klamas,
ну знаете...одно дело перебирать по прямому доступу, и наткнуться на ограничение попыток, т.е. остаться с носом.
И совсем другое дело, разобрать хеш и мало того, что втихаря получить доступ к аккаунту владельца, так еще можно обнаружить, что владелец использует тот же пароль на других сервисах :)
Если для вас второе - раздувать из мухи слона, то...дело ваше. Я же говорил выше, что домохозяйкам опасаться нечего, т.к. их аккаунты неинтересны злоумышленникам - может вы из этой категории )))
ThePriest,
Ну что я могу сказать....медицина здесь бессильна :))
Соль хранится вместе с хешем в открытом виде, поскольку требуется при аутентификации, и вообще-то, не является секретной. А нужна она не для усложнения пароля, поскольку ничего она усложнить в принципе не может. Учите матчасть.
Суть в том, что ни один алгоритм не защитит ваш хеш от взлома, если пароль слабый.
Давайте вы не будете писать о том, в чем не смыслите ? Соль вообще никак не усложняет алгоритм. Она защищает только от rainbow-атак, которые, как уже сказано, не актуальны. Конечно, она никому не мешает, поэтому отказываться от нее нет смысла.
моя мысль была о том, что по сути, если утекли хеши можно и нужно считать, что утекли и пароли. И причина этого - в слабости паролей, а не в алгоритме хеширования (который неспобен их защитить, и лишь усложняет усилия взломщика). Я уже потерял нить, с чем именно вы спорите.
Если вы чего-то не замечаете, значит этого не происходит ? Отличная логика. Да постоянно взломы происходят - почитайте любой сайт, посвященный безопасности. Кстати, когда угонят ваш пароль, вы об этом и не узнаете, т.к. вход злоумышленника будет выглядеть как ваш собственный. Вопрос только в том, есть ли на ваших аккаунтах ценная для злоумышленников информация.
Понятное дело, что взломав все пароли, преступник не будет их все использовать, т..к. большинство аккаунтов не представляют какой-либо ценности.
А какая разница, сломали сервис или нет, если взломают лично ваш аккаунт ? Взлом может быть вообще единичный. Имея базу пользователей можно легко подключить ее к другим базам и легко найти пересечения - есть ли чем поживиться.
Иногда лучше жевать.
Почему то любят приводить пример 12345, тогда как перебором ломаются гораздо более сложные пароли. А все потому, что пароли используются из сочетаний слов и цифр, которые подбираются.
Вышеуказанную статью читали ?
90% расшифрованных паролей вам ничего не говорит ? Вы уверены, что попадаете в оставшиеся 10% ? Повторюсь, это результаты взломщиков-одиночек. Киберпреступники могут обладать гигантскими ресурсами, это означает, что цифра была бы не 90%, а может быть и все 98%---------- Добавлено 08.06.2013 в 09:29 ----------
Странные люди, которых более 90% в произвольной выборке (см.выше) ? Так это, батенька, не странность - это норма. Риал лайф :)
Надо понимать, что алгоритм хеширования не панацея, т.к. не способен защитить слабый пароль. Ну, увеличится кол-во требуемых ресурсов для расшифровки - или времени. Но не настолько, чтобы остановить взломщика.
Если понимают, то зачем писать
Это фактически одно и то же, в реальных условиях, а не в идеальном мире где все придумывают рандомные длинные пароли.
Современные вычислительные возможности видеокарт позволяют перебором расшифровывать даже очень длинные пароли, если они состоят из широко используемых слов, букв и цифр, т.е. обладают низкой степенью энтропии. Это прекрасно было проиллюстрировано недавно в статье на сайте Arstechnica, где взломщики легко вытащили пароли типа "qeadzcwrsfxv1331" или "Qbesancon321".
Рекомендую указанную статью всем к прочтению - для кого-то она будет открытием :) Таким образом, при утечке хеша можно быть спокойным за свой пароль, только если он достаточно длинный и состоит полностью из случайных цифр, букв, и символов, что крайне редко встречается среди людей, не использующих менеджеры паролей.
Результаты из статьи были достигнуты взломщиками-одиночками. Теперь представьте организованную преступную группу, использующую, например, возможности ботнета для расшифровки паролей. Картина сразу меняется кардинально, не правда ли ? :)---------- Добавлено 07.06.2013 в 06:50 ----------
Если говорить о Rainbow таблицах, то они уже давно не актуальны - это показано в вышеуказанной статье. Такие таблицы имеют огромный размер, слишком ограниченное применение (зависят от алгоритма и соли), и не нужны при возможности найти подавляющее большинство паролей перебором.
А какая разница то ? В http://help.yandex.ru/partner/?id=1019878 сказано
Т.е. теперь Яндекс не просто стал "менее разборчив", а просто жрет все подряд, спонсируя засирание интернета. И за счет распределения доходов в пользу дорвеев, владельцы нормальных сайтов, теоретически, получают меньше.
Надеюсь, это был сарказм :)
