Привет, %username%!
Ранее мы уже затрагивали тему замедления хэширования. Это было еще до введения моды на быстрые хэшедробилки aka майнеры. Как оказалось, тема намного серьезней, чем «прокрутить хэш 100500 раз и подмешивать к нему всякий мусор», потому что GPU и спец девайсы драматически ускоряют перебор, с которым сложно бороться даже с помощью таких вещей как bcrypt.
И вот, люди запилили соревнование, результатом которого должен был стать алгоритм, который сложно ускорить на спец чипах и GPU, при этом он должен быть настраиваемым в зависимости от пожеланий разработчика. Таким алгоритмом стал Argon2.
Рубрика «хэширование паролей»
Победитель Password Hashing Competition Argon2 или еще раз о медленном хэшировании
2016-04-14 в 6:19, admin, рубрики: bitcoin, информационная безопасность, криптография, паранойя mode on, платежные системы, хэширование паролейКак надо хешировать пароли и как не надо
2014-01-30 в 8:19, admin, рубрики: ONsec, аутентификация пользователей, информационная безопасность, хеш, хеш-функции, хеширование, хэш-функция, хэширование, хэширование паролей, метки: ONsec, аутентификация пользователей, хеш, хеш-функции, хеширование, хэш-функция, хэширование, хэширование паролей 
В очередной раз заканчивая проводить аудит информационной безопасности веб-проекта, моя личная бочка с гневом переполнилась негодованием так, что оно перелилось через край в этот пост.
Постараюсь очень лаконично и быстро обрисовать ситуацию с хэшами.
Сразу определю какую задачу применения хешей буду рассматривать — аутентификация пользователей. Не токены восстановления паролей, не аутентификация запросов, не что-то еще. Это также не статья про защиту канала передачи данных, так что комментарии по challenge-response и SSL неуместны!
Хэширование паролей в PHP 5.5 с использованием нового API
2013-09-24 в 16:06, admin, рубрики: bcrypt, php, php5, информационная безопасность, хэширование паролей, метки: bcrypt, php5, хэширование паролейИспользование BCrypt является общепринятым и лучшим способом для хэширования паролей, но большое количество разработчиков по-прежнему используют старые и слабые алгоритмы, вроде MD5 и SHA1. Некоторые разработчики даже не используют соль для хэширования. Новый API хэширования в PHP 5.5 ставит своей целью привлечь внимание к BCrypt, упрощая работу с ним. В этой статье я расскажу об основах использования нового API для хеширования в PHP.
Новый API хэширования паролей предоставляет четыре простых функции:
- password_hash() — используется для хэширования пароля.
- password_verify() — используется для проверки пароля на соответствие хэшу.
- password_needs_rehash() — используется для проверки необходимости создать новый хэш.
- password_get_info() — возвращает имя алгоритма хеширования и различные параметры, используемые при хэшировании.
Функция для web-мастера: хэш пароля SHA512 со сложной солью
2013-02-14 в 16:38, admin, рубрики: md5, php, sha512, информационная безопасность, пароли, Программирование, хэши, хэширование паролей, метки: MD5, sha512, пароли, хэши, хэширование паролей Публикую и очень просто объясняю элегантное, на мой взгляд, решение проблемы хэширования и проверки пароля по хэшу.
Читать полностью »
Как лучше хранить хэши паролей
2012-07-09 в 18:54, admin, рубрики: информационная безопасность, криптография, пароли, переводы, хэширование паролейКак все мы знаем, пароли следует всегда хэшировать с помощью медленного алгоритма с использованием соли. Чаще всего применяют scrypt, bcrypt или PBKDF2, но этот пост не о том, какой алгоритм использовать. Вместо этого мы поговорим о том, что делать с хэшами дальше.
20- (или 32-) байтовые соль и хэш должны храниться в энергонезависимом, зарезервированном, надёжном хранилище, то есть обычно в реляционной базе данных. Но в каких именно таблицах их хранить? Чаще всего используется таблица со столбцами (user_id, salt, hash) или столбцы salt и hash могут быть в общей таблице Users. В обоих случаях хэш и соль находятся в отношении один-к-одному с пользователями.
Беда в том, что даже с подсоленными хэшами, хакерам слишком легко использовать словарные атаки, если они получат доступ к соли и хэшу конкретного пользователя. Допустим, что, благодаря медленному хэшированию, они могут проверить всего тысячу паролей в минуту. Вас может неприятно удивить то, какими слабыми паролями часто пользуются люди, и какой их процент можно взломать даже в этом случае.
Читать полностью »
LinkedIn начал использовать соль
2012-06-11 в 10:27, admin, рубрики: john the ripper, linkedin, брутфорс, информационная безопасность, хэширование паролей, метки: john the ripper, linkedin, брутфорс, хэширование паролейКомпания LinkedIn опубликовала в корпоративном блоге дополнение к правилам безопасности: теперь парольные хэши на сервере будут храниться с добавлением соли. В LinkedIn работают хорошие эксперты по ИТ-безопасности, которые давно готовили апгрейд системы, чтобы хэши хранились с солью. К моменту утечки апгрейд уже был сделан, сейчас идёт работа над дополнительными уровнями безопасности.
Директор LinkedIn также подчёркивает, что в утёкшей базе не были указаны email'ы пользователей, а поиском злоумышленников уже занимается ФБР.
Тем временем, с момента утечки подобрано больше половины паролей из опубликованной базы. Например, SophosLabs удалось подобрать 3,5 млн паролей, т.е. 60% всех уникальных хэшей из опубликованного файла LinkedIn (там из 6,5 млн хэшей только 5,8 млн являются уникальными).
Читать полностью »