возвращаюсь к теме кодированного пароля :)

где-то я это уже видел. к паролю вешается снапом строка, затем всё это сворачивается двумя разными алгоритмами. первая - бинарная конвертируется через base64, а к ней потом лепится свертка md5($pass.$str_snap).

а что именно интересует? хочешь взломать?)))

 

сто процентов. в данном случае это вообще страшная паранойа

 

это всё от того, что пароли, которые набираются людьми, - это самое слабое место во всех таких системах. если говорить про md5 в чистом виде, то он классифицируется сейчас как "устойчивая хэш-функция". md4 классифицируется как "неустойчивая хэш-функция не рекомендованная к использованию". никто не говорил, что md5 "рекомендованная к использованию". просто в вебе и шифр Цезаря сгодится, если интервал между запросами будет 1 секунда, а после 5ти запросов "вы исчерпали лимит попыток на сегодня". на остальное плевать. тут скорее вопрос в том, что битрикс за свою задницу трясутся, вот и городят огород, взятый невесть у кого. я считаю, что использование 2 типов хэша - это гуд, но салт здесь абсолютно ни к чему.

 

А ведь они лезут и лезут... и ничему учиться не хотят, зато готовы что-то "утверждать". Про соль...

 

Invision - а исходники посмотреть?

 

Дурите? Не верю что вскрывается легко :? Если бы вскрывалось на раз, то инет вопил бы об этом, а пока тишина.

Ну, если согласны протестировать, вот: 509e6dd1e33f9ff045879c6c7ad35531
Пароль элементарный.
upd
Эээ, извиняюсь - там Логин+Пароль.
Вот только пароль: e913de3a447a6c8e7a0b694d082e41f7

 

Смысл не в том, чтобы вскрыть пароль, находясь при этом в сферическом вакууме. Вы вскрываете пароль по уже ИЗВЕСТНОМУ хешу. А где вы возьмете этот хеш в реальных условиях? Но нормальных сайтах, он в куках не храниться, базу ломануть также на нормальном сайте проблематично. А если еще и дается n попыток на ввод пароля с интервалом в m секунд каждая, то получается, что в РЕАЛЬНЫХ условиях почти невозможно взломать тот же md5 тупым перебором.

 

Он не будет угадывать ваш пароль, он будет искать коллизию. Не факт, что коллизия совпадет с вашим паролем.
Лучше провести другой эксперимент. Дайте igordata ссылку на сайт с известной системой шифрования и известным логином. На сайте должно стоять ограничение в 5 попыток с интервалом в 20 секунд каждая. После 5-ти неверных попыток - блокировка на сутки. Вот тогда мы проверим, сколько времени потребуется его видюхе, чтобы взломать пароль .

 

Да хоть миллиард - это ничто для 2^128.

 

Это другое.
А тут вопрос об устойчивости MD5-кода к дешифрации. Что-то не верится, что это можно сделать быстро.

 

Читаем выше: "пароль 6 символов вскрывается в среднем за полторы минуты"

 

Расшифровать можно любой логически зашифрованный код, который не использует ключи. Поэтому все усилия направлены на защиту именно шифра. Для того, чтобы работал любой брутфорс, ему нужен объект сравнения. В сервере ejabberd пароль в базе вообще хранятся в открытом виде и все усилия направлены именно на защиту базы, а не защиту пароля. Если базу взломают, то уже до лампочки, какой вы применяли шифр, у брутфорса будет объект сравнения. Поэтому все эти разговоры, о том, что md5 отстой, потому что на современном компе коллизию можно подобрать за полторы минуты, смешны. Вы сначала объект сравнения заполучите.
Также само можно утверждать, что автомобили вольво не безопасны, т.к. если сбросить вольво с пассажиром внутри с высоты 50 км, то пассажир не выживет.

 

Ну как - "зачем соль". Даже если ты заполучил хэш и подобрал пароль брутфорсом - ты получил набор символов типа "KG*^w229sj". Но пока ты не вычистишь из этого набора соль - тебе этот набор символов пихать некуда. Потому что поле ввода пароля ждет пароля, а не пароля с солью.