Kryptografia haseł maskowanych, czyli magia matematyki

Zastanawialiście się kiedyś, jak zapisywane w bazie jest hasło maskowane, którego być może używacie by logować się do swojego banku? Odpowiedź ma dla Was Łukasz. I uwaga, będzie trochę matematyki (na poziomie podstawówki). Niektóre bank...

[fledgeling]

Mam dwóch kumpli, z którymi lubimy sobie robić jaja, tzn. w dzisiejszych czasach nikt już nie robi sobie jaj, nie płata figli czy nie struga psikusów, tylko nazywa się to teraz trolowniem.

Jeden kumpel, nazwijmy go Tomasz (bo ma na imię Tomasz) jest wykładowcą na znanej uczelni (znanej z łączenia teorii z praktyką #pdk) - co można całkiem nieźle wykorzystać. Mianowicie mamy w zwyczaju coś o-----ć na pierwszych zajęciach, kiedy studenci jeszcze nie znają swojego wykładowcy i nie wiedzą jak wygląda. Przychodzimy na zajęcia zamiast Tomasza (który daje nam klucze) i coś odwalamy z drugim kumplem - nazwijmy go Michał (bo ma na imię Karol). W całej historii jestem jeszcze ja - mam na imię Piotr (niektórzy mówią na mnie Łotr, ale jestem zwyczajnym bandytą).

Tak czy siak, na pierwsze zajęcia studenty przychodzą - chcą obczaić od kogo będą mogli wyżebrać notatki i czy są jakieś fajne dziewczyny (marzyciele, na polibudzie ładne to takie, które nie mają wąsów). Zbiera się grupa powiedzmy 30-50 osób. Otwieramy salę i wraz z Michałem zaczynamy udawać wykładowców.

[Amaurosis]

@fledgeling: plusłem, ale taguj #pasta

[bubuch]

Jak nie ma cyferek to matematyka już na poziomie liceum :)

[DrDevil]

@bubuch:

Liceum: O, zmienna
Studia: O, liczba

[DrDevil]

https://en.wikipedia.org/wiki/Shamir%27s_Secret_Sharing

[ponton]

Ostrzeżenie: *nigdy* nie implementuj algorytmów kryptograficznych sam w domu. Pamiętaj, aby zawsze to robić w towarzystwie kogoś kto się na tym zna, a nie na podstawie jakiegoś artykułu w internecie.

O kurczę! Wczoraj w domu napisałem prostą implementację RSA. Co mi grozi?

[wykopek_z_przymusu]

@ponton: cud że żyjesz

[szaloneneutrino]

a ja myślałem, ze oni po prostu przechowują z 20 haszy i tyle

[dd66]

A tak na prawdę robi się tak:
Jak klient tworzy hasło, to w bazie zapisuje się wszystkie możliwe maski (zgodnie z przyjętymi założeniami, np. nie mniej niż 3 znaki, bez więcej niż 2 obok siebie itp.) i korespondujące z nimi hashe. Jak dodamy do tego wymaganie, żeby np. hasło miało nie mniej niż 10 znaków, to wyjdzie kilkadziesiąt możliwych masek, w zależności od przyjętych założeń.
Jak klient się loguje, to prosimy o

[Stivo75]

No i wszystko psu w dupe, kiedy mamy na komputerze keyloggera. Napisanie programu do zbierania tekstu z pól typu password i text w C# to jakieś dwie godziny.Nadajemy mu nazwe "svchost.exe" wrzucamy na komputer ofiary i mamy wszystko jak na dłoni.

[b4rt]

@Stivo75: kek
o pracę już się martwić nie musisz ( ͡° ͜ʖ ͡°)

[dziedzicpruski]

@Stivo75: Dlatego niektóre banki oferują możliwość wpisania hasła myszką. I co teras?


A poza tym chyba nie czytałeś artykułu. Mając przechwycone tylko kilka znaków hasła i tak się nie zalogujesz.
Twoja metoda psu w dupe.