|
| |
|
|
| |
для: @ndry
(11.01.2010 в 11:38)
| | | Ссылку дать не могу, я читал это в книге. Если найду напишу. | |
| |
|
|
| |
|
|
| |
для: @ndry
(12.01.2010 в 00:58)
| | | Продолжайте противостоять дешифровке краденых паролей из базы... | |
| |
|
|
| |
|
|
| |
для: Рома
(12.01.2010 в 00:44)
| | | Скорее наоборот, смотрите мы возвращаем скрипту вот это:
MD5(challenge + MD5(password))
|
что значит, что хеширование используется 2 раза над строкой и число коллизий сразу растёт. Сложность перебора наоборот, но с использованием больших радужных таблиц - это мелочь.
Злоумышленнику не составит труда перехватит значение challenge, что ещё больше упрощает его доступ к данным (часть первоначального хеша зарание известна). Зачем тогда включать эту переменную в процесс? Она ничего не даёт по сути, автор просто насмотрелся на приёмы шифровки пароля с солью (которая в отличии от вашего примера хакеру не известна) в пхп, которая используется для противостоянию дешифровки паролей краденных с базы.
И как там написано от атаки типа Man-in-the-middle этот вышеуказанный способ вообще не поможет. Только шифрование, те. преимущественно SSL.
И учтите что от в некоторых случаях работа порта функции md5 в JS может отличаться от работы PHP и давать разные результаты, пользователь никогда потом не сможет залогиниться. Об этом написано в той статье. | |
| |
|
|
| |
|
|
| |
для: @ndry
(12.01.2010 в 00:14)
| | | >те вы позволяете злоумышленнику знать часть пароля заранее.
Никто не позволяет злоумышленнику знать часть пароля, вы видимо не внимательно ознакомились с материалом по ссылке, и тем более не пробовали применить или улучшить. | |
| |
|
|
| |
|
|
| |
для: Рома
(12.01.2010 в 00:10)
| | | В зависимости от длинны пароля и длинны соли стойкость хеширования (md5 - функция хеширования) страдает в плане безопасности (те вы позволяете злоумышленнику знать часть пароля заранее), пока-что в ней нашли только коллизии, но полноценный взлом не сильно затянется. Как минимум соль не добавит безопасности, абсолютно, ведь злоумышленник сможет её видеть в чистом виде. | |
| |
|
|
| |
|
|
| |
для: @ndry
(11.01.2010 в 23:15)
| | | >По вашей ссылке стойкость хеша только страдает из-за использования соли (challenge).
Простите, стойкость чего страдает? | |
| |
|
|
| |
|
|
| |
для: Рома
(11.01.2010 в 21:17)
| | | По вашей ссылке стойкость хеша только страдает из-за использования соли (challenge). Она бесполезна. Алгоритм имеет право на жизнь лишь в узких рамках и большинство атак он всё-равно не остановит. | |
| |
|
|
| |
|
|
| |
для: ~AquaZ~
(11.01.2010 в 20:19)
| | | Ничего не дорогое, а SID какраз я и рассказал как защищать. | |
| |
|
|
| |
|
|
| |
для: @ndry
(11.01.2010 в 19:43)
| | | >Слабым местом в моём подходе останется лишь то, что данные для первоначальной авторизации передаются в не зашифрованном виде, тут лучше использовать SSL.
специально для слабых мест | |
| |
|
|
| |
|
|
| |
для: @ndry
(11.01.2010 в 19:43)
| | | Вот самая большая уязвимость и есть в SID.
А SSL - удовольствие очень дорогое. | |
| |
|
|
|
