Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Автор md5crypt подчеркнул небезопасность данного алгоритма и..., opennews (ok), 09-Июн-12, (0) [смотреть все] Очень большой процент паролей от LinkedIn был восстановлен из хэшей за достаточн, CSRedRat (ok), 13:57 , 09-Июн-12, (1) // Про соль в точку В linkedin хеши были без соли, а это полный фэйл - потому так б, XoRe (ok), 14:46 , 09-Июн-12, (9) // Их не расшифровали, а подобрали Это важно , sdfsfsf (?), 15:43 , 09-Июн-12, (16) +5 // Да, так будет точнее Правильно будет так md5 без соли подбирается на порядки ле, XoRe (ok), 23:43 , 13-Июн-12, (124) Важнее правильно применять алгоритм, а не бездумно заменять один на другой Заме, Аноним (-), 18:12 , 09-Июн-12, (49) // Он опечатался,имелось в виду Threefish, V (??), 20:02 , 09-Июн-12, (58) // описался , Аноним (-), 21:25 , 09-Июн-12, (66) +1 Тонко , www2 (??), 09:05 , 10-Июн-12, (91) Обосрaлся , Аноним (-), 18:31 , 10-Июн-12, (109) –1 ну что за бред , angel_il (ok), 22:43 , 09-Июн-12, (69) –1 Скорее всего имелся ввиду bcrypt - http ru wikipedia org wiki Bcrypt, TS (ok), 23:49 , 09-Июн-12, (70) Просто вместо 8-мисимвольных нужно поднять минимальный порог до 10--12 , Кирилл (??), 14:13 , 09-Июн-12, (2) –2 // Ну были пароли 123456 будут 12345678 , Аноним (-), 14:20 , 09-Июн-12, (4) +5 // 1234567890, Аноним (-), 14:20 , 09-Июн-12, (5) // troll mode password - половина кулхацкеров сильно обломается , Аноним (-), 15:58 , 09-Июн-12, (21) +6 Это не выход С появлением сенсорных экранов всё больше распространяется метод п, CSRedRat (ok), 14:25 , 09-Июн-12, (6) –2 // Это чушь В лучшем виде графический ключ представляет собой числовую матрицу В ху, Кирилл (??), 15:27 , 09-Июн-12, (13) –3 // На самом дел это вы тупите Сенсорный ввод невозможно или трудно автоматизиров, Аноним (-), 17:35 , 09-Июн-12, (41) +1 5 из 900 несколько сотен квардатов и надо нажать 5 раз на разные ГОРАЗДО лег, Ваня (??), 17:48 , 09-Июн-12, (43) –3 и как всегда все забыли о бедных пользователях которым нафиг не упёрлись все эт, arisu (ok), 17:57 , 09-Июн-12, (47) +3 http ru wikipedia org wiki СочетаниеОтвет для 5 из 900, если вдруг слабо посчи, Анонимаус (?), 20:53 , 09-Июн-12, (60) +1 Для HD 1920х1080 39х23 897 клеток сторона клетки 49 пикселей и 12 мм, на мон, Аноним (-), 21:57 , 09-Июн-12, (67) Да-да 1 из 583954474521600 ГОРАЗДО легче подобрать, чем 1 из 999999 Ваня, ты - д, Аноним (-), 04:31 , 10-Июн-12, (86) это тебе любой Кэп Очевидность скажет, даже начинающий , arisu (ok), 12:01 , 10-Июн-12, (98) +2 Спасибо кэп , Аноним (-), 10:40 , 11-Июн-12, (120) вам дальтоники яйца оторвут , Аноним (-), 21:12 , 09-Июн-12, (61) +1 Дальтонику не надо видеть цвет, он жмакает на объекты на фото проткни всех враг, Аноним (-), 14:53 , 10-Июн-12, (102) То то где то тут писалось что фбр не могло разблокировать планшет и только термо, АнонимЭд (?), 19:12 , 09-Июн-12, (56) То они просто новый термроректальный криптоанализатор решили опробовать , mavriq (ok), 04:12 , 10-Июн-12, (84) Вы думете, что вот вышли какие-то там очередные полу планшеты полу дейвайсы и сп, Аноним (-), 14:58 , 10-Июн-12, (104) Так оно и кучку дисков с трукриптом не осилило Вообще, а нафиг его разблокир, Аноним (-), 18:33 , 10-Июн-12, (110) FBI не смогло подобрать пароль только потому, что количество неудачных попыток с, Frank (ok), 17:06 , 11-Июн-12, (121) В школьную программу уже включили шифрование цезарем Прогресс, однако , q (??), 04:41 , 10-Июн-12, (88) Привожу ссылки на статьи по графическому ключу http blogs msdn com b b8_ru arc, CSRedRat (ok), 14:55 , 10-Июн-12, (103) Им можно верить , Аноним (-), 17:48 , 10-Июн-12, (106) Нет Верить никому нельзя , CSRedRat (ok), 18:28 , 10-Июн-12, (108) MSDN Не, спасибо MS и секурити - то же что китайский автомобиль и безопасность, Аноним (-), 18:35 , 10-Июн-12, (111) Такие оптимистичные статьи и ничего не сказано о том, что далеко не любая точ, Frank (ok), 17:23 , 11-Июн-12, (122) И как ты в общем случае поймешь что это с настоящего сенсорного экрана валится, , Аноним (-), 16:01 , 09-Июн-12, (22) За последнюю недели угнали базы linkedin, lastfm и LigueOfLegend У меня создаетс, Аноним (-), 14:19 , 09-Июн-12, (3) // Не нафиг нафиг, лучше у себя Но не пароли а сертификаты Давно бы уже упрос, rshadow (ok), 14:31 , 09-Июн-12, (8) +1 // О чем ты говоришь 95 населения не в состоянии запомнить пару логин-пароль П, AdVv (ok), 15:43 , 09-Июн-12, (15) +2 // Пару В среднем пользователь интернета зарегистрирован на 5-ти ресурсах Многие , Аноним (-), 16:40 , 09-Июн-12, (37) И на всех одна и та же пара логин пароль, filosofem (ok), 17:26 , 09-Июн-12, (40) +4 Которая забыта после выставления галочки Сохранить пароль в браузере, AdVv (ok), 19:08 , 09-Июн-12, (54) +12 А потом придет Comodo Hacker и выпишет сертификат что он - это вы , Аноним (-), 16:01 , 09-Июн-12, (23) –4 // Вы видимо не понимаете разницу между сертификатом сайта и личным сертификатом по, AdVv (ok), 16:13 , 09-Июн-12, (26) Нет, я просто понимаю что достаточно спереть один привкей и после этого все наги, Аноним (-), 16:26 , 09-Июн-12, (28) –5 Видимо все-таки не понимаешь, привкеи тебе придется украсть у каждого из пользов, AdVv (ok), 19:10 , 09-Июн-12, (55) +3 Зачем Спереть ажно 1 привкей - у ауторити И все, можно выписать себе 100500 се, Аноним (-), 19:04 , 10-Июн-12, (112) На пальцах Пользователь генерит у себя пару ключ сертификат Сертификат засылае, angra (ok), 03:39 , 11-Июн-12, (118) В принципе да, любая схема с открытыми ключами вроде OpenPGP намного надежнее, т, filosofem (ok), 17:52 , 09-Июн-12, (45) // Вы это серьёзно , umbr (ok), 18:14 , 10-Июн-12, (107) Если из поста оставить 4 слова, а остальные заменить точками, то смысл меняется , filosofem (ok), 10:29 , 11-Июн-12, (119) А в интернет-кафе приходить с блокнотиком, и пол часа набирать сертификат в gedi, mavriq (ok), 04:17 , 10-Июн-12, (85) // Имеете в виду, что юзеры на чужом общественном компе наберут свой сертификат с , filosofem (ok), 10:35 , 10-Июн-12, (95) +2 epic win you are winrar , arisu (ok), 12:00 , 10-Июн-12, (97) В linkedin хеши были без пароля, поэтому так легко сломались Это огромный минус , XoRe (ok), 14:50 , 09-Июн-12, (10) // Ура ура, назад к бумажкам-стикерам с паролем на мониторах , Кирилл (??), 15:30 , 09-Июн-12, (14) Расскажи-ка мне друг, каким по твоему образом сервер должен проверять пароль пол, AdVv (ok), 15:48 , 09-Июн-12, (17) –1 // gt оверквотинг удален а где и кем предлагалось шифровать хеши , Аноним (-), 15:58 , 09-Июн-12, (20) gt оверквотинг удален А ты бы как интерпретировал фразу В linkedin хеши были , AdVv (ok), 16:10 , 09-Июн-12, (25) ну ведь ясно же что говорится о соли, описался человек, зачем сразу с кулаками , Аноним (-), 16:31 , 09-Июн-12, (30) –1 Ясно А что тогда означает вот эта фраза Даже без соли такой пароль из md5 по, AdVv (ok), 16:38 , 09-Июн-12, (33) Нет, не с автором Блин, ну вы действительно напрягите уже извилины, совет на фор, Аноним (-), 16:49 , 09-Июн-12, (38) gt оверквотинг удален Все, ты меня убедил Я точно дурак , AdVv (ok), 19:04 , 09-Июн-12, (53) Спасибо , XoRe (ok), 23:46 , 13-Июн-12, (126) Совсем не факт К этому паролю может быть трёхсимвольная коллизия Соль должна б, nyt (?), 18:34 , 09-Июн-12, (52) // Вот этого вообще практически никто не понимает Вся затея об увеличении количеств, Andrew Kolchoogin (?), 19:17 , 09-Июн-12, (57) md5 pass salt hash ну нашли вы коллизию положим, какой пароль вводить К, Аноним (-), 21:19 , 09-Июн-12, (62) В вашей терминологии это будет pass Его и вводить , Andrew Kolchoogin (?), 00:04 , 10-Июн-12, (71) Я правильно понимаю, что речь идёт про поиск любого такого пароля, который при , sdfsfsf (?), 00:35 , 10-Июн-12, (75) В общем случае соль тоже не известна Если соль известна то она может быть достат, Аноним (-), 02:04 , 10-Июн-12, (78) Чаще всего соль лежит там же, где и хеш , sdfsfsf (?), 14:37 , 10-Июн-12, (100) +2 Но подобрана-то коллизия на pass salt , bav (ok), 00:39 , 10-Июн-12, (76) в моей терминологии это будет md5 коллизия хешmd5 пасс соль хеш тот жеВы, Аноним (-), 02:01 , 10-Июн-12, (77) Или если соль известна , Аноним (-), 02:05 , 10-Июн-12, (79) +1 Ну, это не совсем верно Дело в том что 2 80 операций даже на CPU - это дохрена,, TS (ok), 00:20 , 10-Июн-12, (72) +1 Начали вы верно, но немного запутались предположимcrypt salt0 pass0 hashно т, mavriq (ok), 04:38 , 10-Июн-12, (87) Я имел в виду без соли Сорри, если вызвал у кого диссонанс с реальностью , XoRe (ok), 23:44 , 13-Июн-12, (125) Не надо хранить никакую важную инфу в интернете вообще Никаким сайтам просто не, Аноним (-), 17:40 , 09-Июн-12, (42) –2 // ради ответа на нить и крутой аватарки возле вашего ответа вы таки не поверите , mavriq (ok), 04:41 , 10-Июн-12, (89) // ради оповещения на мыло об ответе на нить и , mavriq (ok), 04:42 , 10-Июн-12, (90) На этом сайте оповещения об ответе можно получать и не регистрируясь , www2 (??), 09:16 , 10-Июн-12, (92) зато без регистрации нельзя прекратить их получать что открывает широкие возмож, arisu (ok), 12:03 , 10-Июн-12, (99) http www openwall com articles PHP-Users-Passwords, Аноним (-), 14:29 , 09-Июн-12, (7) +2 собственный модифицированный алгоритм вот этого пожалуйста поменьше Я слашал , x0r (??), 14:57 , 09-Июн-12, (11) +2 // Ога, security by obscurity, жопка3 (?), 17:18 , 09-Июн-12, (39) 1Шнайер писал, что сожалеет о выпуске своей первой книги по криптографии, потом, Аноним (-), 18:23 , 09-Июн-12, (50) В целом всё так, текст новости здесь соответствует оригиналу, и мнение такого ув, solardiz (ok), 15:05 , 09-Июн-12, (12) +10 // стобаксовый AMDшный GPU крушит порядка 80 миллионов SHA1 в секунду А теперь п, Аноним (-), 16:21 , 09-Июн-12, (27) ну и проверки давно уже больше 1М на большинство алгоритмов http hashcat net , Аноним (-), 16:29 , 09-Июн-12, (29) // Q Will the source be published A No Кхе-кхе, запускать неизвестный бинарь дел, Аноним (-), 19:11 , 10-Июн-12, (113) // все равно никто исходники смотреть не будет К тому же можно проверить антивирусо, Аноним (-), 20:41 , 10-Июн-12, (116) о, практически эталонный пост на тему 171 как понимает безопасность обычный юз, arisu (ok), 20:49 , 10-Июн-12, (117) Ну Камп все таки говорил про md5crypt, там жеж 1000кратное хеширование MD5 Прос, TS (ok), 00:30 , 10-Июн-12, (74) Спасибо, Александр, очень интересный и познавательный доклад , TS (ok), 02:40 , 10-Июн-12, (82) Ага, а он видел 100-долларовые GPU перебирающие 200 миллионов SHA-256 в секунду , Аноним (-), 15:57 , 09-Июн-12, (19) +1   // Длинный пароль ничем не поможет Чем длиннее пароль чем больше шанс коллизий И , Аноним (-), 16:37 , 09-Июн-12, (32) –3   // Пока размер хеша больше размера пароля - вероятность коллизий крайне низка При, sdfsfsf (?), 18:30 , 09-Июн-12, (51) +1   // еще раз повторяю - Парадокс дней рождения , Аноним (-), 21:21 , 09-Июн-12, (63) –5   Обоснуй , sdfsfsf (?), 22:26 , 09-Июн-12, (68)   ещё какие парадоксы знаешь , evgeny_t (ok), 00:25 , 10-Июн-12, (73)   Еще знаю парадокс скобок Это когда люди считают, что употребление непарных ско, Аноним (-), 02:09 , 10-Июн-12, (80)   Парадокс дней рождения для подбора пароля по конкретному хэшу роли не играет , szh (ok), 17:36 , 10-Июн-12, (105)   По-твоему, вероятность выпадения двух шестерок в костях равна 32 6 , а не 16 1 , pavlinux (ok), 04:03 , 10-Июн-12, (83)   // Про дни рождения - это немного о другом Это вероятность выпадения двух одинаков, www2 (??), 09:24 , 10-Июн-12, (93) +1   Он это вспомнил к поиску коллизий Если ищется просто любая пара паролей, дающих, sdfsfsf (?), 14:45 , 10-Июн-12, (101) +2   Поможет Шанс коллизий зависит лишь от числа попыток и числа хешей, если алгорит, Аноним (-), 19:27 , 10-Июн-12, (114)   // 2 80RTFM, Аноним (-), 20:03 , 11-Июн-12, (123)   Будем считать, что автор имел в виду совместное использование нескольких провере, Аноним (-), 16:40 , 09-Июн-12, (36) 1,2,3,7,11,12,19,36

Сообщения

[Сортировка по времени | RSS]

19. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+1 +/–
Сообщение от Аноним (-), 09-Июн-12, 15:57
> базирующийся на стойких хэшах, таких как SHA Ага, а он видел 100-долларовые GPU перебирающие 200 миллионов SHA-256 в секунду? :) Ну короче, пароль минимум 15 символов и ни в коем случае не из словарных слов :)
Ответить | Правка | Наверх | Cообщить модератору

	32. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	–3 +/–
	Сообщение от Аноним (-), 09-Июн-12, 16:37
	Длинный пароль ничем не поможет. Чем длиннее пароль чем больше шанс коллизий. И чем больше угнали паролей тем больше шанс взлома. Причем не линейно  - Парадокс дней рождения.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+1 +/–
	Сообщение от sdfsfsf (?), 09-Июн-12, 18:30
	Пока размер хеша больше размера пароля - вероятность коллизий крайне низка. (При "хорошей" хеш-функции, конечно)
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	–5 +/–
	Сообщение от Аноним (-), 09-Июн-12, 21:21
	еще раз повторяю - Парадокс дней рождения.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от sdfsfsf (?), 09-Июн-12, 22:26
	Обоснуй.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от evgeny_t (ok), 10-Июн-12, 00:25
	ещё какие парадоксы знаешь ?
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	80. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от Аноним (-), 10-Июн-12, 02:09
	Еще знаю "парадокс скобок".Это когда люди считают, что употребление непарных скобочек вне математических выражений делает их умнее, пропорционально количеству скобочек. Но как обычно и бывает в парадоксах это только самообман и в реальности все с точностью  до наоборот.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от szh (ok), 10-Июн-12, 17:36
	> еще раз повторяю - Парадокс дней рождения. Парадокс дней рождения для подбора пароля по конкретному хэшу роли не играет.
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	83. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от pavlinux (ok), 10-Июн-12, 04:03
	> И чем больше угнали паролей тем больше шанс взлома. Причем не линейно  - Парадокс дней рождения. По-твоему, вероятность выпадения двух шестерок в костях равна 32.6%, а не 16.1% как утверждает товарищ Бернулля?
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	93. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+1 +/–
	Сообщение от www2 (??), 10-Июн-12, 09:24
	>> И чем больше угнали паролей тем больше шанс взлома. Причем не линейно  - Парадокс дней рождения. > По-твоему, вероятность выпадения двух шестерок в костях равна 32.6%, а не 16.1% > как утверждает товарищ Бернулля? Про дни рождения - это немного о другом. Это вероятность выпадения двух одинаковых цифр при увеличении количества одновременно бросаемых костей. Две кости - маловероятно, три кости - более вероятно и т.п. Но вспомнили не к месту.
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+2 +/–
	Сообщение от sdfsfsf (?), 10-Июн-12, 14:45
	Он это вспомнил к поиску коллизий. Если ищется просто любая пара паролей, дающих один хеш на выходе, то, действительно, сложность будет 2^(n/2), а не 2^n при хеше n-ой разрядности (2^n возможных выходных значений). Это и есть парадокс дней рождения. При хранении паролей в хешированном виде и в случае утечки хешей это не играет роли.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от Аноним (-), 10-Июн-12, 19:27
	> Длинный пароль ничем не поможет. Поможет. > Чем длиннее пароль чем больше шанс коллизий. Шанс коллизий зависит лишь от числа попыток и числа хешей, если алгоритм не совсем отстой. Правда вот выиграть в лотерею вида N из 2^160 (окей, 2^159 с учетом парадокса близнецов) - ну как бы удачи, с любым N которое вы осилите, даже с пачкой GPU ;). Дело в том что 2^160 это настолько дофига что например миллиард - это очень незначительная часть от этого числа :). Более того, миллиард перебранных хешей * миллион секунд (более 10 дней) * 1000 GPU - все еще по прежнему очень небольшая часть от этого числа. > И чем больше угнали паролей тем больше шанс взлома. Причем не линейно Шанс взлома "какого нибудь из паролей" - да. В основном за счет того что у кого-то окажется тупой, короткий или словарный пароль. А так - чистая такая лотерейка вида N из 2^160 (или сколько там битов в хеше). Если пароль выбран не халтурно, 2^160 вполне хватит чтобы даже на куче GPU шанс найти совпадение был небольшой. Хотя особые эстеты могут взять 2^256 (SHA-256 например). Угадывать станет совсем беспонтово. Только вот пароль должен быть сложный и не словарный. Иначе, пардон, все просто посчитают sha от словариков и простых сочетаний и увидят что ага - вот оно, совпадает с вон тем хешом. >  - Парадокс дней рождения. Вот только он никак не помогает взломать конкретный хэш, ну, кроме снижения в среднем на 1 бит множества перебора. А вас сильно большая разница: 2^159 или 2^160? Оно конечно в 2 раза, но оба числа одинаково космические для практической цели перебрать весь диапазон :)
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	123. "Автор md5crypt подчеркнул небезопасность данного алгоритма и..."	+/–
	Сообщение от Аноним (-), 11-Июн-12, 20:03
	> (окей, 2^159 с учетом парадокса близнецов) > ну, кроме снижения в среднем на 1 бит множества перебора. А вас сильно большая разница: 2^159 или 2^160? 2^80 RTFM
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема