Если база данных утечёт, именно от алгоритма хеширования паролей будет зависеть, получит ли атакующий рабочие учётные данные за несколько часов или не получит ничего полезного вообще. Разберём, что нужно знать разработчику, чтобы оказаться во втором сценарии.
Первое, что нужно зафиксировать: пароли хешируются, а не шифруются. Это принципиальное различие, которое часто путают.
Выдающиеся программисты современности часто оказываются самоучками. Иногда попадаются специалисты с официальным академическим образованием в области компьютерных наук. Или учёные из других областей: физики, математики, криптографы. Все они вносят в программирование академические знания и научную основательность.
Типичный пример — д-р математических наук Колин Персиваль (Colin Percival), бывший директор по безопасности FreeBSD, автор уникального сервиса резервного копирования Tarsnap и других проектов.
Выдающийся криптограф, который без своего желания оказался причастен к созданию Litecoin. Сотни криптовалют основаны на алгоритме, который придумал и написал скромный математик из Канады.
Читать полностью »
В литературе и самых сложных современных системах есть «лучшие» ответы на многие вопросы. Если вы разрабатываете встроенные приложения, то предлагают использовать STROBE и модный современный криптографический стек для аутентификации полностью из одиночных SHA-3-подобных функций губки. Советуют использовать NOISE для разработки безопасного транспортного протокола с формированием общего ключа аутентификации (AKE). Говоря об AKE, есть около 30 различных парольных AKE на выбор.
Но если вы разработчик, а не криптограф, то не должны делать ничего такого. Следует придерживаться простых и обычных решений, которые легко поддаются анализу — «скучных», как говорят люди из Google TLS.
Читать полностью »
Потому что он хранится в виде хеша типа MD5(user,"nskypern",pass).
В следующей версии утилиты для взлома хешей с использованием GPGPU oclHashcat появится возможность взламывать такие хеши(впрочем это можно делать уже сейчас), скорость перебора таких хешей, а следовательно и ваших паролей, составляет сейчас около 4 GHash/s(млрд.паролей в сек) одной AMD R9 290X.
Читать полностью »
Ни для кого уже не секрет, что криптовалюта набирает силу, становясь все ближе к мировому признанию. В свое время я занимался майнингом Bitcoin на видеокартах, но вот уже больше года как я остался «не при делах» с появлением ASIC майнеров. Я всегда был против ASIC — ферм, а потому решил для себя не присоединятся к их владельцам. Пару слов о причинах — ASIC фермы дорого стоят, мало распространены и весьма специфичны, это очень сильно увеличивает порог вхождения в майнинг и в криптовалюту как таковую, а выборочное распределение этих устройств способствует падению энтропии. Кому-то эти причины могут показаться недостаточно весомыми, но для меня они стали решающими. Не так давно я понял, что один из форков Bitcoin начинает набирать силу, и он защищен от ASIC-ферм, что вызвало мой серьезный интерес. Тем не менее большинство информации в интернете устарело, и мне пришлось пройти тернистым путем чтобы заставить свою первую ферму работать, потому я решил поделится с вами опытом.
Читать полностью »
В последнее время наши клиенты все чаще обращаются к нам с вопросами: можно ли использовать наши выделенные и виртуальные серверы для майнинга биткоинов?
Майнинг биткоинов с помощью виртуальных серверов сопряжен с некоторыми трудностями. Если речь идет об облачных серверах, то оплата за их использование рассчитывается исходя из фактического потребления, и процесс майнинга принесет не прибыль, а скорее убытки. Если речь идет о виртуальных выделенных серверах, то генерация биткоинов с их помощью вряд ли представляется возможной из-за ограничений, накладываемых системой виртуализации. Так как для высокоуровневых услуг мы используем почти те же серверы, что и в выделенных конфигурациях, мы решили провести для них специальный тест и проверить, как они справятся с задачей генерации биткоинов.
Читать полностью »
