Исходное сообщение
"Выпуск механизма управления теневыми паролями tcb 1.2" Отправлено solardiz, 12-Янв-21 17:50
> Сомнительно, у пользователя не должно быть прав на запись в системные каталоги. Их и нету. Из текста новости: каталог /etc/tcb принадлежит root:shadow и имеет права "drwx--x---". > А blowfish вроде старенький, уже лет 15 как считается совсем не секурным. 1. Не путайте блочный шифр Blowfish и парольный хеш bcrypt на его основе. У них совсем разные свойства. В данном контексте, речь о bcrypt. 2. Конечно, и Blowfish и bcrypt старенькие, но с ними в целом всё в порядке. Основной недостаток Blowfish как шифра в маленьком размере блока (64 бита) - см. https://sweet32.info и https://blog.cryptographyengineering.com/2016/08/24/attack-o.../ - это 2016 год. К bcrypt этот недостаток отношения не имеет. 3. tcb никак на bcrypt не завязан, он лишь использует универсальный API, который мы первоначально реализовали в crypt_blowfish (реализации bcrypt). Теперь этот API доступен в libxcrypt и позволяет tcb использовать любой из поддерживаемых в libxcrypt парольных хешей, в том числе наш yescrypt.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Сомнительно, у пользователя не должно быть прав на запись в системные каталоги. > Их и нету. Из текста новости: каталог /etc/tcb принадлежит root:shadow и имеет > права "drwx--x---". >> А blowfish вроде старенький, уже лет 15 как считается совсем не секурным. > 1. Не путайте блочный шифр Blowfish и парольный хеш bcrypt на его > основе. У них совсем разные свойства. В данном контексте, речь о > bcrypt. > 2. Конечно, и Blowfish и bcrypt старенькие, но с ними в целом > всё в порядке. Основной недостаток Blowfish как шифра в маленьком размере > блока (64 бита) - см. https://sweet32.info и https://blog.cryptographyengineering.com/2016/08/24/attack-of-week-64-bit-ciphers-in-tls/ > - это 2016 год. К bcrypt этот недостаток отношения не имеет. > 3. tcb никак на bcrypt не завязан, он лишь использует универсальный API, > который мы первоначально реализовали в crypt_blowfish (реализации bcrypt). Теперь этот > API доступен в libxcrypt и позволяет tcb использовать любой из поддерживаемых > в libxcrypt парольных хешей, в том числе наш yescrypt.
	Введите код, изображенный на картинке: