То есть он может сказать, являлся ли файл частью атаки

Больше того, можно либу для ша1 пропатчить (и они это уже сделали) так, чтобы оно на опасные файлы выдавало хеш по модифицированному алгоритму.

Так что хеши перестанут совпадать у этих пар файлов.

Ну это исходя их того что все коллизии известны

Нет.

Оно детектит атаку данным методом.

Но все коллизии, включая неизвестные.

Каким образом?

> will detect any cryptanalytic collision attack against SHA-1 using any of the top 32 SHA-1 disturbance vectors with probability 1

Увы, я не знаю что это значит

Но видимо это значит, что у определенных файлов будет выдавать неправильный sha1)

смысла в этом немного

2^-90

Ну тогда проще ошибку выдавать в таких случаях

Ну там есть оба режима.

А, ну ок

> The library supports both an indicator flag that applications can check and act on, as well as a special safe-hash mode that returns the real SHA-1 hash when no collision was detected and a different safe hash when a collision was detected.

за секунды

Есть описание способа?

Есть описание способа?

дык блоки нашли же уже

вытащи их из опубликованных гуглом пдфок

дальше дело техники сделать так, чтобы от разницы этих блоков зависело то, что ты отображаешь

https://twitter.com/steike/status/834826657768865793

вот же демка даже

интересно, к гиту применимо?

В гит попытайся две пдфки закоммитить и узнаешь.

я имею в виду хэши коммитов

В гит попытайся две пдфки закоммитить и узнаешь.

Я попытался, это так не работает, гит их в другом формате хранит. Надо дальше проверять.

я имею в виду хэши коммитов

в гите коммиты это текст с информацией из коммита + хеш дерева, пожатый в объект

вопрос в том, как объекты гита подделать

Сделай git cat-file -p {коммит}

А дерево — это список хешей объектов файлов

(ну и их имена и права)

Кстати, подписанные коммиты через gpg тоже ничего не стоят, потому что подписываются один хрен sha-1 хэши вместо реального содержимого

(но есть штука для гита, которая добавляет подпись собственно содержимого дерева в коммит)

Готов поспорить, что бинари с разным поведением тоже можно

так, вот тут я таки наврал — за секунды нельзя, там нужна новая коллизия, эта годится только для пдфок, судя по всему

вроде да

Но новая коллизия сколько там стоит по подсчётам? 110к?

да, деньги найдутся)

за 90 дней уж точно)

да и 90 дней эти ничего не дадут вообще-то

у кого был ша1, у тех он останется)

на SHAppening в 2015 $2K потратили

The method was based on their earlier work, as well as the auxiliary paths (or boomerangs) speed-up technique from Joux and Peyrin, and using high performance/cost efficient GPU cards from NVIDIA. The collision was found on a 16-node cluster with a total of 64 graphics cards. The authors estimated that a similar collision could be found by buying US$2,000 of GPU time on EC2

но то про другое

о, недочитал The authors estimate that the cost of renting EC2 CPU/GPU time enough to generate a full collision for SHA-1 at the time of publication was between US$75K–120K, and note that is well within the budget of criminal organizations, not to mention national intelligence agencies. As such, the authors recommend that SHA-1 be deprecated as quickly as possible.

Кто что посоветует для шардирования постгреса?

https://github.com/pirate/sites-using-cloudflare

короче sha-1 — это цветочки

https://github.com/pirate/sites-using-cloudflare

Давно говорили, единственный вариант спокойной жизни - это смена паролей по расписанию)

Давно говорили, единственный вариант спокойной жизни - это смена паролей по расписанию)

неа

проще их делать совсем рандомными

в 100 символов

а сбрасывать при каждом логине

ну и 2fa без смс

Это необходимое, но не достаточное условие

Надо исходить из тезиса, что любые меры защиты дают гарантию лишь на какой-то срок, так как уязвимости есть везде

Двойная авторизация и списание суммы с карты

Путь в ад

Надо исходить из тезиса, что любые меры защиты дают гарантию лишь на какой-то срок, так как уязвимости есть везде

отп генерируется на твоём устройстве в твоём кармане

никогда нельзя решить все проблемы безопасности. можно только сделать их очень дорогими

ERROR: S client not available

Идеология хэширрвания предполагает коллизии и наличие некой функции которая делает перестановку с тем же хэшом. Но на современных средствах мы можем брать более длинный хэш. Но это все вроде бред в условиях квантовых компьютеров

никогда нельзя написать неговнокод, можно только сделать его предсказуемым, покрыв тестами и написав на языке с безопасностью из коробки

Или использовать 2х факторное хэширование

Или использовать 2х факторное хэширование

отпечатки кстати не безопасны если ты PEP

Остаются куки которым пофигу на все ваше хеширование

https://github.com/pirate/sites-using-cloudflare

Давно же говорили: http://cryto.net/~joepie91/blog/2016/07/14/cloudflare-we-have-a-problem/

отпечатки кстати не безопасны если ты PEP

Я скорее про то что бы сразу 2 метода использовать. Типа разных видов формирования хэшсум и если один взломают то его менять

А чо за тема с хэшами и квантовыми компьютерами? Есть ссылки почитать?

https://github.com/pirate/sites-using-cloudflare

Это же адский треш! ))) уволены?

никого не уволили

никого не уволили

Конечно не приятно, самое главное не ясно, будет ли выявлены данные именно мои

Много данных в кэше, но какие

а нет какого-нибудь сервиса быстро проверить сайт?) ато с телефона неудобно работать с 22 меговым txt

порнхаба нет

не волнуйся

http://www.doesitusecloudflare.com/

о, сенкс

да мы на работе юзаем клаудфлер

но мы не попали в список =)

Ребят, а есть чат по эликсиру?

Ребят, а есть чат по эликсиру?

https://telegram.me/joinchat/ApEh7z9DAAIwCR9icUbYuQ

а нет какого-нибудь сервиса быстро проверить сайт?) ато с телефона неудобно работать с 22 меговым txt

22 метра тхт всего?

> CloudFlare essentially controls 11% of the 10k biggest websites, over 8% of the 100k biggest websites, and almost 5% of sites on the entire web

кто-то работал с curl на ноде?

именно curl? Можно ж клиент какой то взять

вот по-этому и спрашиваю

потому что не знаю что взять)

нужно зайти на сайт, заполнить форму и отправить её чем можно такое сделать?

аааа. axious, superagent, request,