abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 22:44 | Nová verze

    Byla vydána nová stabilní verze 5.6 (aktuálně 5.6.2867.36) webového prohlížeče Vivaldi (Wikipedie). Postavena je na Chromiu 108. Přehled novinek v příspěvku na blogu. Na social.vivaldi.net byla nedávno spuštěna instance Mastodonu. V desktopové verzi Vivaldi je nově v postranní liště integrován Mastodon klient.

    Ladislav Hagara | Komentářů: 0
    včera 18:55 | IT novinky

    Novinky v Telegramu, cloudové službě pro instant messaging: registrace nevyžaduje SIM a telefonní číslo, uživatele lze přidat pomocí dočasného QR kódu, …

    Ladislav Hagara | Komentářů: 3
    včera 17:33 | Nová verze

    Byla vydána nová stabilní verze 3.4 svobodného 3D softwaru Blender. Přehled novinek v oznámení o vydání a na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 08:00 | Nová verze

    Byla vydána nová verze 2022.4 průběžně aktualizované linuxové distribuce navržené pro digitální forenzní analýzu a penetrační testování Kali Linux (Wikipedie). Přehled novinek se seznamem nových nástrojů v oficiálním oznámení. Zdůraznit lze obrazy pro QEMU nebo Kali NetHunter Pro pro telefony PinePhone a PinePhone Pro.

    Ladislav Hagara | Komentářů: 1
    včera 07:00 | Pozvánky

    Licence Creative Commons slaví 20 let. Při této příležitosti proběhne v Brně v pondělí 12. prosince od 18:00 akce 20 let Creative Commons & vánoční večírek.

    Ladislav Hagara | Komentářů: 0
    6.12. 22:33 | Pozvánky

    Virtuální Bastlírna opět na scéně! Viděli jste už 20W laserovou gravírku schopnou vyvolat velice jemný plošný spoj pod minutu? Nebo novou bastldesku s ESP32, kterou jde použít pro protokoly ZigBee, Thread, BLE a další? Nebo levnou čínskou termokameru s dobrým rozlišením? O nových fyzikálních prefixech jednotek jste už slyšeli? A co třeba kónické slicování pro tisk převisů na 3D tiskárnách bez podpor? AI, která vám umí lidsky říct, co máte

    … více »
    bkralik | Komentářů: 0
    6.12. 13:22 | Zajímavý projekt

    Jonas Degrave na několika příkladech ukazuje použití chatbota ChatGPT od OpenAI jako linuxového terminálu.

    Fluttershy, yay! | Komentářů: 2
    6.12. 13:11 | Nová verze

    Byla vydána verze 12.4 svobodného unixového operačního systému FreeBSD. Podrobný přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    6.12. 12:55 | Zajímavý článek

    Článek na webu Opensource.com ve stručnosti představuje ABI jádra Linux a některé příklady toho, kdy změny v něm vedly k rozbití nějaké aplikace, nebo také problém roku 2038.

    Fluttershy, yay! | Komentářů: 4
    6.12. 12:44 | Nová verze

    Správce sbírky fotografií digiKam byl vydán ve verzi 7.9.0. Jedná se o menší vydání, převážně s drobnými vylepšeními nakládání s metadaty, zatímco se chystá vydání 8.0.0.

    Fluttershy, yay! | Komentářů: 0
    Už jste se osobně setkali s podvodem typu falešná technická podpora?
     (55%)
     (3%)
     (42%)
    Celkem 101 hlasů
     Komentářů: 5, poslední včera 17:40
    Rozcestník


    Dotaz: Hledám informaci o hesle uloženém v souboru .htpasswd

    30.8. 21:58 Pavel
    Hledám informaci o hesle uloženém v souboru .htpasswd
    Přečteno: 652×
    Ahoj, chtěl jsem se zeptat na heslo uložené v souboru .htpasswd. Když zadám příkaz
    htpasswd -c /home/username/example.com/.htpasswd pavel
    
    je heslo uložené v souboru .htpasswd šifrované nebo je to hash hesla? Jde mi o to, jestli z toho může útočník získat původní heslo. Děkuji

    Odpovědi

    30.8. 22:26 R
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Je to hash. Defaultne MD5 (osolene).
    30.8. 23:07 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Díky a jde hashovat i název uživatele? Nemůžu to najít. Díky
    30.8. 23:35 X
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Ani v manualu ani v dokumentaci jsem nic takoveho nenasel. Pokud nechces z bezpecnostnich duvodu ukladat udaje na disku doporucoval bych to nepouzivat. Osobne ted budu zkouset overovani bez hesla klientskym certifikatem.
    31.8. 00:40 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Zajímavé, a kdo bude rozhodovat o tom, jestli se zobrazí tajný obsah nebo ne. Apache? Prohlíčeč? PHP?
    31.8. 10:32 X
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Obsah se zobrazi pouze na vybranych stanicich ktere budou mit v prohlizeci instalovany certifikat. O tom ktere rozhodne clovek pro ktereho to delam. Overovani se nastavuje na apache/nginx serveru.
    31.8. 12:44 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Díky za info.
    8.9. 12:26 Michal
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Hashovat username nejde, rozbilo by to kompatibilitu se softy, ktere tento udaj pouzivaji k prevodu username<->uid
    8.9. 12:44 GeorgeWH | skóre: 41
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    htpasswd?
    3.9. 10:40 Lukve
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Ja pouzivam https://pastebin.com/NCMfgBU3
    Max avatar 31.8. 11:25 Max | skóre: 71 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Pokud se k tomu útočník dostane a heslo je slabé, tak ho může vyštípat relativně rychle. Proto při jakémkoli úniku databáze uživatelů, i když jsou hesla zašifrována (zahashována), tak si musí všichni heslo změnit.
    Zdar Max
    Měl jsem sen ... :(
    31.8. 12:45 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    To je reakce na hesla v .htpasswd?
    Max avatar 31.8. 15:00 Max | skóre: 71 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Na jakákoli hesla, i v htpasswd.
    Zdar Max
    Měl jsem sen ... :(
    31.8. 15:00 Pavele
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    relativně rychle
    tzn.?
    Max avatar 31.8. 15:45 Max | skóre: 71 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Tady máš nějaký aktuální přehled časů: How long would it take to crack your password?.
    Zjednodušeně řečeno, i když nemáš přístup k nějaké větší výpočetní síle, tak zvládneš za den vylousknout zdánlivě složité heslo v md5 hashi se saltem.
    Zdar Max
    Měl jsem sen ... :(
    Jendа avatar 1.9. 21:51 Jendа | skóre: 77 | blog: Jenda | JO70FB
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    • spustil jsem uvedený příkaz htpasswd -c /tmp/htpasswd pavel
    • vyrobilo to hash začínající $apr1$
    • v example hashes jsem našel že to je typ 1600
    • dal jsem do googlu rtx3090 hashcat benchmark
    • dozvěděl jsem že že to zvládne vyzkoušet 32 milionů hesel za sekundu
    takže asi tak rychle (typicky se dá předpokládat že útočník bude hádat hesla na jedné až několika high-endových grafických kartách a nechá to běžet několik hodin až několik týdnů podle toho jak zajímavý jsi cíl)
    Všimli jste si jak appky na identifikaci jedlosti hub typicky nemají žádná špatná hodnocení?
    3.9. 01:16 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    A pointa toho zjištění? Co útočník teda zjistí za několik hodin či týdnů?
    Jendа avatar 3.9. 02:14 Jendа | skóre: 77 | blog: Jenda | JO70FB
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Vyzkouší takové a makové množství hesel, tedy všechny možné kombinace a pravidla ze slovníků, všechna hesla do 8 znaků atd. Je tedy potřeba zvolit dost silné heslo. (s pomalejší hashovací funkcí by mohlo stačit slabší, na druhou stranu stejně chceš používat password manager, takže je to celkem jedno) (a pak je ještě otázka, jestli se fakt může stát, že útočník získá hash, ale ne přímo ta chráněná data, když je oboje ve stejném adresáři)
    Všimli jste si jak appky na identifikaci jedlosti hub typicky nemají žádná špatná hodnocení?
    31.8. 11:35 debian+ | skóre: 32 | blog: analyzy
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Je to hash. Volí sa taka šifra, aby to nebolo ľahke najsť najsť.
    debian.plus@protonmail.com
    31.8. 12:56 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Chlapy a co to zabezpečit pomocí PHP, je to bezpečné? Jedná se mi pouze o jednoho jediného usera.

    Jen nástřel
    <?php
    echo '<form method="post">
         Password: <input type="password" name="pass">
         <input type="submit">
    </form>';
    if(isset($_POST)){
    $pass = $_POST["pass"];
    if (md5($pass) === '1f3870be274f6c49b3e31a0c6728957f') {
        echo "Access Allowed...";
    }
    }
    
    31.8. 14:35 debian+ | skóre: 32 | blog: analyzy
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    MD5 je slabé, použi niečo silnejšie. Kukni password_hash().
    debian.plus@protonmail.com
    31.8. 15:37 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    A jinak je ten script bezpečný?
    1.9. 13:05 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Vážně nikdo neví? :(
    1.9. 14:17 Peter Golis | skóre: 63 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Ako že by malo byť bezpečnejšie použiť MD5 v kóde ako v konfiguračnom súbore .htaccess? Ehm, ...
    1.9. 14:54 Pavel
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Nee, ptal jsem se, jestli je ten PHP kód dostačující zabezpečení pro zobrazení utajeného obsahu, pokud tedy nahradím funkci md5() funkcí password_hash().
    1.9. 21:54 X
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Neni. Z pohledu zabezpeceni je to dnes nedostatecne. Pokud to mas pro kamarada, nebo pro sebe a staci ti to, potom je to v pohode. Pokud v tom jsou nejake penize, nebo ten "utajeny obsah" ma nejakou vetsi hodnotu, pak je to proste malo. Minimalne to musis obalit https, jak tu jiz bylo nekolikrat zmineno.
    Jendа avatar 1.9. 21:59 Jendа | skóre: 77 | blog: Jenda | JO70FB
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    To záleží co přesně ve skutečnosti dělá v tvé variantě to echo "Access Allowed...";, co je na té stránce dál (například různé prvky třetích stran, interaktivní prvky hrozící různými cross site scripting atd.), jestli se ti nemůže omylem stát že server bude chybou konfigurace posílat buď nezpracované PHP soubory ke stažení nebo nepůjde nějakou jinou funkcí v tom skriptu vyrobit chybu že to vypíše traceback a ten bude obsahovat kus kódu (to je spíš nepravděpodobné pokud je skript jednoduchý, ale jednomu velkému eshopu uniklo heslo k databázi přesně takhle), jak je zabezpečené spojení (HTTPS), jestli na serveru jsou i jiné stránky a nejsou práva nastavená tak že si navzájem můžou číst soubory, a 1024 dalších věcí co se sem nevešly a ani mě nenapadly.

    Ale jo, celkem to jde, osobně mi technicky přijde hezčí ten htpasswd, ale v současných prohlížečích je to implementované uživatelsky nepřátelsky.
    Všimli jste si jak appky na identifikaci jedlosti hub typicky nemají žádná špatná hodnocení?
    1.9. 23:40 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Ale hlavně je to neuvěřitelně pracné a bezpečnost si tím sníží. Protože HTTPS není jako staré FTP/SFTP, kdy se vytvořilo řídící spojení na tom bylo ověření a pak se na něm pracovalo. HTTPS je transakční, každé spojení na každou stránku je zvlášť. Takže potřebuje vytvořit nějaké SessionID nebo UserID posílané klientovi třeba v Cookies a na každé stránce vyhodnocovat, jestli přišlo správné oprávnění zpět. Jestli jsou to statické stránky, tak vše přebudovat do PHP. Proti htpasswd milion možností, jak udělat chybu. Přitom v /etc/httpd/ssl.conf (u Apache) jsou direktivy SSLCACertificateFile, kam nacpu svoji Certifikační autoritu kterou jsem podepsal klientský certifikát. ten strčím klientovi, ať ho dá do prohlížeče, zapnu SSLVerifyClient require a je vystaráno.
    Jendа avatar 1.9. 23:45 Jendа | skóre: 77 | blog: Jenda | JO70FB
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    a je vystaráno
    A pak musíš obcházet uživatele a vymýšlet jak přidat ten certifikát do jimi používaných platforem.
    Všimli jste si jak appky na identifikaci jedlosti hub typicky nemají žádná špatná hodnocení?
    2.9. 00:05 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    No vzhledem k tomu že na začátku píše "Chlapy a co to zabezpečit pomocí PHP, je to bezpečné? Jedná se mi pouze o jednoho jediného usera. " Tak očekávám, že obejít jednoho jediného usera bude menší práce, než PHP. :-)
    2.9. 10:01 trekker.dk | skóre: 72
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    A pak řešit to, že certifikát uživatele jenom autentizuje, ale pořád je potřeba řešit autorizaci k různým úkonům a ta bude zas v tom PHP

    (Ale jasně, to se taky nevztahuje k úloze typu jeden uživatel - jediný úkon.)
    Quando omni flunkus moritati
    31.8. 17:22 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Hledám informaci o hesle uloženém v souboru .htpasswd
    Tohle všechno jsou více méně obezličky.

    Nejdříve je potřeba si ujasnit proti čemu děláš ochranu? Napadení po cetě? Napadení klientského počítače? Napadení serveru zvenku? Napadení hesel na serveru legálním uživatelem serveru? O co jde?

    Jedna možnost třeba jsou klientské certifikáty. Pokud používáš zaslání hesla, stejně potřebuješ celé jet na HTTPS. A pokud jde jen o jediného usera tedy vlastně web pro jednoho, tak nejjednodušší je to psal "X". HTTPS umožňuje omezit přistup jen provydané klinetské certifikáty. Vygeneruješ pro uživatele certifikát, předáš mu ho bezpečně, webovému serveru nastavíš, že uznává tento klientský certifikát (sám si ho podepsal, tak proč jej neuznat) a bez něj nepovolí připojení a je vymalováno. Jsi na tom stejně jako při připojování klíči přes ssh.

    No ale stejně to nevyřeší, pokud certifikát klientovi někdo ukradne, tak se může přihlásit a stejně pokud ti nekdo napdne server, tak klinetovi muže předstírat, že jsi to ty. Nejdříve je třeba rozmyslet co chceš chránit obecně. a ne jen jak chránit heslo v htpasswd.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.