Исходное сообщение
"Для взлома MD5 хэша нужно всего 8 часов" Отправлено ganduras, 11-Ноя-05 17:27
>>>Это очевидно. Пассы в базе хранятся в МД5. Отправляем пасс. Его хэшат. >>>Проверяют - подходит. Браво. >> >>Всё не так! >>Сначала пароль хэшат, а потом уже отправляют и проверяют. > >Что значит не так??? > >Всё от системы зависит! >Если это авторизация по алгоритму типа CHAP или MD5 c POP3, то >- да, ходят хэши. >А если по POP3/SMTP/FTP/HTTP/... с хранением паролей в зашифрованном виде на сервере? >Ходят плэйн-тексты... > >"Паника" - по обоим случаям ;) В случае md5 хеша в /etc/shadow или /etc/master.passwd там всего тысячу последовательных итераций. Поэтому на взлом нужно 8 часов*1000 = около года в лучшем случае. Про CHAP не знаю, но там вроде не лучше ситуация, из-за того, что часть ключа объединяется со случайным значением, который выбирается для клиента сервером на каждый сеанс разный. Так что единственно, где можно воспользоваться подбором коллизий - это где hash значение MD5 функции используется как ключ для поиска сжатых текстовых объектов и это является единственной проверкой на идентичность объектов, или как checksum для проверки файлов на целостность.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>>Это очевидно. Пассы в базе хранятся в МД5. Отправляем пасс. Его хэшат. >>>>Проверяют - подходит. Браво. >>> >>>Всё не так! >>>Сначала пароль хэшат, а потом уже отправляют и проверяют. >> >>Что значит не так??? >> >>Всё от системы зависит! >>Если это авторизация по алгоритму типа CHAP или MD5 c POP3, то >>- да, ходят хэши. >>А если по POP3/SMTP/FTP/HTTP/... с хранением паролей в зашифрованном виде на сервере? >>Ходят плэйн-тексты... >> >>"Паника" - по обоим случаям ;) > В случае md5 хеша в /etc/shadow или /etc/master.passwd там всего тысячу последовательных > итераций. Поэтому на взлом нужно 8 часов*1000 = около года в > лучшем случае. Про CHAP не знаю, но там вроде не лучше > ситуация, из-за того, что часть ключа объединяется со случайным значением, который > выбирается для клиента сервером на каждый сеанс разный. Так что единственно, > где можно воспользоваться подбором коллизий - это где hash значение MD5 > функции используется как ключ для поиска сжатых текстовых объектов и это > является единственной проверкой на идентичность объектов, или как checksum для проверки > файлов на целостность.
	Введите код, изображенный на картинке: