste ze ano, nehodlam delat nejak obezlicky typu, jak stary je tento komentar.

[Filip Jirsák]

Vždy jsem to bral tak, že hash by se počítal pouze při vložení nového komentáře, tj. u starých komentářů by prostě nebyl. A vypsal by se pouze v případě, že u komentáře je.

[anonymous coward]

Takovou reakci na prosbu bych od Vás ani ve snu nečekal.

[Leoš Literák]

Mrkni se do macros.ftl na makro zobrazujici komentar a pochopis, proc jsem proti jakymkoliv dalsim podminkam. Kod uz je ted strasne dlouhy a neprehledny, nehodlam jej komplikovat dalsimi podminkami, nebude-li to nezbytne nutne.

[buff]

Překvapuje mě, že stavíš technické požadavky (výpočetní rychlost, přehlednost kódu) nad požadavky lidské. Mně by přišlo retroaktivní zavedení zveřejnění IP adres také nefér.

[Michal Kubeček]

V okamžiku, kdy ty "lidské požadavky" povedou k výraznému zpomalení zobrazování stránek, stanou se i technické požadavky "lidskými". Chápu, že když třeba iDnes ze dne na den začal bez varování u příspěvků zobrazovat e-mailové adresy z registrace, bylo to svinstvo, ale u IP adresy (nebo dokonce jejího hashe) v tom nevidím nijak zásadní problém.

[anonymous coward]

Podle mě se to dá jen těžko udělat tak, aby se kvůli tomu zpomalovalo zobrazování stránek.

V podstatě vidím dvě možnosti:

* Součástí záznamu o komentáři je i položka "hash". Ta se vyplní nejspíše v okamžiku zadání komentáře. Tedy v tomto případě není co řešit - nanejvýše se může tato položka přidat i ke starým komentářům s nějakou hodnotou např. mimo obor hodnot "hashovací" funkce.

* "hash" se při každém zobrazení vždy znovu vyhledává podle ip adresy. Pochybuji, že by podmínka

if (showIPhash(comment)) then
   hash := lookupHash(ip)
else
   hash := invalidHash;

vedla k nějakému pozorovatelnému zpomalení. V šabloně se nic měnit nemusí.

[trekker.dk]

Pochybuju, že se najde někdo, kdo bude prolézat všechny diskuze a dohledávat to...

[Leoš Literák]

Me prekvapuje, proc resite tento abstraktni problem, kdyz uz jsem se nekolikrat vyjadril, ze do toho nejdu. Dokud to mel byt jednoduchy hash, tedy prace na par minut, byl jsem ochoten se tim zabyvat. Ale po precteni problemu s hash funkci a nutnosti slozitejsiho kodovani jsem proti.

PS. Proc pises o zverejnovani IP adres? Precti si titulek tohoto blogu. Nikdo tu zverejnovat IP adresu nechce. Holt lidske psyche je velka zahada, clovek cte to, co chce videt a je slepy vuci tomu, co nechce videt. Takze Buff cte "zverejneni hashe IP adresy" jako "zverejneni IP adresy"

[Michal Kubeček]

Nikdo tu zverejnovat IP adresu nechce.

"Chce" je asi trochu silný výraz, ale kdyby takový návrh padl, byl bych pro.

[happy barney]

jednoduchý (a ťažko prelomitelný) hash odznel hneď na začiatku diskusie

implementácia: tabuľka (id, ip), index na ip, id autoincrement, hash = select podľa ip alebo insert. IPv4 = int4, hash by teoreticky bolo možné rozdeliť na 4x8bit a zobrazovať formou IP.

toto je práca na 5 minút aj s prestávkou

[Michal Kubeček]

hash by teoreticky bolo možné rozdeliť na 4x8bit a zobrazovať formou IP.

To by nebylo dobré. Lidé většinou ze zásady nečtou dokumentaci, takže by si mysleli, že je to skutečná IP adresa.

[Filip Jirsák]

Pod hashem si člověk většinou představí nějaký výpočetní postup, ne hledání v tabulce. Pokud by se opravdu jednalo jen o výpočet, byla by implementace opravdu velmi jednoduchá. Protože v tomhle případě jde ale o hledání v databázi, znamená to hash nějak zapojit do současné perzistentní vrstvy, kterou Abíčko používá. Samozřejmě to jde naprogramovat i tak, že si prostě do příslušné třídy uložím natvrdo připojovací řetězec do databáze, vytvořím si tam spojení a udělám si vše na místě. Jenže by to bylo pěkně prasácké řešení, a pár takovýchhle zásahů, a už se ve zdrojáku Abíčka nikdo nevyzná (Leoš by stejně takhle zprasený patch nepřijal).

Navíc vůbec není jisté, zda o takovouhle funkci mají zájem jenom dva čtenáři, nebo to chce 90 % lidí. Navrhl jsem anketu, podle výsledku uvidím, zda případně patch dodělat. Jinak je spousta důležitějších věcí, co pro Abíčku napsat, funkce pro dva lidi opravdu počká.

[Michal Kubeček]

Dochází ke ztrátě anonymity. Není již možné být anonymní vůči ostatním uživatelům.

To bych označil za přínos, ne za chybu.

[diverman]

Dejme tomu, ze se v diskuzi objevi 2 prispevky z ryznych nicku, ale ze stejne IP adresy. O cem to vypovida? ze

a) jeden clovek poslal 2 prispevky pod ruznym nickem. no a?

b) za IP adresou je "schovana" sit o jednotkach, desitkach ci stovkach PC.

K cemu to tedy cele je?

[trekker.dk]

Ke zjištění, kolik uživatelů Linuxu bydlí někde za rohem?

[Filip Jirsák]

K cemu to tedy cele je?

Psychologický efekt pro komentující – nejste až tak anonymní, jak si myslíte. A psychologický efekt pro čtenáře – pokud se přezdívka X a přezdívka Y chovají v diskuzi podivně, mají nápadně podobný jazyk, pořád ještě s říkám, že může jít o náhodu a nechci jim křivdit. Když budou mít i nápadně stejný hash IP adresy, bude to na můj vkus už náhod moc. Člověk pro své rozhodování nepotřebuje jen tvrdá fakta, dokáže se rozhodovat i podle informací typu „mají stejnou IP adresu, možná je to jeden a tentýž člověk“.

[jas]

A čo tak jednoduchá náhodná generácia na základe milisekúnd. Proste niečo takéto:
int vrat_kod(){ struct timeval a; int vrat; gettimeofday(&a,NULL); srand(a.tv_usec); vrat = rand()*... // Teraz nejaké blbosti s danými časovými údajmi na prípadné zozložitenie a je to. return vrat; Nikto sa nemusí báť, že by sa dala zistiť spätne IP adresa, keďže sa s ňou nepracuje. Ak by sa náhodou podarilo získať rovnaký kód ako už v databázi je, celé by sa to proste zopakovalo.

[Filip Jirsák]

Potřebujeme, aby pro jednu IP adresu vyšel vždy stejný hash. Jediný skutečně náhodný parametr tedy musí být ta IP adresa, nebo je nutné si pamatovat už přiřazené hashe a v případě již známé IP adresy vrátit dříve přiřazený hash. Pak je ale zase kouzlení s časem zbytečné, nic to nepřidá.

[jas]

To je pravda, tiež ma to napadlo, neskôr. Veď by úplne stačilo, keby sa novej unikátnej adrese priradilo číslo, napr. 1 a postupne 2,3,4,5...
Nebolo by to najjednoduchšie riešenie? Aj paranoici by boli spokojný(keďže silno pochybujem, že napr. s čísla 1 by niekto určil IP adresu) a aj ľudia by boli rozlíšený.

[Filip Jirsák]

Na realizaci to nejjednodušší není, protože se musí číst a zapisovat do databáze. Nicméně je to z hlediska bezpečnosti nejlepší navržené řešení, shodou okolností navržené hned ve 3. komentáři v této diskuzi

[jas]

Tak sa ospravedlňujem, asi som to nechtiac prehliadol.

[Filip Jirsák]

Nic se nestalo, ta diskuze je už dost košatá. Ale je zajímavé, jak každý nápad postupně skončí odkazem na zmíněný komentář, a tím diskuze končí. Zatím to tady vypadá opravdu na nejlepší nápad – pokud by to tedy někdo chtěl někde jinde realizovat.

[happy barney]

zapisovať musí tak či onak (samotný príspevok). A výpočet hashu ponechať na trigger ...

[Filip Jirsák]

A výpočet hashu ponechať na trigger ...

To půjde v MySQL 4 těžko.

[happy barney]

oops, bol som v tom, že abc používa databázu ...

[Luk]

Já to Leošovi říkal, ať tam nasadí pětku (MySQL)