За последние 24 часа нас посетили 17807 программистов и 1719 роботов. Сейчас ищут 915 программистов ...

И еще раз о "соли"

Тема в разделе "PHP для новичков", создана пользователем ShamahN, 14 дек 2008.

  1. ShamahN

    ShamahN Активный пользователь

    С нами с:
    10 апр 2007
    Сообщения:
    1.449
    Симпатии:
    0
    Адрес:
    г.Волгодонск Роствской обл.
    Что-то я не пойму. Чем "соль" помогает защитить от взлома? Ну допустим, я к простенькому паролю юзера добавил еще "соль". Юзер логинется, и вводит свой же простенький пароль, а "соль" я уже добавляю. Т.е. если злоумышленник будет пытаться, мой скрипт все равно добавит к тому что он вводит, эту самую, непонятную "соль".
     
  2. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    Очень часто бывает так, что при аутентификации пользователю передается хэш пароля, который записывается в куки.
    Если пароль 123 и соль на сервере не добавляется, то хэш известен любому человеку. Поэтому можно попытаться подставить его в куки и пройти аутентификацию.
     
  3. ShamahN

    ShamahN Активный пользователь

    С нами с:
    10 апр 2007
    Сообщения:
    1.449
    Симпатии:
    0
    Адрес:
    г.Волгодонск Роствской обл.
    Kreker, а если в проекте мне нет необходимости использовать куки?
     
  4. Dagdamor

    Dagdamor Активный пользователь

    С нами с:
    4 фев 2006
    Сообщения:
    2.095
    Симпатии:
    1
    Адрес:
    Барнаул
    ShamahN
    Это на случай, если злоумышленник сольет себе дамп твоей базы. У него будет хешированный пароль, но не будет соли, поэтому получить исходный пароль будет сложнее. Правда, обычно соль хранят в той же таблице, рядом с паролем, так что на деле это плохо работает... ;)
     
  5. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    Тогда предположи, что какой-нибудь чудо-крякер получил доступ к базе и нашел все пароли 123.
    Только не говори, что ты запретишь короткие пароли :)
     
  6. AlexGousev

    AlexGousev Активный пользователь

    С нами с:
    25 мар 2006
    Сообщения:
    1.505
    Симпатии:
    0
    Адрес:
    Москва
    ShamahN
    Если у тебя сперли таблицу с паролями, а там хранятся пароли тупо md5, то их быстро найдут с помощью метода rainbow-таблиц. Если пароли соленые и соль неизвестна, то не судьба. Все.
    Если в процессе взлома удалось добыть соль, то пофиг.
     
  7. ShamahN

    ShamahN Активный пользователь

    С нами с:
    10 апр 2007
    Сообщения:
    1.449
    Симпатии:
    0
    Адрес:
    г.Волгодонск Роствской обл.
    Kreker, понял твою идею. А какова вероятность, что таблицу могут спереть?
    AlexGousev, а если соль везде одна и та же строка, но неизвестная (где-то в коде), легче не станет?
     
  8. ShamahN

    ShamahN Активный пользователь

    С нами с:
    10 апр 2007
    Сообщения:
    1.449
    Симпатии:
    0
    Адрес:
    г.Волгодонск Роствской обл.
    в смысле "пофиг"? все равно не поможет?
     
  9. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    Через дыру в сайте, через подобранный пароль к mysql user.

    Да. У хакера есть пароли 123, qwerty. Если он занает соль, то спокойно её прибавляет и делает хэши. Потом ищет их в базе.

    http://ru.wikipedia.org/wiki/Rainbow_table

    P.S. Интересный ресурс http://www.insidepro.com/rainbow.php?lang=rus
     
  10. ShamahN

    ShamahN Активный пользователь

    С нами с:
    10 апр 2007
    Сообщения:
    1.449
    Симпатии:
    0
    Адрес:
    г.Волгодонск Роствской обл.
    спасибо, теперь я шареный
     
  11. К сожалению, никто не учитывает расчет паролей на группе GPU управляемых через CUDA. Готов спорить, там будет адекватно-приемлемое время.
     
  12. Hight

    Hight Старожил
    Команда форума Модератор

    С нами с:
    5 мар 2006
    Сообщения:
    7.153
    Симпатии:
    0
    Адрес:
    из злой параллельной вселенной
    Определяю соль в конфиге в виде константы, конфиг кладу ниже корня сайта.

    Для функции шифрования есть ключик, в конфиге, конфиг ниже корня сайта, при заюзывании ключика солю его чем бог пошлёт, в зависимости от того чего шифрую :) извращаюсь
     
  13. armadillo

    armadillo Активный пользователь

    С нами с:
    6 апр 2007
    Сообщения:
    2.380
    Симпатии:
    0
    Адрес:
    Russia, Moscow
    сейчас это уже решаемо в домашних условиях...
     
  14. karakh

    karakh Активный пользователь

    С нами с:
    11 дек 2007
    Сообщения:
    1.344
    Симпатии:
    0
    Инетресно, кому в наше время придет в голову генерировать пол терабайта таблиц на одном компьютере уровня Пентиум-3 1ГГц ?
     
  15. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    Да это и не возможно потому что материнки с сокетом для 3 пенька не поддерживают винты такой емкости
     
  16. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    Да там просто сухие цифры. Ни о каких совместимостях речи не идет.
     
  17. [vs]

    [vs] Суперстар
    Команда форума Модератор

    С нами с:
    27 сен 2007
    Сообщения:
    10.559
    Симпатии:
    632
    Раритет, однако. Во сколько раз серверный кластер мощнее пня третьего? ;-)
     
  18. Vladson

    Vladson Старожил

    С нами с:
    4 фев 2006
    Сообщения:
    4.040
    Симпатии:
    26
    Адрес:
    Estonia, Tallinn
    Мне например, я даже РНР5 на 486-й ставил под фрёй :)
     
  19. Vladson

    Vladson Старожил

    С нами с:
    4 фев 2006
    Сообщения:
    4.040
    Симпатии:
    26
    Адрес:
    Estonia, Tallinn
    Бред я на Pentium 1 больше ставил, PCI-RAID контроллеры рулят
     
  20. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    Vladson, разве PCI обеспечивает такуже пропускную способность и частоту как у SATA, тем более на такой древней материнке?
     
  21. Vladson

    Vladson Старожил

    С нами с:
    4 фев 2006
    Сообщения:
    4.040
    Симпатии:
    26
    Адрес:
    Estonia, Tallinn
    free-bits
    Скорость и объём по твоему связаны ?
    (новые HDD могут работать на старых HDD по сути можно выбирать по разьёму "встанет / не встанет" если встанет то сто пудова будет работать, мамки начиная ещё с PII уже теоретически могли держать 100ТБ диски, только не было их тогда, как в прочем и сейчас)
     
  22. [vs]

    [vs] Суперстар
    Команда форума Модератор

    С нами с:
    27 сен 2007
    Сообщения:
    10.559
    Симпатии:
    632
    А при чем тут SATA? RAID ведь =) Вообще можно использовать хоть ленточные накопители
    http://www.shopbackup.ru/article.php?id=2

    При чем технология со времен первых пней не сильно изменилась, следовательно, достаточно ёмкие накопители были доступны и тогда. Хранение данных - не проблема, как и вообщем-то составление таблицы хэшей для слов разумной длины ))
     
  23. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    я имел ввиду скорость чтения/записи данных на диск. Имхо на PCI будет медленнее. Вроде SATA это слот a RAID это контроллер
     
  24. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    Если хакер получит доступ к БД, то он может затереть поле пароля у всех юзеров и вставить туда хэш от 123. Если соли не будет, он сможет войти под любым аккаунтом, в противном случае он не войдет вообще.
     
  25. MiksIr

    MiksIr Активный пользователь

    С нами с:
    29 ноя 2006
    Сообщения:
    2.339
    Симпатии:
    44
    Соль обычно хранится там же в БД