Какие ещё блядь методы. Он же сука аппаратный

и чо

и чо

Через плечо

вот тут бред читаю, если мне известна соль, то в нет смысла (со стороны злоумышленника смотрю)

очень даже есть. соль != ключ. вот вообще ни разу.

у соли ровно два назначения - сделать невозможным подборку по заранее сгенерированной таблице, сделать невозможным поиск дубликатов в базе.

Если соль известна и используется слабый алгоритм хэширования, от нее нет толку

во многих алгоритмах соль хранится в открытом виде рядом с хешом.

Если соль известна и используется слабый алгоритм хэширования, от нее нет толку

нет

вот тут бред читаю, если мне известна соль, то в нет смысла (со стороны злоумышленника смотрю)

Пароль в все ещё не знаешь :)

во многих алгоритмах соль хранится в открытом виде рядом с хешом.

Да везде. Иначе как хэш проверить?

Какие ещё блядь методы. Он же сука аппаратный

метод "полураспада радионуклидов"

Пароль в все ещё не знаешь :)

Брут и восстановление пароля никто не отменял, я смотрю со стороны злоумышленика

Да везде. Иначе как хэш проверить?

ну мы еще не забываем наличие мамкиных кодеров, которые хранят соль в настройках.

Через плечо

то что он аппаратный, значит использует внешний источник энтропии

Брут и восстановление пароля никто не отменял, я смотрю со стороны злоумышленика

для брута используют раундовые алгоритмы.

ну мы еще не забываем наличие мамкиных кодеров, которые хранят соль в настройках.

В пхп так учили (рассказывали)

то что он аппаратный, значит использует внешний источник энтропии

Прекрасно. Что там с методом

Прекрасно. Что там с методом

зависит от генератора

нам в универе затирали что есть генераторы стохастические, а есть хаотические

правда все это называлось по-моему псевдослучайные

Если соль известна и используется слабый алгоритм хэширования, от нее нет толку

Ну кстати, сгенерированная алгоритмически соль с точки зрения этого сообщения ничем не отличается от хранящейся рядом с хэшем

В пхп так учили (рассказывали)

документация пхп учит хранить креденшелсы в коде?

для брута используют раундовые алгоритмы.

Разрабатывал комплекс с огромной мощностью и могу сказать точно, если мне будет известна соль и пароли типовые, то с помощью брута не составит труда их узнать

документация пхп учит хранить креденшелсы в коде?

https://ru.wikipedia.org/wiki/%D0%A1%D0%BE%D0%BB%D1%8C_(%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%BE%D0%B3%D1%80%D0%B0%D1%84%D0%B8%D1%8F)

Разрабатывал комплекс с огромной мощностью и могу сказать точно, если мне будет известна соль и пароли типовые, то с помощью брута не составит труда их узнать

Так соль не от Брута защищает

Ну кстати, сгенерированная алгоритмически соль с точки зрения этого сообщения ничем не отличается от хранящейся рядом с хэшем

Да, но тут уже больше расчет на лень

От брута защитит только сильный пароль

Так соль не от Брута защищает

как раз помогает защитится, если в сухую перебирать хэш по заранее известным данным, то не получится подобрать

От брута защитит только сильный пароль

+ итерации

От брута защитит только сильный пароль

+

как раз помогает защитится, если в сухую перебирать хэш по заранее известным данным, то не получится подобрать

Эм. Что?

А то, о чем вы говорите, это точно будут спрашивать на собеседовании Python Backend Developer?

А то, о чем вы говорите, это точно будут спрашивать на собеседовании Python Backend Developer?

нет, но астапа уже понесло

Эм. Что?

У вас пароль 123456 соль к нему 82837284781 У меня есть хэш. Что мне проще подобрать чистый хэш от 123456 или хэш с неизвестнйо мне солью?

Сорри

У вас пароль 123456 соль к нему 82837284781 У меня есть хэш. Что мне проще подобрать чистый хэш от 123456 или хэш с неизвестнйо мне солью?

Как ты на сервере будешь проверять пароль, если соль не знаешь?

Как ты на сервере будешь проверять пароль, если соль не знаешь?

Пароль был получен из базы данных путем той же sql injection

с помощью вентилей тоффоли

и если у меня не будет соли и она мне неизвестна, ничего особо не выйдет

Пароль был получен из базы данных путем той же sql injection

С таким же успехом можно хранить половину хэша в одной базе, половину в другой

Соль не для этого

С таким же успехом можно хранить половину хэша в одной базе, половину в другой

Основной идеей соли является как раз защита от перебора по словарю и радужных таблиц, неизвестна соль и не получается ее подобрать иди ммимо

Первая часть верная, вторая - нет

Соль не для этого

одно из

имвините, отвлекся

Основной идеей соли является как раз защита от перебора по словарю и радужных таблиц, неизвестна соль и не получается ее подобрать иди ммимо

Суть радужных таблиц в том, что их постарались и посчитали один раз и можно много раз использовать

Если у тебя каждый раз разная соль - тебе и радужная таблица нужна для каждой

Если у тебя каждый раз разная соль - тебе и радужная таблица нужна для каждой

+1

Фактически, получается, что у тебя радужные таблицы отсутствуют

Если у тебя каждый раз разная соль - тебе и радужная таблица нужна для каждой

Тут они и не сработают, в этом то и идея, что будет прямой перебор

Фактически, получается, что у тебя радужные таблицы отсутствуют

Да. Я же и не оспариваю это

Вот от этот защищает соль. И влияет, что она разная, а не что её не знают

Вот от этот защищает соль. И влияет, что она разная, а не что её не знают

Я пытаюсь донести, если мне известна соль, мне ничего не мешает переберать, когда у меня в секунду 30 тысяч вариантов перебирается (образно)

Увеличение числа хранилищ, в которых лежат части нужные для проверки пароля - тоже метод защиты, но он намного дороже и сильно меньше эффект даёт

Я пытаюсь донести, если мне известна соль, мне ничего не мешает переберать, когда у меня в секунду 30 тысяч вариантов перебирается (образно)

Мешает

Только брутфорс остаётся

Я пытаюсь донести, если мне известна соль, мне ничего не мешает переберать, когда у меня в секунду 30 тысяч вариантов перебирается (образно)

еще раз, для этого используют алгоритмы имеющие высокую вычислительную сложность

Мешает

Что же ? я банально перебираю по словарю в этом случае

Увеличение числа хранилищ, в которых лежат части нужные для проверки пароля - тоже метод защиты, но он намного дороже и сильно меньше эффект даёт

security through obscurity.

еще раз, для этого используют алгоритмы имеющие высокую вычислительную сложность

Да, но я на примере слабого md5

security through obscurity.

Ну почему же. Два сервера взломать сложнее чем один

Что же ? я банально перебираю по словарю в этом случае

тем что под каждую соль свой словарь нужно

тем что под каждую соль свой словарь нужно

нет же

В лучшем случае в два раза сложнее

вы о разных вещах

Ну почему же. Два сервера взломать сложнее чем один

зато код который читает из этих двух БД все равно один.

Но и защищать их в два раза дороже

тем что под каждую соль свой словарь нужно

Не стоит путать радужные таблицы и просто перебор

Да, но я на примере слабого md5

Как насчёт хешей которые считаются на cpu и хотят много памяти

о том и речь

мы же у тебя спрашиваем как нужно делать

Не стоит путать радужные таблицы и просто перебор

радужные таблицы != словарь

а не "на примере слабого md5"

Разные методики защиты нужны для разных типов атак

Соль нужна для конкретных атак

а не "на примере слабого md5"

sha1 еще

sha1 еще

crc

Соль нужна для конкретных атак

соль как минимум помогает избежать утечки и создать проблемы, но если она известна это уменьшает ее полезность

соль как минимум помогает избежать утечки и создать проблемы, но если она известна это уменьшает ее полезность

еще раз - нет. соль не для этого.

Как насчёт хешей которые считаются на cpu и хотят много памяти

Все тоже, только медленнее

еще раз - нет. соль не для этого.

Не думал что дойдет до этого, что буду ссылаться на википедию, но что поделать https://ru.wikipedia.org/wiki/%D0%A1%D0%BE%D0%BB%D1%8C_(%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%BE%D0%B3%D1%80%D0%B0%D1%84%D0%B8%D1%8F)

интересно, насколько сейчас стойкие алгоритмы будут стойкими через 5-10 лет